大阪・関西万博、再委託先のMicrosoft 365へ不正アクセス、出演者らの個人情報漏洩の恐れ

公益社団法人2025年日本国際博覧会協会は2026年8月20日、大阪・関西万博の催事運営業務に関わる再委託先でMicrosoft 365への不正アクセスが発生し、関係者やイベント出演者の個人情報を含むメールと添付ファイルが不正アクセスの対象となった可能性があると公表しました。

発端は2026年5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信したことでした。再委託先は同日、Microsoft 365アカウントへの不正アクセスを確認し、その日のうちにアクセスを遮断しています。

影響を受けた可能性があるのは、万博協会の委託業務に関係するメールと添付ファイルです。メール送受信者の氏名、所属、役職、メールアドレス、電話番号のほか、イベント出演者の氏名、肩書、写真、スピーチ原稿、進行台本、ステージへの登壇・退場動線などが含まれていました。

一方、一般来場者の個人情報やクレジットカード情報が含まれていたことは、2026年8月20日時点で確認されていません。個人情報が実際に外部へ持ち出されたことを確認したとの発表でもなく、対象人数も公表されていません。

今回の事案は、2025年10月13日の万博閉幕から約7カ月後に発生しました。協会は従来、委託業務終了後の個人情報の廃棄・消去を契約上義務付けていたとしており、今回を受けて、委託先・再委託先に残る不要な個人情報の廃棄状況も改めて確認するとしています。

大阪・関西万博の再委託先不正アクセスのサマリー

• 2025年日本国際博覧会協会は2026年8月20日、再委託先で発生した不正アクセスを公表しました。
• 2026年5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信したことが端緒となりました。
• 再委託先のMicrosoft 365アカウントに第三者による不正アクセスが発生しました。
• 再委託先は5月13日中に不正アクセスを遮断しています。
• 不正アクセスの対象となった可能性があるのは、万博協会の委託業務に関係するメールと添付ファイルです。
• 関係者の氏名、所属、役職、メールアドレス、電話番号などが含まれていました。
• 委託先等の従業員の勤務シフト、担当業務、見積書・請求書に記載された担当者情報も対象となる可能性があります。
• イベント出演者の氏名、肩書、写真、スピーチ原稿、進行台本、登壇・退場動線なども含まれていました。
• 一般来場者の個人情報とクレジットカード情報が含まれていたことは確認されていません。
• 個人情報の外部流出が確認されたとの発表ではなく、「漏えい等のおそれ」がある段階です。
• 対象人数は公表されていません。
• 2026年8月20日時点で、本件に起因する個人情報の不正利用などの二次被害は確認されていません。
• 協会は、委託先等の安全管理措置、インシデント報告体制、再委託先管理、不要になった個人情報の廃棄・消去状況を確認し、改善を求めています。
• 不正アクセスに使われた具体的な認証情報窃取手法やMFAの利用状況などは公表されていません。

項目	内容
公表日	2026年8月20日
不正アクセス確認日	2026年5月13日
対象組織	万博協会の委託業務を担う再委託先
対象サービス	再委託先のMicrosoft 365
発端	海外企業を装うフィッシングメールの受信
影響範囲	委託業務に関係するメールと添付ファイル
漏えい等のおそれがある情報	関係者・イベント出演者等の個人情報
対象人数	公表されていません
一般来場者の個人情報	含まれていたことは確認されていません
クレジットカード情報	含まれていたことは確認されていません
二次被害	2026年8月20日時点で確認されていません
初動	5月13日中に不正アクセスを遮断
攻撃者	確認できませんでした
ランサムウェア	確認できませんでした
個人情報保護委員会への報告	公表資料では確認できませんでした

再委託先のMicrosoft 365アカウントへ不正アクセス

万博協会は、2025年日本国際博覧会における催事施設の統括・運営管理業務や、公式参加者の催事業務などを外部事業者へ委託していました。

その委託先は業務の一部を別の事業者へ再委託しており、今回不正アクセスを受けたのは、この再委託先です。

2026年5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信しました。これを端緒として、同社のMicrosoft 365アカウントへの不正アクセスが確認されました。

再委託先は同日中に当該アクセスを遮断しています。

ここで注意したいのは、「フィッシングメールが端緒」という発表から、具体的な侵入方法まで推測できるわけではないことです。

協会は、従業員が偽サイトへ認証情報を入力したのか、セッショントークンなどが取得されたのか、多要素認証が設定されていたのかといった技術的な詳細を公表していません。

したがって、今回の事案について「MFAが突破された」「認証情報が窃取された」といった具体的な攻撃経路を断定することはできません。

対象は万博業務に関するメールと添付ファイル

万博協会によると、不正アクセスの対象となった可能性があるのは、協会から受託していた業務に関するメールと、その添付ファイルに含まれるデータです。

その他のデータへの不正アクセスは確認されていません。

漏えい等のおそれがある個人情報として、協会は次の内容を公表しています。

区分	含まれていた情報
メール関係者	氏名、所属、役職、メールアドレス、メール署名内の電話番号など
委託先等の従業員	氏名、勤務シフト、担当業務
見積書・請求書	担当者情報
イベント出演者	氏名、肩書、写真
イベント運営資料	スピーチ原稿、進行台本、ステージへの登壇・退場動線など

対象人数は公表されていません。

また、これらの情報がすべて第三者に閲覧・取得されたことが確認されたわけではありません。協会の発表は、個人情報を含むメールや添付ファイルが不正アクセスの対象となった「可能性」があり、漏えい等のおそれがあるという段階です。

一般来場者の個人情報は「含まれていたことを確認せず」

大阪・関西万博は2,800万人を超える来場者を迎えた大規模イベントだったため、今回の発表を見て、入場チケットや万博IDなど一般来場者の個人情報まで影響したのではないかと懸念する人もいるかもしれません。

しかし、8月20日の公式発表では、不正アクセスの対象となった可能性があるのは再委託先が扱っていた催事運営関連のメールと添付ファイルです。

協会は、一般来場者の個人情報が含まれていたことは確認されていないと明記しています。

クレジットカード情報についても同様です。

これは「一般来場者の情報が絶対に影響していないことが最終確定した」という表現ではありませんが、少なくとも現時点で調査対象となっているデータの中に一般来場者の個人情報やカード情報は確認されていないという状況です。

万博閉幕から約7カ月後に発生

大阪・関西万博は2025年10月13日に閉幕しました。

今回の不正アクセスが発生したのは2026年5月13日で、閉幕から約7カ月後です。

この時間差は、今回の事案を見る上で重要です。

イベントが終了しても、委託先や再委託先には、イベント運営時に使用したメール、添付ファイル、担当者情報、台本、シフト表などが残っている場合があります。

万博協会は、従来から業務委託契約で個人情報管理を求めるとともに、契約業務終了後には個人情報を廃棄・消去することを義務付けていたと説明しています。

それでも今回、再委託先のMicrosoft 365内に万博関連の情報が残り、不正アクセスの対象になった可能性が判明しました。

協会は今後、委託先等における「保有する必要のなくなった個人情報の廃棄・消去等の状況」を改めて確認するとしています。

この点は、単にフィッシング対策だけではなく、契約終了時のデータライフサイクル管理が問われる事案です。

「削除を契約で義務付ける」だけではなく確認が必要

委託契約に「業務終了後はデータを削除する」と記載していても、実際に削除されたかを委託元が確認できなければ、不要なデータが長期間残る可能性があります。

特にMicrosoft 365のようなクラウド環境では、情報は利用者のメールボックスだけに存在するとは限りません。

共有メールボックス、OneDrive、SharePoint、Teams、バックアップなど、複数の場所に業務データが残る可能性があります。

今回の発表では、どの保存領域にデータが残っていたのかは明らかにされていません。そのため、具体的な保存状態を推測することはできません。

ただし、委託終了時には「削除すること」を契約条件にするだけでなく、削除対象を具体化し、作業完了を確認するプロセスを設ける必要があります。

例えば、契約終了時のチェックリスト、削除証明、保存期間の設定、アカウント無効化、共有領域の棚卸しなどです。

再委託先まで含めたインシデント報告体制を確認へ

今回の不正アクセスでは、万博協会から見ると、

「万博協会 → 委託先 → 再委託先」

という階層の先でインシデントが発生しました。

協会は再発防止策として、委託先等の安全管理措置だけでなく、インシデント報告体制や再委託先の管理状況も確認し、必要な改善を求めるとしています。

自社から直接契約している委託先についてはセキュリティチェックを行っていても、その委託先がさらに業務を外部へ委託している場合、管理範囲が見えにくくなります。

セキュリティ対策Labでは、委託先・再委託先を起点とするリスクについて「サプライチェーンリスクとは？インシデント事例から見る危険なポイントと対策を解説」で整理しています。

また、再委託先の侵害によって委託元の情報が影響を受けた事例として、「システム開発のAGS株式会社、再委託先へのランサムウェア攻撃で情報漏えいのおそれ」もあります。

今回の万博事案はランサムウェアではありませんが、「直接管理していない再委託先に委託元の情報が保存されている」という点は共通しています。

二次被害は未確認、万博関係者を装う連絡に注意

2026年8月20日時点で、今回の事案に起因する個人情報の不正利用など、具体的な二次被害は確認されていません。

一方、対象となった可能性があるデータには、氏名、所属、役職、メールアドレス、電話番号などが含まれます。

これらが実際に第三者へ取得されていた場合、万博協会や関係企業、過去の担当者を装うフィッシングメールやなりすまし連絡に利用される可能性があります。

協会も、心当たりのない電話やメールに記載されたリンクや添付ファイルを開かず、送信元を十分に確認するよう呼びかけています。

今回の不正アクセス自体がフィッシングメールを端緒としていることからも、万博に関係する具体的な組織名や人物名を使ったメールには注意が必要です。

ただし、現時点でこうした二次攻撃が実際に発生しているとの発表はありません。あくまで今後想定されるリスクとしての注意喚起です。

万博関連では過去にも情報管理インシデント

大阪・関西万博に関係する情報セキュリティ事案としては、2025年4月、ウズベキスタンパビリオンの独自予約システムで最大200人分の個人情報が他の利用者に表示される問題が発生しました。

セキュリティ対策Labでは「大阪・関西万博 ウズベキスタン館の予約システムで最大200件 個人情報漏洩」で取り上げています。

ただし、この事案と今回の再委託先Microsoft 365への不正アクセスに関連性があるとの情報はありません。

今回の事案は、催事運営に携わった再委託先のクラウドアカウントを起点とした別のインシデントです。

情報システム・委託先管理部門への示唆

今回の公表から、情報システム部門や委託先管理部門が確認したいポイントは大きく3つあります。

一つ目は、Microsoft 365などのクラウドアカウントに対するフィッシング対策です。

MFAの導入だけでなく、フィッシング耐性のある認証方式、条件付きアクセス、不審なサインインの監視、セッション管理などを組み合わせる必要があります。

ただし、今回の事案でMFAが利用されていたか、どの認証方式が突破されたかは公表されていないため、特定の対策不備を原因と断定することはできません。

二つ目は、再委託先まで含めたセキュリティ管理です。

委託先に再委託を認める場合は、誰に何の業務を再委託しているか、どの情報を渡しているか、どのクラウドサービスに保存されるか、インシデント発生時に何時間以内に報告するかを把握しておく必要があります。

三つ目は、契約終了後のデータ削除です。

今回のように、大規模イベントが終了してから数カ月後に、過去の業務データが不正アクセスの対象となる場合があります。

不要になったデータを持ち続ければ、業務上の価値は下がっても、漏えい時のリスクは残ります。

契約終了時には、メール、共有ストレージ、バックアップ、ローカル端末などを含めて削除対象を定義し、「削除すること」だけでなく「削除されたこと」を確認できる仕組みが必要です。

今回、万博協会も再発防止策の中で、再委託先の管理と不要な個人情報の廃棄・消去状況を確認すると明示しました。

今後の確認点は、不正アクセスの対象となった人数や実際のデータ取得の有無、攻撃経路の詳細、対象者への個別通知、再委託先管理とデータ削除の具体的な改善策が追加で公表されるかです。

関連記事

サプライチェーンリスクとは？インシデント事例から見る危険なポイントと対策を解説

委託先・取引先・クラウドサービスなど、自社の直接管理外で発生するセキュリティリスクと管理方法を解説しています。

システム開発のAGS株式会社、再委託先へのランサムウェア攻撃で情報漏えいのおそれ

再委託先へのサイバー攻撃によって、委託元の情報にも影響が及んだ事例です。

大阪・関西万博 ウズベキスタン館の予約システムで最大200件 個人情報漏洩

大阪・関西万博に関連して過去に公表された別の個人情報漏えい事案です。今回の事案との関連性は確認されていません。

出典

• 再委託先における不正アクセス事案による関係者・イベント出演者に関する個人情報の漏えい等に関するご報告とお詫び – 公益社団法人2025年日本国際博覧会協会
• 今週の万博 2025年10月13日 – 公益社団法人2025年日本国際博覧会協会