大阪国税局職員が警察を名乗る詐欺師の指示で納税者の個人情報漏洩｜権威型ソーシャルエンジニアリングの手口|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月16日更新日時: 2026年04月16日

2026年4月15日、大阪国税局は20代の職員が警察を名乗る何者かに指示され、調査中の納税者情報259件をLINEで外部に送信してしまったと発表し、謝罪しました。

この事案は単純な情報管理上のミスではなく、公的機関職員を特定してターゲットにした「権威型ソーシャルエンジニアリング攻撃」の典型的な手口です。一般市民を狙った「警察官なりすまし詐欺」の構造を、より機密性の高い情報へのアクセス権を持つ公務員に応用したケースとして、組織のセキュリティ担当者が注目すべき事例です。

▶ 関連記事：ソーシャルエンジニアリング攻撃の最新手口と組織的対策

1 インシデントの概要
2 職員の証言：「動揺して、身の潔白を証明するために言いなりになってしまった」
3 攻撃の手口分析：権威型ソーシャルエンジニアリングの5段階
- 3.1 「電話をつないだまま」という重要な特徴
4 なぜ公務員・公的機関職員が標的になるのか
5 大阪国税局の公式コメントと対応
6 なりすまし手口の識別と組織的対策
7 よくある質問（FAQ）
8 出典

インシデントの概要

大阪国税局の発表によれば、2026年4月13日（月）、20代の男性職員の携帯電話に千葉県警を名乗る何者かから電話がありました。「捜査の過程で（職員に）嫌疑がかかっている」との内容であり、そのまま電話でのやりとりが続きました。

職員は職業を問われ「税務署」と回答したところ、業務に関係する書類を送るよう要求されたということです。職員はその指示に従い、調査中の納税者に関する情報を計259件LINEで送信してしまいました。

その後、電話をつないだまま他の職員に相談したところ、その電話番号が詐欺で使用されている番号と判明し、ただちに電話を切りました。

項目	内容
発生日	2026年4月13日（月）
被害を受けた組織	大阪国税局（20代職員）
攻撃者の偽装	千葉県警を名乗る何者か（複数の可能性あり）
漏洩件数	個人情報179件＋法人情報80件＝計259件
漏洩の手段	LINE（メッセージアプリ）
情報の内容	大阪国税局が調査中の納税者に関する業務情報
発覚の経緯	電話をつないだまま他の職員に相談→電話番号が詐欺用番号と判明→電話を切断
公表日	2026年4月15日（水）

出典：MBSニュース（2026年4月15日）

職員の証言：「動揺して、身の潔白を証明するために言いなりになってしまった」

大阪国税局の聞き取りに対し、被害を受けた職員は次のように話しています（MBSニュース）。

「いきなりフルネームを言われ、畳みかけるように事件の嫌疑がかけられていると言われ、警察手帳を画面越しに見せられて信用した。動揺して、身の潔白を証明するために、言いなりになってしまった。」

この証言は、攻撃者が周到に計画した複数の心理的誘導技術を組み合わせていたことを示しています。

攻撃の手口分析：権威型ソーシャルエンジニアリングの5段階

今回の攻撃は、「権威型ソーシャルエンジニアリング（Authority-based Social Engineering）」の教科書的な手口を踏んでいます。以下に攻撃の段階を分解して解説します。

段階	攻撃者の行動	心理的効果
① 権威の確立	千葉県警を名乗り、公的機関（警察）としての権威を主張	相手が公的機関だという先入観から、反論・疑問を持ちにくくなる
② 個人情報の先出しによる信頼形成	フルネームをいきなり言い当てる	「本物の警察だから個人情報を知っている」と誤認させる。実際には公開情報・過去の漏洩データから入手可能
③ 恐怖と動揺の誘発	「事件の嫌疑がかかっている」と畳みかける	合理的判断力を奪い、「潔白を証明しなければ」という焦りを生む。これは認知科学でいう「脅威による判断力低下」
④ 偽の証拠提示	警察手帳を画面越し（ビデオ通話）に見せる	視覚的な「証拠」により信用度を高める。本物の警察手帳の模倣や、AI生成画像の可能性もある
⑤ 情報収集と要求	職業を確認→「税務署」と判明後、業務書類の送付を要求	被害者が高価値な情報アクセス権を持つことを確認してから要求を高める「フット・イン・ザ・ドア」技法

※セキュリティ対策Labによる攻撃手口の分析。職員の証言（MBSニュース、大阪国税局発表）をもとに構成

「電話をつないだまま」という重要な特徴

今回のインシデントで特筆すべき点が、攻撃者が電話を切らせなかったことです。これは詐欺師が意図的に行う重要な手口であり、「電話を切る＝嫌疑を認める」という心理的圧力を維持するために用いられます。

電話をつないだままにしておくことで、職員は第三者に相談することが心理的に困難になります。しかし今回は、電話をつないだままの状態で他の職員に相談し、詐欺用番号であることが判明したことで被害がそれ以上広がることを防ぎました。最終的に電話を切ることができたのは、他の職員への相談というとっさの判断があったためです。

なぜ公務員・公的機関職員が標的になるのか

今回の事案のように、公的機関職員を標的にするソーシャルエンジニアリング攻撃が近年増加しています。その背景には以下の構造的な要因があります。

高価値の情報へのアクセス権。税務職員は調査中の納税者の個人情報・法人情報・財産情報など、通常の手段では入手できない機密性の高い情報にアクセスできます。攻撃者は「誰を通じれば最も価値の高い情報を取得できるか」を計算して標的を選びます。

「守秘義務」の逆用。公務員は守秘義務を課されており、職務上の情報を漏らすことに強い抵抗感を持っています。しかしこの心理が「嫌疑がかかっている」という恐怖と組み合わされると、「早く潔白を証明しなければ」という焦りに転化します。これは規律の高さを逆手に取る手口です。

個人の携帯電話が接触窓口になりうる。業務用端末とは別に個人の携帯電話を持つ職員は多く、そこに直接連絡することで、組織的なセキュリティチェックを迂回できます。

「警察からの連絡」への心理的服従。日本社会において警察という権威に対する服従傾向は心理的に強く、「警察官に逆らう」という発想が困難になりがちです。この心理バイアスがソーシャルエンジニアリングに悪用されます。

大阪国税局の公式コメントと対応

大阪国税局は総務部長名で次のコメントを発表しています（MBSニュース、2026年4月15日）。

「税務行政に対する信頼を損なう事案が発生したことは誠に遺憾で、深くお詫び申し上げます。」

漏洩対象となった納税者に対しては、順次経緯を説明して謝罪し、二次被害防止のため注意を呼びかけているとしています。

二次被害として懸念されるのは、今回流出した個人情報・法人情報が、攻撃者によってさらに別のフィッシング詐欺や標的型詐欺に悪用されることです。特に税務調査中の納税者の情報は、「税務署を名乗る詐欺師」が本物らしく振る舞うための材料として高い価値を持ちます。

なりすまし手口の識別と組織的対策

今回のインシデントを踏まえ、組織のセキュリティ担当者・管理職が確認すべき対策を整理します。

個人として：「電話が突然来たらまず切る」の徹底

正規の警察・検察・捜査機関が職員の個人携帯に突然電話をかけ、その場で書類の送付を要求することはありません。以下の行動原則を個人として徹底することが最大の防衛になります。

「一度電話を切る」：電話をつないだままで判断・行動しない。「電話を切ることで嫌疑が深まる」というのは詐欺師の作り話。実際の捜査機関は公式文書で連絡する
公式番号への折り返し：名乗った機関の公式ウェブサイト記載の代表番号に自分から電話をかけて確認する
業務情報を個人LINEで送信しない：いかなる指示があっても、業務上の情報を個人のメッセージアプリで送信することは正式な手続きではありえない
「フルネームを知っている」は証拠ではない：個人情報は過去の漏洩データや公開情報から入手可能であり、「名前を知っている＝本物の警察」ではない

組織として：権威型ソーシャルエンジニアリングへの教育訓練

警察・行政機関を名乗る突然の電話への応答手順をSOPとして文書化し、全職員に周知する
「動揺させて判断力を奪い、書類や情報を要求する」という手口を、ロールプレイングを交えた定期訓練で体験させる
業務情報の外部送信には、個人のLINEやSMSを使用しないことを就業規則・情報セキュリティポリシーに明記する
不審な電話があった場合の即時報告ラインを整備し、職員が「おかしい」と感じた段階で迷わず上長に相談できる文化を作る

不審な電話への応答訓練は、座学だけでは定着しにくいのが実情です。攻撃者がAIを活用してソーシャルエンジニアリングのシナリオを量産・高度化する中、自社の教育訓練もAIで自動化・継続化することが現実的な対策となりつつあります。

▶ お役立ち資料：AIによりサイバー攻撃が高度化－最新脅威に対応したセキュリティ教育訓練の自動化（ヤグラ）

国税庁の既存の注意喚起との照合

国税庁はウェブサイト上で「税務職員が電話でお問合せをする場合は、提出いただいた申告書等を基に、その内容をご本人に確認することを原則としている」と案内しており、不審な電話があった場合は「即答を避け、相手の所属部署、氏名、電話番号を確認した上で一旦電話を切り、最寄りの税務署の総務課または国税局の納税者支援調整官まで問い合わせるよう」求めています（国税庁公式サイト）。

今回のインシデントは、この原則がまさに外部からの攻撃者ではなく、内部の職員本人に向けられた場合に何が起きるかを示す事例となりました。

よくある質問（FAQ）

今回の大阪国税局の個人情報漏洩で流出した情報の件数と種類は？

個人情報179件、法人情報80件の合計259件が、LINEを通じて詐欺師に送信されました。これらは大阪国税局が調査中の納税者に関する情報です。大阪国税局は漏洩対象となった納税者に対して順次経緯を説明して謝罪し、二次被害防止のため注意を呼びかけています。

攻撃者はどのような手口で職員に情報を送信させたのか？

千葉県警を名乗る何者かから職員の携帯電話に連絡があり、「捜査の過程で嫌疑がかかっている」と告げました。さらに職員のフルネームを言い当て、画面越しに警察手帳を提示することで信用させました。その後、職業を問われ「税務署」と回答したところ業務に関係する書類の送付を要求され、動揺した職員がLINEで259件の情報を送信してしまいました。この手口は「権威型ソーシャルエンジニアリング」に分類されます。

このような攻撃から自分や組織を守るにはどうすればよいですか？

最も重要な対策は「電話が突然つながったままの状態での指示には絶対に応じない」ことです。警察や検察など公的機関を名乗る電話が来た場合は、一度電話を切り、公開されている公式番号に自ら電話して確認することが必須です。また、「あなたに嫌疑がかかっている」という主張は、動揺させて判断力を奪うソーシャルエンジニアリングの典型的な手口であることを知っておくこと、業務上の情報をLINEなどの個人用メッセージアプリで送信することは正式な手続きでは行われないことを認識しておくことが重要です。