大阪市、あべの市税事務所職員を懲戒免職　税務システムで課税台帳改ざん、不正還付と他職員情報16回閲覧

大阪市は2026年8月27日、財政局あべの市税事務所に勤務する58歳の事務職員について、税務事務システムの職務上の権限を不正に利用し、自身の個人市・府民税の課税台帳を改ざんして還付金を得たほか、業務上の必要がないまま複数職員の税情報を閲覧していたとして、懲戒免職にしたと公表しました。処分日は8月24日です。

大阪市によると、職員は自身の税情報を操作し、本来より高い税額で課税された状態を作った後、税額を減額することで還付を発生させ、改ざんした課税情報を基に作成した過誤納金還付請求書を使って不正に還付金を得ました。

さらに、税額変更通知書が住所地へ送付されることを避けるため、自身の送付先情報も必要な手続きを経ずに変更していました。

職員は2024年度から2026年度にかけ、業務上必要がないにもかかわらず複数職員の税情報を少なくとも16回閲覧したほか、自身の税情報も不正入力を目的に約400回閲覧していました。

今回の事案は外部からのサイバー攻撃ではなく、正規に付与された税務システムの入力・閲覧権限を職員が私的目的で悪用した内部不正です。

大阪市税務システム不正利用のサマリー

• 大阪市は2026年8月27日14時、財政局職員の懲戒処分を公表しました。
• 処分日は8月24日で、あべの市税事務所の58歳の事務職員を懲戒免職としました。
• 処分根拠は地方公務員法第29条第1項各号です。
• 職員は税務事務システムへの入力権限を利用し、自身の個人市・府民税の課税台帳を改ざんしました。
• 本来より高い税額で課税された状態を作った後、税額を減額して還付を発生させ、不正に還付金を得ました。
• 2023年6月と2025年5月に、自身の税情報の一部を不正に取り消しました。
• 2025年4月と2026年4月には、自身の税情報を不正に入力しました。
• 2024年5月には、税額変更通知書が住所地へ届くことを避けるため、自身の送付先情報を必要な手続きなく変更しました。
• 2024年度から2026年度にかけ、業務上必要がないまま複数職員の税情報を少なくとも16回閲覧しました。
• 自身の税情報については、不正入力を目的として約400回閲覧していました。
• 事実関係の聴取時には、上司に虚偽の報告も行っています。
• 大阪市の公式発表では、不正還付の金額、発覚の経緯、他職員の税情報が外部へ持ち出されたかどうかは明らかにされていません。
• MBSや関西テレビなどは、不正に受け取った還付金が約9万9,000円だったことや、2026年6月の開示請求を調べる過程で発覚したことなどを報じています。
• 本件は外部からの不正アクセスではなく、職員に正規付与された権限の目的外利用・不正操作として整理する必要があります。

項目	内容
公表日	2026年8月27日
処分日	2026年8月24日
対象組織	大阪市 財政局あべの市税事務所
被処分者	係員、事務職員、58歳
処分	懲戒免職
根拠法令	地方公務員法第29条第1項各号
インシデント	税務事務システムの職務権限を利用した内部不正
課税情報	自身の個人市・府民税の課税台帳を改ざん
還付	改ざんした課税情報を基に不正に還付金を取得
不正還付額	大阪市公式資料では非公表。報道では約9万9,000円
送付先情報	2024年5月に自身の送付先を必要な手続きなく変更
他職員情報の閲覧	複数職員の税情報を少なくとも16回、業務目的なく閲覧
自身の税情報閲覧	不正入力を目的に約400回
外部への情報漏えい	大阪市公式資料では確認できませんでした
発覚経緯	大阪市公式資料では非公表。関西テレビは2026年6月の開示請求を調べる中で発覚と報道
市の対応	服務規律とコンプライアンス意識の周知徹底
警察への相談	公式資料では確認できませんでした。MBSは警察へ相談したと報道

税額を一度高くし、その後減額して還付を発生

大阪市が公表した処分事由では、職員が税務事務システムへの入力権限を使い、自身の課税情報を操作した経緯が具体的に説明されています。

職員は、現金で還付を受けることを目的として、本来課税されるべき税額より高い税額で課税された状態を作り、その後に税額を減額することで還付を発生させました。

大阪市によると、2023年6月と2025年5月にシステム上の自身の税情報の一部を不正に取り消し、2025年4月と2026年4月には自身の税情報を不正に入力しています。

そのうえで、改ざんした課税情報を基に作成した過誤納金還付請求書を使用し、不正に還付金を得ました。

大阪市の公式公表では、不正に受け取った金額は明示されていません。

MBSニュースや関西テレビは、大阪市への取材情報として、職員が約9万9,000円を現金で受け取ったと報じています。

なお、本件について大阪市は「不正に還付金を得た」と公表していますが、「横領」「詐欺」などの罪名は公式発表で使用していません。本稿でも独自に犯罪名を付けず、税務システムを利用した内部不正として扱います。

通知を避けるため、自身の送付先情報も不正変更

課税台帳の改ざんだけではありません。

職員は2024年5月、税額変更通知書が自身の住所地へ送付されることを避けるため、必要な手続きを経ずに税務事務システム上の自身の送付先情報を変更しました。

つまり、課税額を操作するだけでなく、その変更によって通常発生する通知が自宅へ届かないよう、別のシステム情報にも手を加えていました。

大阪市は、変更された送付先や、送付先変更にどのような承認手続きが本来必要だったのかについては公表していません。

そのため、送付先変更機能そのものに統制上の不備があったと断定することはできません。

一方、内部統制の観点では、金銭的な結果を生むデータ変更だけでなく、その変更を本人や管理者へ通知する仕組みまで同じ職員が操作できる場合、検知を回避されるリスクがあります。

他職員の税情報を少なくとも16回、業務目的なく閲覧

大阪市は、金銭に関する不正とは別に、職員が他の職員の税情報を目的外閲覧していたことも処分理由に含めています。

2024年度から2026年度にかけて、業務上必要がないにもかかわらず、複数職員の税情報を少なくとも16回閲覧していました。

大阪市の公式発表では、閲覧された職員の人数、閲覧した情報項目、閲覧目的、閲覧した情報を第三者へ提供したかどうかは明らかにされていません。

このため、「他職員の個人情報が外部へ漏えいした」と表現することはできません。

確認されているのは、職務上の必要がない状態で税情報を閲覧したという目的外利用です。

MBSニュースは、大阪市への取材情報として、職員が他職員の情報を「興味本位」で見ていたと報じています。

自身の税情報は約400回閲覧

職員は、他職員の税情報だけでなく、自身の税情報も約400回閲覧していました。

大阪市は、この閲覧について「自身の税情報を不正に入力する目的」と説明しています。

1人の利用者が自身に関係する税情報を数百回閲覧していたという事実は、内部不正の検知という観点で重要です。

ただし、大阪市は、約400回の閲覧がどの期間に集中していたのか、当時アクセスログのアラートや定期監査が行われていたのか、通常業務と比較して異常と判断できる頻度だったのかについては公表していません。

そのため、「監視システムが機能していなかった」と断定することはできません。

一方で、自己情報への大量アクセスや、担当業務と関係しない職員情報への反復照会は、内部不正検知ルールとして設定を検討できる代表的なパターンです。

上司への虚偽報告も処分理由に

大阪市は、職員が本件に関する事実関係の聴取で上司に虚偽の報告をしたことも明らかにしています。

つまり今回の処分は、課税台帳の改ざん、不正な還付金取得、送付先情報の変更、他職員情報の目的外閲覧、自身の税情報の多数回閲覧だけでなく、調査時の虚偽報告も含めて判断されています。

大阪市は地方公務員法第29条第1項各号を根拠として、8月24日付で懲戒免職処分としました。

約9万9,000円受領と発覚経緯は報道ベース

大阪市の8月27日の公式資料には、不正還付金額や発覚のきっかけについて具体的な記載がありません。

MBSニュースと関西テレビは、大阪市への取材情報として、職員が不正に受け取った還付金は約9万9,000円だったと報じています。

MBSによると、職員は「小遣いにしようと思った」などと説明しているとされています。

また関西テレビは、2026年6月、市に寄せられた開示請求を調べる中で不正が発覚したと報じています。

これらは大阪市公式Webページに記載された情報ではないため、本稿では報道ベースの情報として区別しています。

「正規権限の悪用」は外部攻撃と異なる

今回の事案は、外部の攻撃者が脆弱性や盗んだ認証情報を使って税務システムへ侵入したケースではありません。

大阪市の説明では、職員は「税務事務システムへの入力権限」を利用しています。

つまり、本人が業務上付与されていた正規のシステム権限を私的目的で利用した内部不正です。

内部不正では、認証を強化するだけでは防止できないケースがあります。本人は正規のアカウントを利用しているためです。

必要になるのは、「ログインできるか」だけではなく、「その利用者が、そのデータを、その目的で処理してよいか」という業務権限と利用目的まで含めた制御です。

セキュリティ対策Labでは、自治体・官公庁における職員の目的外閲覧や内部不正について「2026年に発生した自治体・官公庁へのサイバー攻撃・情報漏洩事例」でも整理しています。

自分自身のデータを処理できる権限は利益相反リスクになる

今回の事案で内部統制上の大きな論点となるのが、税務担当職員が自身に関係する課税情報を操作できた点です。

大阪市の公式資料からは、この職員がどの範囲の納税者データを通常業務として扱う立場だったのか、自身のデータを処理することを禁止するシステム制御が存在したかは確認できません。

したがって、自己データへのアクセス制限がなかったこと自体を事案の原因と断定することはできません。

一方、税務、給与、経費、福利厚生、金融取引など、自分自身に金銭的利益を生じさせる情報を扱うシステムでは、本人が自分のレコードを処理することは利益相反につながります。

実務では、自己データの変更をシステム上で禁止する、別担当者へ自動的に回付する、例外的なアクセスには上司承認を要求する、自己情報へのアクセスが発生した際に監査担当へ通知するなどの統制が考えられます。

課税変更と還付を一連の取引として監査できるか

今回の不正は、一度の入力だけで完結したものではありません。

課税情報の変更と、その後の減額、還付請求という複数の処理が組み合わされています。

このようなケースでは、それぞれの操作を単独で監視するだけでは異常を見逃す可能性があります。

内部統制では、同じ納税者について短期間に課税額の増減が繰り返され、その後に還付が発生するケースや、同じ職員が変更処理と還付に関係する複数の操作を行うケースなどを、一連の取引として確認できる仕組みが重要です。

また、課税情報の変更と還付承認を別の担当者が行う職務分掌、一定額や例外処理に対する上位承認、変更前後のデータを残す監査証跡なども検討対象になります。

ログは保存するだけでなく「見る」仕組みが必要

大阪市の事案では、他職員情報への少なくとも16回の目的外閲覧と、自身の税情報への約400回のアクセスが確認されています。

システムに操作ログが存在していても、インシデント発生後に確認するだけでは予防・早期検知にはつながりません。

内部不正対策では、職員が自身や利害関係者のデータへアクセスしているケース、担当外の人物や同僚の情報を繰り返し閲覧しているケース、通常業務と比較して照会回数が突出しているケース、課税額や支払額を変更した直後に還付・返金処理が発生しているケースなどを定期的に抽出し、監査対象にすることが有効です。

ただし、異常検知だけで職員の不正を断定することはできません。業務上正当な理由が存在するケースもあるため、検知後に管理者や内部監査部門が確認する運用が必要です。

大阪市は服務規律・コンプライアンス徹底を表明

大阪市財政局は今回の事案を重く受け止め、一人ひとりの職員に対して、公務員としての立場を自覚し、市民の疑惑や不信を招く行為を慎むよう周知するとしています。

また、服務規律の確保とコンプライアンス意識の徹底に取り組むとしました。

一方、8月27日の公式発表では、税務事務システムのアクセス権限変更、自己情報へのアクセス制御、操作ログの自動監視、承認フローの変更など、具体的なシステム対策は公表されていません。

関西テレビは、大阪市が今後、職員が自身の課税情報に触れられないような配置などを検討すると報じています。

MBSニュースも、アクセス記録の定期確認などを再発防止策として検討していると報じています。

今後、大阪市が具体的なシステム・内部統制対策を公表するかが確認ポイントになります。

内部監査・情報システム部門への示唆

今回の事案は、「必要な権限を持つ職員による不正」をどのように防ぎ、早期に検知するかという内部統制の問題です。

第一に、自己処理の禁止または分離です。税務、給与、会計、経費など、本人の金銭的利益に直結するシステムでは、職員が自身のレコードを変更できない設計が基本となります。業務上どうしても必要な場合は、例外処理として別担当者や管理者による承認を必須にする方法があります。

第二に、職務分掌です。データの入力、変更、承認、還付・支払処理を同じ利用者が完結できないようにし、重要操作には複数人を関与させる必要があります。

第三に、アクセスログの継続監査です。自己情報へのアクセス、同僚情報への反復照会、通常から大きく外れた照会回数などを定期的に抽出し、内部監査や管理者が確認できる仕組みが必要です。

第四に、通知・連絡先情報の変更も重要操作として扱うことです。不正な金銭処理そのものだけでなく、それを本人や監督者に知らせる通知経路が変更されると、不正の発見が遅れる可能性があります。

第五に、操作の前後関係を監査することです。単一の入力内容だけを見るのではなく、課税変更、再変更、還付といった一連の処理を関連付けて確認する必要があります。

内部不正では、「誰がログインしたか」は分かっていても、「その行為が業務として正当だったか」を判断できなければ検知につながりません。

アクセス権限の最小化、職務分掌、操作ログ、定期監査、異常検知を組み合わせ、正規権限の悪用を前提にした統制を整備することが重要です。

出典

• 職員の懲戒処分について – 大阪市
• あべの市税事務所 – 大阪市
• 「小遣いにしようと思った」自身の税データを改ざんし“税金過払い状態”に 差額の還付受けた大阪市の税事務所職員（58）を懲戒免職 – MBSニュース
• 「お小遣いがほしかった」市税事務所の職員を懲戒免職 税務システムを不正に操作し還付金を受けとる – 関西テレビ
• 2026年に発生した自治体・官公庁へのサイバー攻撃・情報漏洩事例 – セキュリティ対策Lab