徳島県、住基ネット用HDD2台をデータ未消去で誤廃棄した可能性個人情報含むログ延べ46万件|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月13日更新日時: 2026年08月13日

徳島県は2026年8月10日、住民基本台帳ネットワークシステム（住基ネット）の機器更改に伴ってリース事業者へ返却したバックアップ用外付けハードディスク（HDD）2台について、データを消去しないまま廃棄された可能性が高いと公表しました。

HDDには住基ネットの操作履歴（アクセスログ）が保存されており、氏名、住所、生年月日、性別、個人番号のいずれかを含むデータが延べ約46万件、このうち個人番号を含むデータが延べ約18万件記録されていました。徳島県は、同一人物の情報が重複して記録された「延べ件数」であり、46万人分の個人情報を意味するものではないとしています。

県によると、HDDは再委託先で所在不明となり、調査の結果、誤って廃棄・破砕ルートへ混入して物理的に破砕された可能性が極めて高いとされています。一方、外部侵入や意図的な持ち出し、別ルートへの流通は確認されていません。

徳島県のHDD誤廃棄事案のサマリー

徳島県が住基ネットの機器更改に伴って返却したバックアップ用外付けHDD2台が所在不明となりました。
HDDには住基ネットの操作履歴が保存され、氏名、住所、生年月日、性別、個人番号のいずれかを含むデータが延べ約46万件記録されていました。
このうち個人番号を含むデータは延べ約18万件です。
件数は同一人物の重複を含む延べ件数であり、「約46万人分」ではありません。
住基ネットに登録された情報そのものがHDDに保存されていたわけではなく、保存されていたのは操作履歴です。
リース事業者から再委託先への再委託は、徳島県の承認手続きを経ずに行われていました。
再委託先では処理遅延や保管スペースの逼迫により通常と異なる運用が行われ、HDDが誤って廃棄・破砕ルートへ混入したと判断されています。
外部侵入、意図的な持ち出し、他ルートへの流通は確認されていません。
リース事業者は、HDDがマテリアルリサイクル業者へ引き渡され、すでに物理的に破砕された可能性が極めて高いとしています。
徳島県は、本事案に便乗したフィッシング詐欺や便乗詐欺への注意を呼びかけています。

項目	内容
公表日	2026年8月10日
対象組織	徳島県企画総務部市町村課
漏えい情報の内容	住基ネットの操作履歴。氏名、住所、生年月日、性別、個人番号のいずれかを含むデータ。住基ネットの情報そのものは保存されていません
件数	個人情報を含むデータ：延べ約46万件。うち個人番号を含むデータ：延べ約18万件
対象媒体	バックアップ用外付けHDD 2台
対応状況	施設内全量確認、防犯カメラ映像の精査、関係者へのヒアリング、外部搬出先の調査を実施。HDDは誤廃棄され、物理的に破砕された可能性が極めて高いと判断
外部流出の確認	外部侵入、意図的な持ち出し、他ルートへの流通は確認されていません
個人情報保護委員会への報告状況	公表資料では確認できませんでした

住基ネットのバックアップ用HDD2台が所在不明に

徳島県によると、住基ネットの機器更改に伴い、2026年5月21日にリース機器を事業者へ返却しました。

リース事業者はNECキャピタルソリューション株式会社で、返却された機器は再委託先の株式会社川上キカイの施設で保管されていました。

その後、6月23日に再委託先がデータ消去前の数量確認を行ったところ、バックアップ用外付けHDD2台が所在不明となっていることが判明しました。再委託先からリース事業者への報告は7月6日、リース事業者から徳島県への報告は7月8日に行われています。

徳島県は、今回の再委託について、県の承認手続きを経ずに実施されていたとしています。

HDDには個人情報を含む操作履歴が延べ約46万件

所在不明となったHDDに保存されていたのは、住基ネットの操作履歴（アクセスログ）です。徳島県は、住基ネットに登録された情報そのものが保存されていたわけではないと説明しています。

操作履歴には、氏名、住所、生年月日、性別、個人番号のいずれかを含むデータが延べ約46万件記録されていました。このうち、個人番号を含むデータは延べ約18万件です。

注意が必要なのは、この約46万件という数字が対象人数ではない点です。操作履歴というデータの性質上、同一人物の情報が複数回記録されているため、徳島県は「延べ件数」としています。

また、所在不明となったHDDには、口座情報やクレジットカード情報は含まれていません。

処理遅延と保管スペース逼迫で通常と異なる運用

徳島県の発表では、再委託先の施設で受入物量が増加し、処理遅延と保管スペースの逼迫が発生していました。

本来は2階で保管すべき検品後の機器が1階の保留品置場で保管され、本来2階の担当者が実施する仕分け作業を、仕分け経験の少ない1階担当者が行っていたとされています。

こうした通常とは異なる運用の中で、対象HDDが誤ってマテリアルリサイクルの廃棄・破砕ルートへ混入したと判断されています。

リース事業者と再委託先は、施設内の全量確認、防犯カメラ映像の精査、関係者へのヒアリング、外部搬出先の調査を実施しました。その結果、外部からの侵入や意図的な持ち出し、他のルートへの流通は確認されていません。

リース事業者は、これらの調査結果から、対象HDDは誤廃棄によってマテリアルリサイクル業者へ引き渡され、すでに物理的に破砕処理された可能性が極めて高いと結論付けています。

ただし、HDDそのものを回収して破砕済みであることを直接確認したという発表ではないため、情報が外部に流出していないことまで断定できる状況ではありません。

委託先だけでなく再委託先まで含めた媒体管理が課題

今回の事案では、データ消去前の記録媒体が委託先から再委託先へ移動し、その後の保管・仕分け工程で所在不明となりました。

情報機器の廃棄を外部へ委託する場合、契約上「データ消去」「物理破壊」を定めるだけでなく、どの事業者が実際の作業を行うのか、再委託が発生する場合にどのような承認手続きを取るのか、媒体がどの工程にあるのかを追跡できる管理が必要です。

セキュリティ対策Labでは、廃棄を委託したHDDが破砕されず外部流通した事案として、北海道医療センターなどで廃棄HDDが外部流通-17万件の個人情報漏洩の恐れについても取り上げています。

記録媒体の廃棄では、委託先へ引き渡した時点で管理を終了するのではなく、媒体番号やシリアル番号による台帳管理、受け渡し記録、データ消去証明、物理破壊の証跡、再委託先の管理まで含めて確認することが重要です。

フィッシング詐欺や便乗詐欺に注意

徳島県は、本事案に乗じたフィッシング詐欺や便乗詐欺に注意するよう呼びかけています。

今回のHDDには個人番号を含む操作履歴が記録されていたため、徳島県や関係機関を装い、「個人番号の確認が必要」「情報漏えいへの対応が必要」などとして個人情報の入力を促す連絡が発生する可能性には注意が必要です。

徳島県は、県や関係機関が電話やメールなどで個人番号や口座情報を聞くことはないとしています。不審な電話やメール、SMSなどを受け取った場合は、連絡先やURLをそのまま信用せず、公式に案内されている窓口から確認する必要があります。

また、氏名や住所などの情報が悪用された場合には、行政機関や関係事業者を装ったなりすまし、取引先や関係者を装う連絡などの二次被害も考えられます。ただし、現時点でこうした不正利用や二次被害が発生したとの公式発表は確認できませんでした。

情報システム部門への示唆

今回の事案は、記録媒体の廃棄管理を「消去を委託した」という契約上の対応だけで完結させないことの重要性を示しています。

情報システム部門では、HDDやSSDなど個人情報を保存した媒体について、廃棄までのライフサイクルを資産管理の一部として管理する必要があります。特に確認したいのは、媒体の台帳と現物が一致しているか、消去前と消去後の保管場所が明確に分離されているか、再委託が事前承認制になっているか、作業完了時に媒体単位の証跡を取得できているかという点です。

さらに、委託先の業務量増加や人員変更、保管場所の変更など、平常時と異なる運用が発生した場合のエスカレーションルールも重要です。手順書が存在していても、処理遅延や保管スペース不足を理由に例外運用が常態化すれば、誤廃棄や紛失につながる可能性があります。

媒体廃棄を外部委託している組織では、契約内容だけでなく、実際の作業場所、再委託の有無、媒体の受け渡し方法、消去・破砕完了までの追跡方法を改めて確認することが求められます。