東京都水道局は2026年3月6日、令和7年度水使用実態に関する調査研究委託に関連して、委託先の協力会社であるシード・プランニングでサイバー攻撃被害が発生し、個人情報漏えいの可能性があると公表しました。
同日、シード・プランニングも、自社サーバーおよび端末の一部が第三者による不正アクセスを受け、ランサムウェア感染によるシステム障害が発生したと発表しています。
今回の特徴は、東京都水道局のシステムそのものが攻撃を受けたわけではなく、調査業務を担う委託スキームの中で、協力会社が侵害された点です。行政が持つ情報であっても、実務を担う外部事業者側の管理状況次第で漏えいリスクが生じる構図が改めて浮き彫りになりました。
対象となった委託業務
東京都水道局の説明によると、対象となったのは令和7年度水使用実態に関する調査研究委託です。受託者はクロス・マーケティング、協力会社はシード・プランニングで、スマートメータを設置している利用者を対象にアンケート調査を行い、水使用の実態を把握・分析する業務でした。
この委託に関連して、漏えいの可能性がある情報は約13万件とされており、内容には使用水量、お客さま番号、住所、使用者名などが含まれています。
単なる連絡先名簿ではなく、水道利用に関する実データが含まれる点は軽視できません。生活実態や居住情報と結び付き得るため、情報の性質としても慎重な扱いが求められます。
経緯
両者の公表内容を合わせると、経緯は次の通りです。
2026年3月2日早朝、シード・プランニングの端末の一部で、ランサムウェアによるファイル暗号化被害が確認されました。シード・プランニングは直ちに全ネットワークを遮断し、被害拡大防止のための緊急措置を講じたうえで、外部専門家を交えた調査を開始しました。
その後、3月6日までの間は、感染経路の遮断、封じ込め、さらなる被害拡大の防止を優先して対応していたとしています。東京都水道局には、3月6日にシード・プランニングから報告を受けたクロス・マーケティングを通じて連絡が入ったとされています。
情シス部門が押さえるべきポイント
この事案を情報システム部門の視点で見ると、教訓は明確です。
委託先管理は契約書だけでは足りず、実装と運用まで確認しなければ意味がありません。
特に重要なのは、委託先や協力会社に渡すデータの最小化です。約13万件という規模の情報が協力会社側で扱われていた以上、本当にその全件が必要だったのか、匿名化や仮名化、分割管理はできなかったのかを検証する必要があります。
漏えい対象者が取るべき対策
まず、見覚えのないメールの添付ファイルやURLは開かないことが基本です。加えて、水道局や調査会社を名乗る連絡であっても、その場で個人情報を答えたり、案内されたサイトへ入力したりしないことが重要です。
