シンガポールの土地登記を担う政府機関で、委託先が管理する試験環境に不正アクセスがあり、約7万人分の氏名と身分証番号が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、身分証番号（NRIC）、当時の不動産の住所。推計約7万人分です。その後の対応と影響は、IBMが試験環境への接続権限を取り消した。土地庁は対象者に通知を始め、政府技術庁とサイバーセキュリティ庁と対応している。警察に届け出て、個人情報保護委員会（PDPC）に報告した。本番の登記システムとは接続がなく、所有権の記録に影響はないと説明したです。

原因になったのは「委託先が管理する試験環境に、匿名化されていない実データが残っていた」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

同庁の発表では、このデータの元は1998年に作られ、その後定期的に更新されてきた。試験用には匿名化されたデータだけを置くはずだったが、実データが匿名化されずに残っていた。匿名化されなかった経緯と、委託先の環境に入られた経緯は調査中で公表されていない。

原因の種類は「委託先での事故」です。業務を任せていた会社のシステムで起きた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は40件あります。

事故が起きてから公表されるまで

1. 1998年試験用データセットが作られ、その後定期的に更新される
2. 時期は公表されていない委託先が管理する試験環境に不正アクセスがある
3. 委託先が土地庁に連絡し、試験環境への接続権限を取り消す
4. 2026年7月3日土地庁が約7万人分の流出を公表し、警察とPDPCに届け出る

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

試験環境に置くデータを定期的に抜き出して調べ、実在の氏名や身分証番号が混じっていないかを確かめていれば、試験環境に入られても実データの流出は避けられた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 委託先が管理する開発・試験環境の一覧を、委託先と一緒に作る
2. それぞれの環境に実データ（本物の氏名・住所・番号）が置かれていないかを抜き取りで確認する
3. 試験用データの匿名化を誰が行い、誰が確かめるかを契約書か手順書に書く

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• Security Incident Involving an IBM-managed Cloud Environment（Singapore Land Authority）2026.07.03
• Data for 70,000 people compromised in Singapore after government test system exposed（Techgoondu）2026.07.03