何が起きたか
この事故で流出した、または流出したおそれがある情報は、学区の職員の社会保障番号、メールアドレス、住所。全体の件数は公表されていない。1つの学区で1,210人（報道）です。その後の対応と影響は、脆弱性を修正し、外部の専門家と調査し、警察に連絡した。2026年10月1日から学区に通知し、学区に代わって個人に通知する。大人には2年分の信用情報監視、未成年にはネット上の監視サービスを提供するです。
原因になったのは「利用していた第三者製ソフトの脆弱性」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
会社が利用していた第三者製ソフトの脆弱性を攻撃者が突き、システムに不正に接続した。ソフトの名前は公表されていない。
- 1つ外側 流出した情報報道
学区の職員の社会保障番号、メールアドレス、住所。全体の件数は公表されていない。1つの学区で1,210人（報道）。
- いちばん外側 その後の対応と影響報道
脆弱性を修正し、外部の専門家と調査し、警察に連絡した。2026年10月1日から学区に通知し、学区に代わって個人に通知する。大人には2年分の信用情報監視、未成年にはネット上の監視サービスを提供する。
なぜ起きたか
会社の通知では、8月14日に利用していた第三者製ソフトの脆弱性を見つけた。攻撃者はこの脆弱性を使ってシステムに入った。どのソフトか、不正な接続がいつ始まったかは公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年8月14日会社が第三者製ソフトの脆弱性と不正な接続を見つける
- 2026年10月1日学区の担当者に通知が届き始める
- 2026年10月2日学区の職員の情報が盗まれたと報道される
- 2026年10月16日学区が個人への通知を自ら行うかを選ぶ期限
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）業務で使う外部製ソフトの一覧と版を管理し、脆弱性情報が出た時にすぐ修正する体制があれば、侵入の機会を減らせた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 自社のサービスが使っている外部製ソフトの一覧と版を作る
- 脆弱性情報を確認する担当者と、修正までの期限を決める
- 顧客の職員や利用者の社会保障番号などの重要な情報を、必要な範囲だけ保存しているかを確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
