厚労省の委託事業サイトにサイバー攻撃、受講者最大595名の個人情報が漏えいのおそれ 委託先の管理を点検する機会に
厚生労働省は2026年10月22日、委託事業の受託者が運営する研修のWebサイトがサイバー攻撃を受け、受講者6名のメールアドレスとパスワードの漏えいと、最大595名分の個人情報が漏えいした可能性を公表しました。自社が委託先に個人情報を預けるときの点検ポイントをまとめます。
- 対象読者
- 研修や採用、福利厚生などで外部のWebサービスや委託先に従業員の個人情報を預けている、従業員30〜300名の企業の総務担当者
- 難易度
- 基本
- 所要時間
- 読了4分
- 最終確認日
この記事のポイント
- 厚労省の委託事業「東電福島第一原発廃炉等作業における被ばく低減対策普及啓発事業」の受託者が運営するWebサイトが、第三者によるサイバー攻撃を受けた
- 6名のメールアドレスとパスワードの漏えい、それを使った不正ログインを確認。受講者最大595名分の氏名・所属・電話番号などが漏えいした可能性がある
- 研修・採用・福利厚生などで委託先に従業員の情報を預けている会社は、委託先の安全管理と、事故時の報告の取り決めを点検しておきたい
厚生労働省は2026年10月22日、委託事業の受託者が運営するWebサイトがサイバー攻撃を受け、個人情報が漏えいし、さらに最大595名分の個人情報が漏えいした可能性があると公表しました。
何が起きたか
| 項目 | 内容 |
|---|---|
| 事業 | 東電福島第一原発廃炉等作業における被ばく低減対策普及啓発事業（作業指揮者等への教育などを行う委託事業） |
| 対象のサイト | 受託者が委託契約に基づき運営する研修のWebサイト |
| 原因 | 第三者によるサイバー攻撃 |
| 漏えいを確認 | 6名のメールアドレスとパスワード。その認証情報を使った不正ログインも確認 |
| 漏えいの可能性 | 受講者最大595名分（上の6名を含む）。氏名、ふりがな、年代、性別、所属組織・部署、役職、職種、メールアドレス、パスワード、電話番号、同発電所での経験年数、登録時の業務（登録状況により異なる） |
厚労省と受託者の対応
- サービスを停止し、外部からのアクセスを遮断
- 厚労省は受託者に被害拡大防止の措置を指導し、実施を確認。原因の調査と再発防止策を指導
- 対象者には個別に連絡
- 公表時点で、悪用や二次被害は確認されていない
- 漏えいした可能性のあるパスワードはシステムが機械的に付与したもので、他のサービスで使われている可能性は低いとしている
厚労省は、なりすましやフィッシング詐欺メールに悪用される可能性があるとして、不審なメールの添付ファイルやリンクを開かずに削除するよう呼びかけています。
公表の内容から分かること
今回は、受託者が運営するWebサイトのデータベースに、研修の受講者が登録した情報がまとめて保存されていました。研修の申込みや受講のために登録させた項目が多いほど、漏えいしたときの影響は大きくなります。また、漏えいしたメールアドレスとパスワードを使った不正ログインも確認されています。
会社として点検したいこと
研修の受講、採用の応募、福利厚生、健康診断の予約など、会社は従業員の個人情報を外部のサービスに預けることが少なくありません。個人情報保護法は、個人データの取扱いを委託する会社に、委託先への必要かつ適切な監督を求めています。
- □ 従業員の情報を預けている委託先・サービスの一覧があるか
- □ 契約で、安全管理の方法、再委託の扱い、事故時の報告の期限を決めているか
- □ 預ける情報が必要な範囲に絞られているか（不要な項目を登録させていないか）
- □ 委託先で事故が起きたとき、誰が受けて、従業員にどう知らせるかを決めているか
一定の漏えい等が起きたときは、個人情報保護委員会への報告と本人への通知（個人情報保護法第26条、委員会の案内）が必要になります。初動の流れは個人情報の漏えい時の対応、委託先の管理を含む基本は個人情報の管理にまとめています。
まとめ
国の委託事業でも、委託先のWebサイトから個人情報が漏れることがあります。自社が従業員の情報を預けている委託先を一覧にし、契約と事故時の連絡体制を、この機会に確認しておきましょう。