【重大事案】県教委職員がマッチングアプリで奨学金受給者18人分の個人情報を漏えい｜現役CSIRTが語る対策法

鳥取県教育委員会で発生した深刻な個人情報漏えい事件

2025年1月、鳥取県教育委員会の男性職員が引き起こした個人情報漏えい事件が大きな波紋を呼んでいます。この職員は、マッチングアプリでの自己PRのために職場のパソコン画面が写り込んだ写真を投稿し、結果として奨学金受給者18人分の個人情報を不特定多数に晒してしまいました。

現役のCSIRTメンバーとして、この事件は典型的な「うっかりミス」による情報漏えいの事例として非常に重要な教訓を含んでいると感じています。

今回漏えいした情報は以下の通りです：

これらの情報は、悪用されれば詐欺やなりすましなど、深刻な二次被害を引き起こす可能性があります。

職員は仕事を紹介したいという軽い気持ちで写真を撮影したとのことですが、これは明らかにセキュリティ教育が不十分だったことを示しています。画面に表示された情報の重要性を認識できていませんでした。

多くの組織では、職場での写真撮影に関する明確なガイドラインが設けられていません。特にパソコン画面が写り込む可能性がある場合の注意事項が徹底されていないケースが多いのです。

写真を投稿する前に、以下の点を必ずチェックしましょう：

マッチングアプリやSNSのプライバシー設定を適切に管理し、不必要な情報公開を避けることが重要です。

年1回ではなく、四半期ごとの教育実施が推奨されます。特に実際の事例を用いた教育が効果的です。

以下の項目を含むガイドラインを作成し、全職員に周知させましょう：

デジタルフォレンジック調査の現場では、このような「うっかり漏えい」の事案を数多く見てきました。特に注目すべき点は、発覚までの期間が長かったことです（1月の投稿が9月に発覚）。

情報漏えいは時間の経過とともに被害が拡大する可能性があります。今回のケースでも、8か月間という長期間にわたって情報が公開されていたため、スクリーンショットを撮られた可能性は否定できません。

組織の機密情報が外部に流出することを防ぐDLPソリューションの導入を検討しましょう。これにより、スクリーンショットの撮影や外部への情報送信を制限できます。

アンチウイルスソフトの導入により、不正なアプリケーションの実行や怪しい動作を検知・ブロックすることができます。

組織のネットワークを外部の脅威から守るため、VPN の導入を検討することをお勧めします。特にリモートワーク時のセキュリティ確保に効果的です。

個人情報を取り扱う組織では、Webサイトのセキュリティ対策も重要です。Webサイト脆弱性診断サービスにより、サイトの脆弱性を定期的にチェックし、サイバー攻撃による情報漏えいを防ぎましょう。

今回の鳥取県教育委員会の事件は、どれほど小さな不注意でも深刻な情報漏えいに繋がることを示した典型例です。

重要なポイントは以下の通りです：

情報セキュリティは、一人ひとりの意識と行動にかかっています。このような事件を他人事とせず、自分自身や所属組織のセキュリティ体制を見直すきっかけにしていただければと思います。