兵庫県「はばタンPay+」で深刻な個人情報漏洩事件発生、申請開始90分で緊急停止

兵庫県で発生した深刻な個人情報漏洩事件の全貌

2025年10月23日、兵庫県が運営する電子マネー申請システム「はばタンPay+子育て応援枠」で深刻なセキュリティ事故が発生しました。現役CSIRTアナリストとして数多くのインシデント対応を経験してきた立場から、この事件の技術的な問題点と対策について詳しく解説します。

午前9時にサービス開始したシステムで、申請者本人の画面に全く関係のない第三者の個人情報が表示されるという致命的な不具合が発生。県は午前10時30分頃、開始からわずか90分でシステムを緊急停止しました。

この種の問題は、Webアプリケーションの「セッション管理の不備」や「アクセス制御の欠陥」が原因で発生することが多く、過去にも類似事例が多数報告されています。

フォレンジック調査の経験から言えば、この種の不具合は以下のような技術的欠陥が原因となるケースがほとんどです：

特に今回のように「別人の申請情報が表示される」という現象は、アクセス制御が完全に機能していない状態を示しており、システム全体の信頼性に深刻な疑問を抱かざるを得ません。

このような公的システムの脆弱性は個人では制御できませんが、自身のデジタル環境におけるセキュリティ強化は必須です。

私が担当したインシデント事例では、個人情報漏洩の被害を受けた方々の多くが、その後のなりすまし詐欺やフィッシング攻撃の標的となっていました。一度漏洩した情報は完全に回収することができないため、予防的な対策が極めて重要です。

今回の事件から、システム開発・運用に関わる組織が学ぶべき重要なポイントがあります。

特に公的なシステムや個人情報を扱うWebサービスでは、Webサイト脆弱性診断サービスによる事前チェックが不可欠です。多くの重大インシデントは、適切な脆弱性診断により未然に防ぐことができます。

過去に私が調査した類似ケースでは、以下のような被害が報告されています：

これらの事例に共通するのは、「基本的なセキュリティ対策の不備」です。高度な攻撃手法ではなく、基礎的な実装ミスが原因となることが圧倒的に多いのが現実です。

このような事件を防ぐためには、技術的対策だけでなく、組織的な取り組みも必要です。

個人ユーザーとしては、自分でコントロールできる範囲でのセキュリティ強化が重要です。アンチウイルスソフトによる包括的な保護と、VPN を活用した通信の暗号化は、現代のデジタル社会において必須の防御手段と言えるでしょう。

今回の兵庫県システム事故は、公的機関のシステムであっても完璧ではないことを改めて示しました。だからこそ、個人も企業も、自分たちでコントロールできる範囲でのセキュリティ対策を怠ってはいけません。

CSIRTでの経験上、セキュリティ事故の多くは「基本的な対策の不備」から発生します。高度な攻撃手法に対する防御も重要ですが、まずは基礎的なセキュリティ対策を確実に実装することが、最も効果的な防御策となります。

デジタル社会における個人情報保護は、もはや個人の努力だけでは限界があります。しかし、自分でできる対策を着実に実行することで、リスクを大幅に軽減することは可能です。