福岡県 新型コロナ陽性者情報の誤送信による漏えい

何があったか

入口

本来送付すべきアドレスと酷似していた別人のメールアドレスに、患者情報が入ったフォルダへのアクセス権を付与するメールを誤って送信した

決め手の失敗

誤送信先の本人から指摘を受けた際、フォルダ単位のアクセス制限は行ったが、フォルダ内の個別のファイルへのアクセス制限を行っていなかったため、ファイルのURLを直接入力すれば約1カ月間引き続き閲覧できる状態が続いた

被害

県内の新型コロナウイルス感染症陽性者に関する情報約9,500人分(氏名、居住地、年齢、性別、症状などが記載された患者一覧表)が、2020年11月30日から2021年1月6日の発覚まで、本来の送付先ではない第三者が閲覧できる状態にあった

攻撃の流れ

1. 入口調整本部が医療関係者1名へ患者情報を含むフォルダのアクセス権を付与するメールを送信しようとした際、宛先のアドレスを、酷似した別人のアドレスと間違えて送信した
2. 指摘と不十分な対応誤送信を受けた本人から宛先間違いの連絡があり、県は即日その人物のフォルダへのアクセス制限を行った。しかしフォルダ内の個別のファイルへのアクセス制限は行っていなかった
3. 閲覧可能状態の継続個別のファイルのアクセス制限が漏れていたため、ファイルのURLに直接アクセスすれば、2020年11月30日から2021年1月6日まで約1カ月間、引き続き閲覧できる状態が続いた
4. 発覚2021年1月6日、一部報道機関からの取材により個人情報の漏えいが発覚した
5. 対応クラウド上にアップロードしていた全てのファイルを削除し、誰も閲覧できない状態にした。対象者への説明と謝罪、アクセス状況の調査、再発防止策の検討を進めるとした

数字で見る

• 約9,500人分 漏えいした陽性者情報の件数[1]
• 2020年11月30日から2021年1月6日 誤送信から発覚までの期間[1] 資料の日付から数えると約1カ月間、閲覧可能な状態が続いた

気づいたきっかけ

一部報道機関からの取材により、個人情報の漏えいが発覚した

対応と復旧

発覚後、クラウド上にアップロードしていた全てのファイルを削除し、全ての者が閲覧できない状態にした。対象者に速やかに事実関係を知らせるとともに謝罪し、個々のファイルへのアクセス状況について調査を実施するとした。再発防止策については早急に検討するとした

組織が認めた原因と、決めた対策

自分のサービスで確かめること

• 重要な個人情報を含むファイルへのアクセス権をメールで付与する運用で、送信前に宛先を確認する仕組み(宛先確認ダイアログなど)があるか確かめる
• URLを知っていれば誰でも閲覧できる共有リンクの運用をしていないか、個別認証が必須になっているか確かめる
• 誤送信や誤共有の指摘を受けた際、フォルダ単位の制限だけでなく配下の個別ファイルのアクセス権まで確認し直す手順になっているか確かめる
• クラウド共有している機微な情報について、定期的にアクセス状況や公開範囲を棚卸しする仕組みがあるか確かめる

関わる攻撃とレッスン

時系列

1. 2020年
2. 11月30日 侵入 アクセス権を付与するメールを酷似した別人のアドレスへ誤送信した。同日中に指摘を受けフォルダのアクセス制限を行ったが、個別ファイルの制限は行われなかった[1]
3. 2021年
4. 1月6日 発覚 一部報道機関の取材により漏えいが発覚し、クラウド上の全ファイルを削除した[1]
5. 1月6日 公表 福岡県が個人情報の漏えい等事案について公表した[1]

攻撃した側について

攻撃ではなく、県のメール送信ミスとアクセス制限の不備による漏えい

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

1. 新型コロナウイルス感染症対策本部(調整本部)における個人情報の漏えい等事案について 福岡県、2021年1月6日、被害組織の資料