大分県の防災メールで情報漏えいの可能性｜委託先への不正アクセスから学ぶ企業の備え

自社が利用しているメール配信サービスや顧客管理システム。その運用を委託している会社が不正アクセスを受けたら、預けている情報の安全を確認できますか。

2026年10月、大分県は、防災情報などを配信するシステムの委託事業者が不正アクセスを受け、登録者のメールアドレスが漏えいした可能性があると公表しました。

県の公表によると、漏えいした可能性があるのは「県民安全・安心メール」などの登録メールアドレス2万7,667件です。県職員の参集・安否確認システムについても、別途1万269件分の情報が影響を受けた可能性が報道されています。いずれも、実際の漏えいが確定したという意味ではなく、調査が必要な段階の情報です。

今回の事例から考えたいのは、自社のシステムだけでなく、外部の委託先やサービス提供事業者に預けている情報も管理する必要があるということです。

大分県の防災メールで何が起きたのか

大分県は2026年10月13日、県民安全・安心メールなどの配信システムを運用する委託事業者への不正アクセスに伴い、登録者のメールアドレス2万7,667件が漏えいした可能性を公表しました。

県は同日、新規登録、登録内容の変更、配信解除を停止しました。一方、登録済みの利用者に対する気象警報などの配信は通常どおり継続すると説明しています。つまり、登録に関する機能は停止しても、既存の配信機能は維持する対応が取られました。

また、報道では、県職員の参集・安否確認システムに登録されている氏名、所属、職員番号、メールアドレスなど1万269件分についても、漏えいした可能性があると伝えられています。

このように、外部委託先の事故は、ひとつのサービスだけでなく、同じ事業者が扱う複数のシステムや情報に影響する場合があります。

メールアドレスだけでも注意が必要な理由

メールアドレスは、氏名や住所、電話番号と比べると、単独では情報量が少ないように感じるかもしれません。しかし、メールアドレスが第三者に知られると、実在するサービスを装ったメールや、偽のログイン画面に誘導するフィッシングメールなどに悪用されるおそれがあります。

特に、防災情報や行政からの連絡を装ったメールは、受信者が内容を信頼して開いてしまう可能性があります。今回の件でも、県は不審な送信元から届くメールに注意するよう呼びかけています。

ただし、メールアドレスが漏えいした可能性があることと、実際に悪用されたことは別です。確認できている事実と、今後起こり得るリスクを分けて考えることが大切です。

中小企業にも関係する外部委託先のリスク

中小企業でも、メール配信、顧客管理、予約受付、オンライン販売、クラウド上のファイル保管など、さまざまな業務を外部サービスに任せています。

外部サービスを利用すること自体が問題なのではありません。自社で管理している情報がどのサービスに保管され、事故が起きたときに誰が連絡し、どのように影響を確認するのかが分からない状態は、見直す必要があります。

1．どの会社に、どの情報を預けているか

顧客の氏名やメールアドレス、問い合わせ履歴、従業員情報など、外部サービスに保管している情報を整理しておきましょう。サービス名だけでなく、情報の種類や利用目的も把握しておくと、事故が起きた際に影響範囲を確認しやすくなります。

2．委託先で事故が起きたとき、連絡が来るか

契約やサービスの説明を確認し、セキュリティ事故が発生した場合の連絡先、報告方法、対応範囲を把握しておきます。担当者が不在でも対応できるよう、社内の責任者と代行者を決めておくことも重要です。

3．影響を受けた情報を確認できるか

事故の連絡を受けた際に、どの情報が対象となった可能性があるのか、いつからいつまでのデータが関係するのか、利用者への連絡が必要かを確認できる体制を整えましょう。

社長が今から確認したい4つの備え

• 外部サービスと委託先の一覧を作成し、預けている情報を整理する
• 事故発生時の緊急連絡先と社内の対応責任者を確認する
• 委託先から事故の報告を受けたとき、影響範囲を確認する手順を決める
• 顧客や従業員への案内が必要になった場合の連絡手段を準備する

すべてを一度に見直す必要はありません。まずは、顧客情報を多く扱うサービスや、停止すると業務への影響が大きいサービスから確認してみましょう。

サイバー保険で確認しておきたいこと

サイバー保険は、契約内容や事故の状況によって、情報漏えいへの対応費用、原因調査費用、法律相談費用、損害賠償などが補償対象となる場合があります。ただし、委託先で事故が起きれば、必ずすべての費用が補償されるわけではありません。

自社の契約について、委託先やクラウドサービスに関連する事故が対象となるか、どの費用が補償されるか、免責金額や支払限度額、対象外となるケースは何かを確認しておきましょう。補償の可否は、契約条件や事故の状況によって異なります。

保険による費用面の備えと、委託先を把握し、事故の影響を確認できる体制づくりは別のものです。どちらも事前に準備しておくことが大切です。

まずは外部サービスを一つ確認してみる

今回の事例を自社に置き換えて、次の3つを確認してみてください。

• 顧客情報を預けている外部サービスと委託先を把握しているか
• 委託先で事故が起きたとき、誰に連絡し、何を確認するか決まっているか
• 顧客や従業員への案内が必要になった場合、連絡手段を確保できるか

外部サービスを利用する企業にとって、委託先のセキュリティは自社の事業継続や顧客情報の管理にも関わります。まずは利用中のサービスを一つ選び、預けている情報と事故時の連絡方法を確認することから始めましょう。

サイバーリスクへの備えやサイバー保険について詳しく知りたい場合は、パキラのサイバーリスク情報サイトもご覧ください。

参考：大分県「不正アクセスの疑いに伴う防災メール等配信システムの新規登録等停止について」