【インシデント速報】2026年8月30日｜患者8.3万人分のHDD紛失・フォーム設定ミス・通知書の誤廃棄
secure【インシデント速報】2026年8月30日｜患者8.3万人分のHDD紛失・フォーム設定ミス・通知書の誤廃棄
今回の3件はいずれも派手なサイバー攻撃ではなく、記録媒体・書類・Webフォームの「管理不備」による漏えい。中小企業でも同じ形で起こりやすく、防ぐには特別な製品より運用ルールの徹底が効く。廃棄前の物理破壊、公開設定の確認、書類の受け渡し台帳の3点を今日から見直す。
国立国際医療センター｜廃棄予定のHDDが所在不明、患者8万3007人分の検査情報
国立健康危機管理研究機構は、国立国際医療センターで、患者の個人情報が記録された内蔵ハードディスク（HDD）が所在不明になっていることを公表した。検査機器から取り外し、廃棄予定だったHDDで、施錠された倉庫に保管していたが、2026年4月16日に紛失が判明した。機構内を捜索したが発見できていない。
対象は、1998年12月15日から2023年12月27日までに検査を受けた患者8万3007人分。氏名、年齢、性別、患者ID、検査日、心機能に関する検査結果に加え、病名や感染症に関する検査結果、投薬状況などが含まれる。HDDは検査機器に接続しないとデータを閲覧できない前提で、病名・感染症の検査結果はデータ生成から1カ月後に自動削除される設定だったという。同センターは対象患者に個別に謝罪している。
中小企業への影響
「廃棄予定だから」「施錠倉庫にあるから」という油断が、機微な情報の大量紛失につながった典型例。パソコンの入れ替えやリース返却で外したストレージは、社内でも紛失・誤廃棄が起こりやすい。中小企業でも顧客名簿や取引データの入った古いHDD・SSD・USBメモリが管理されないまま倉庫に眠っているケースは多い。
推奨対応
- 廃棄する記録媒体は「保管」ではなく速やかに物理破壊するか、専門業者で消去証明を取得する。
- 取り外したHDD・SSD・USBを管理台帳に記録し、破壊・返却まで数量を突き合わせる。
- PCやリース機器の返却時は、内蔵ストレージのデータ消去を委託先任せにせず自社でも確認する。
東海村社会福祉協議会｜申込フォームの公開設定ミスで、保護者・児童145人分が閲覧可能に
東海村社会福祉協議会は、夏休みの小学生向けイベント「地域de“きずな”かま」の参加申し込みに使ったWebフォームで設定ミスがあり、個人情報が流出したと公表した。回答の公開設定が誤っており、同じ会場の別の申込者の情報が閲覧できる状態だった。2026年7月7日に申込者からの指摘で判明した。
閲覧可能だったのは、保護者65人の氏名・電話番号・メールアドレスと、児童80人の氏名・学年。不正利用や二次被害は確認されていない。同協議会はフォームの設定を修正し、対象者に経緯の説明と謝罪を行っている。同種の「フォームの公開設定ミス」による漏えいは自治体・学校・団体で相次いでおり、無料や簡易なフォームツールを使う中小企業でも起こりうる。
中小企業への影響
Googleフォームやアンケートツールは手軽だが、「回答結果を全員が見られる設定」になっていると、他人の入力内容がそのまま見えてしまう。問い合わせ・応募・予約など個人情報を集めるフォームを外部サービスで作っている中小企業は、設定ひとつで同じ漏えいを起こす。攻撃を受けなくても情報は漏れる。
推奨対応
- 個人情報を集めるフォームは、公開前に「回答の閲覧・集計結果が第三者に見えないか」を別アカウントで実際に確認する。
- フォーム作成を担当者一人に任せず、公開前チェックを2人以上で行う運用にする。
- 集めた回答は必要な担当者だけがアクセスできるよう、共有範囲を最小限に絞る。
公立学校共済組合 岐阜支部｜公務災害の認定結果通知書23人分が所在不明、誤廃棄の可能性
公立学校共済組合は、岐阜支部で個人情報が記載された書類が所在不明になっていると公表した。2026年4月2日に地方公務員災害補償基金岐阜県支部から受領した、公務災害の認定結果通知書23人分が見つからないもの。2026年6月19日に所在不明が判明した。
通知書には、氏名、組合員証番号、所属所名、災害発生日、認定年月日、傷病名、受診医療機関名、認定結果などが含まれる。執務室内の施錠できる引き出しに保管していたが、室内を捜索しても発見できず、外部へ持ち出す書類ではないことから、誤って廃棄した可能性が高いとみている。傷病名や医療機関名など、機微な情報を含む点が特徴。
中小企業への影響
紙の書類は「鍵付きの引き出しに入れておけば安全」と思われがちだが、受け渡しや廃棄の記録がないと、いつ・誰が・どこへやったのか追えず、誤廃棄か紛失かも判別できなくなる。契約書・給与関連・健康診断結果など、中小企業が扱う紙の機微情報でも同じ管理の穴が生じる。
推奨対応
- 機微な情報を含む書類は、受領・保管・廃棄の各段階を台帳に記録し、所在を追えるようにする。
- シュレッダー廃棄は対象と日付を控え、通常の紙ごみと動線を分けて誤廃棄を防ぐ。
- 保管が不要になった書類は放置せず、期限を決めて確実に処分する運用にする。
編集部まとめ
今日の3件に共通するのは、外部からの攻撃ではなく「捨てる・共有する・保管する」という日常の管理不備で情報が漏れた点だ。中小企業がまず手を打つべきは高価なセキュリティ製品ではなく、記録媒体の廃棄手順、Webフォームの公開設定チェック、紙書類の受け渡し・廃棄台帳という3つの運用ルール。人とルールの穴を塞ぐことが、最も費用対効果の高い情報漏えい対策になる。
