佐賀市でマイナンバー情報含む画像データなどが外部アクセス可能に

画像：佐賀市より引用

佐賀県佐賀市は2021年3月2日、同市問い合わせフォームを通じて寄せられた個人情報を含む画像データ123件を含めた合計986件のデータについて、特定のURLを入力することで外部閲覧できる状態にあったと明らかにしました。

発表によると、市はホームページリニューアル時、市への提言や問い合わせフォームに画像データの添付機能を追加。

ところが、市のサーバーはこの機能を利用して送信された画像データについて、アクセス制御をかけておらず、結果として特定のＵＲＬを入力することで、第三者が外部から閲覧できる状態にあったと判明。市によると2021年2月に外部から情報提供があり、明らかになったとしています。

委託先企業がアクセス制御を実施せず

佐賀市によると、今回の設定不備の原因は、ホームページへの機能追加を依頼した委託先企業による指示違反および確認不足によるものです。

市は委託先企業にホームページの発注する際、画像データの保存フォルダへのアクセス制限を設定するよう指示していましたが、委託先企業が適切に処理していなかったとのこと。また、市側も要求したアクセス制限設定が正しく実施されているかを、確認していませんでした。

市はこのため、事案発覚後に問題となったフォルダへのアクセス制限を実施しました。また、再発防止策として、外部委託発注時に交わす契約事項において、個人情報が適切に保護されるよう開発仕様書に明記するなどの対策を実施すると決定。さらに開発後に確認作業を徹底し、個人情報を適切に保護する決定しました。

なお、今回アクセス可能であった画像データ986件には一部住民のマイナンバー情報などが含まれており、3種類のIPによる外部アクセスが確認されています。しかし、佐賀市の調査の結果、アクセスはいずれも情報提供者によるものと判明しています。