三重県は、県立学校等の教職員と生徒が使うグループウェアで、一部のファイルが他の県立高校等の教職員や生徒から閲覧できる状態になり、四日市工業高等学校の個人情報が漏えいしたと発表しました。アカウントのID・パスワード、テスト成績、体力測定結果、進路情報が含まれていました。
目次
事故の概要
- 組織
- 三重県この組織の事故はほかに7件
- 漏えいした情報
- アカウントのID・パスワード（保存形式の記載なし）、生徒のテスト成績（1科目）、体力測定結果、進路情報
- 件数
- 不明個人情報が含まれていたのは四日市工業高等学校のファイルのみ。アクセスログでは6校12名の生徒からのアクセスがあった。
- 誰の情報か
- 利用者（会員・顧客）
- 状態
- 確定
- 原因
- 設定の誤り
- ドメイン
- pref.mie.lg.jp
推奨される対応
三重県からの案内があるときは、そちらを優先してください。そのうえで、この事故で漏えいした情報の種類から、ご自身でできる対応を悪用されやすい順に並べています。
- STEP 1
三重県からの案内を確かめる
個別の連絡と問い合わせ窓口は、会社の発表でご確認ください。
三重県の発表を開くリンク先：pref.mie.lg.jp
- STEP 2
ご自身でできる対応
- 1
パスワード（平文）が漏えいしたため
優先パスワードを変更してください。同じパスワードを使っているほかのサービスも、変更をおすすめします。
- STEP 3漏えいのお知らせが届いたら？メールや SMS が本物かの見分け方と、漏れた情報ごとの対応をまとめています。
お知らせが届いたら
経緯
- 検知11/6
- 初動対応11/22
- 公表12/18
- 調査結果—
- 再発防止策—
検知2024年11月6日
11月6日、県立学校の生徒から「他校のファイルが閲覧できる」との申し出がありました。県が確認したところ、グループの一部で設定が誤っており、県教育委員会クラウドのアカウントがあればグループ外からもファイルを閲覧できる状態でした。
初動対応2024年11月22日
11月22日に、グループを作成する際「パブリック」を選択できないようにシステムを改修しました。また、全てのグループについて確認し、設定を適正化したとしています。
公表2024年12月18日
県は12月18日に「県立学校における個人情報の漏えいについて」を発表しました。設定が誤っていたグループのうち個人情報が含まれていたのは四日市工業高等学校のみで、そのファイルへのアクセスログを確認すると、6校12名の生徒からのアクセスがありました。閲覧された情報は、アカウントのID／パスワード、生徒のテスト成績（1科目）、体力測定結果、進路情報です。該当の生徒に確認し、二次漏えい等（ファイルの保持・拡散・パスワードの不正利用）はないことを確認したとしています。
原因は、教職員用のグループウェアを2024年1月20日に現行のものへ移行した際、設定誤りによるリスクの検討が十分に想定できていなかったことと、該当校でグループを作るときに本来「プライベート」とすべきところを「パブリック」にしていたことです。12月16日には全校集会で生徒に事実を説明して謝罪し、保護者にも謝罪の連絡をしました。
今後は、県個人情報適正管理指針を守るとともに、グループウェアの運用を指針に基づいて新たに整理し、臨時の県立学校長会で各校の適正な管理を周知するとしています。
出典
正しい情報については、リンク元の一次情報を必ず参照してください。
誤りや続報のご連絡
掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。