公益社団法人2025年日本国際博覧会協会（大阪・関西万博の催事関連業務（再委託先のMicrosoft 365））

催事施設の運営や公式参加者の催事業務などの委託先がさらに再委託した事業者で、5月13日に従業員がフィッシングメールを受け、Microsoft 365のアカウントに不正アクセスされたと公表しました。アクセスは同日に遮断されています。対象となった可能性があるのは協会の委託業務に関わるメールと添付ファイルだけです。

含まれる個人情報は、メールの送受信者の氏名、所属、役職、メールアドレス、署名の電話番号など、委託先などの従業員の氏名、勤務シフト、担当業務、見積書・請求書の担当者情報、イベント出演者の氏名、肩書、写真、スピーチ原稿、進行台本、登壇・退場動線です。カード情報と一般来場者の情報は含まれていません。

二次被害は確認されていません。委託先に安全管理措置、報告体制、再委託先の管理、不要な個人情報の廃棄状況を確認し、改善を求めています。