個人情報漏えいのおそれについて

　大阪府が業務を委託していた事業者（以下「委託事業者」という。）が利用するWeb制作サービスに対して第三者による不正アクセスがあり、同サービス上のお問い合わせフォームに問い合わせた方の個人情報が漏えいしたおそれがあることが判明しましたので、お知らせします。

1.対象事業

　大阪府成長事業共創プログラム運営業務（契約期間：令和7年4月16日から令和8年3月31日まで）

2.漏えいのおそれがある個人情報

　令和7年8月1日から令和8年3月3日までの間に、委託事業者が本業務のサイトに設置したお問い合わせフォームに送信された5名分の企業名、氏名、電話番号、メールアドレス。

3.事案の経緯

〇令和8年9月30日(水曜日)から令和8年10月1日(木曜日)まで（現時点で確認できている期間）

・Web制作サービス提供事業者（以下「サービス提供事業者」という。）のクラウド環境に、第三者による不正アクセスがあった。

〇令和8年10月13日(火曜日)

・サービス提供事業者が不正アクセスを確認した。同日から10月14日（水曜日）までに、脆弱性を修正し、不正アクセスに利用された経路を遮断した。

〇令和8年10月16日(金曜日)

・サービス提供事業者が本事案を公表した。

・委託事業者が大阪府へ本事案を報告した。

・委託事業者が、Web制作サービスのアカウントのパスワード変更、ライブプレビューURLの削除、スプレッドシート連携の解除及びAPIキーの切り替えを実施した。

〇令和8年10月19日（月曜日）
・委託事業者が、Web制作サービス上のお問い合わせフォームの送信内容を削除した。

〇令和8年10月22日(木曜日)

・委託事業者が、個人情報が漏えいしたおそれのある5名に対して、電子メールで経緯の説明と謝罪を行うとともに、問合せの専用窓口を設置しその旨案内した。

4.原因

・サービス提供事業者の一部機能の脆弱性が第三者に悪用され、クラウド環境内のデータを外部から取得できる状態となった。（なお、詳細な原因については、サービス提供事業者が外部の専門機関に依頼し、調査を実施する予定。）

・大阪府との契約では、個人情報は契約終了後速やかに返還し、保有の必要がなくなったものは廃棄・消去することとされていたところ、委託事業者は、契約終了後にサイトを非公開としたが、お問い合わせフォームの送信内容をWeb制作サービス上に保持していた。

5.再発防止策

・今後、契約書の規定内容について、委託事業者に対し、遵守を徹底するよう注意喚起を行う。特に個人情報の取扱いについては、十分留意するよう求める。あわせて、契約終了後には、個人情報が規定どおり取り扱われたかを確認する。

06-6944-6549

senryakuchosei02@gbox.pref.osaka.lg.jp