大阪府立労働センターの指定管理者への不正アクセス被害について

　大阪府立労働センターの指定管理者（共同事業体エル・プロジェクト）の構成員である一般財団法人大阪労働協会（以下「協会」という。）の代表メールアカウントが、令和8年7月13日及び14日に第三者による不正アクセスの被害を受けたことにより、会議室利用者等の個人情報の漏えいが発生しましたので、お知らせします。

1.漏えいした個人情報
　令和8年7月13日から15日までの間に協会のメールアカウントが受信した個人情報を含む電子メール（以下「メール」という。）175件のうち、88名の方の氏名、住所、電話番号、ファックス番号、利用者番号、メールアドレス。
　なお、88名の方全員へ経緯の説明と謝罪を行い、了承を得ました。
　また、令和8年9月29日時点で本件に起因する個人情報の不正利用といった二次被害についての相談・問合せはありません。

2.事案の経緯
〇7月15日（水曜日）

・協会の職員が、協会の代表メールが送受信できない状態であることを確認した。協会において代表メールアカウントのパスワードを再設定し、メールの送受信は復旧した。

・その後、協会において、メールサーバーのログイン履歴を調査したところ、通常利用とは異なるIPアドレスからのログイン履歴を確認したため、メールサーバー内を調査した。

・その結果、協会が認知していない外部のメールアドレスへの自動転送設定が追加されていることを確認したため、追加されていた当該自動転送設定を直ちに削除した。

・当該メールサーバーを提供するインターネットサービス事業者（以下、「事業者」という。）に対し、不正アクセス及びメールの送達状況について調査を依頼した。

〇7月16日（木曜日）

・事業者の調査により、自動転送設定は7月13日に行われたことが判明し、271件のメールが自動転送されていることを確認した。

・また、7月14日にパスワードが変更されていることが判明した。

〇7月17日（金曜日）から7月21日（月曜日）

・協会において、当該自動転送設定が追加されたことについて、職員への聞き取りを行った結果、USBメモリの接続や、不審なURLのクリックが行われていないことを確認した。

・また、改めて協会が事務所内で使用しているすべてのパソコンのウイルススキャンを実施したところ、ウイルス等は検出されなかった。

〇7月22日（火曜日）

・事案発生後から行っていた協会による確認の結果、自動転送された271件のメールのうち、175件のメールに88名分の個人情報が含まれていることが判明した。

〇7月25日（土曜日）から9月3日（木曜日）

・自動転送されたメールに個人情報が含まれていた88名の方全員へ経緯の説明と謝罪を行い、了承を得た。

3.原因
・協会が代表メールで使用しているメールサーバー、事務所内で使用しているパソコン又はネットワークのいずれかに対し不正なアクセスがあり、協会が認知していない外部のメールアドレスへの自動転送設定が追加されたこと。（なお、不正アクセスの経路については、継続して調査を行っている。）
・パスワードを破る攻撃（アカウントハック）により、パスワードが変更されたこと。

4.再発防止策
不正アクセスの経路については引き続き調査中であるが、以下の対策を講じた。
・Wi-Fiから協会が使用するネットワークへの不正アクセスを防ぐため、事務所内のWi-Fiを廃止し、有線接続のみとする。
・協会において、メールサーバー及びメールアカウントに自動転送設定が追加されていないか、定期的な点検（月1回程度）を実施する。
・メールアカウントの認証強化のため、より強力なパスワードを設定した。
・改めて、協会の職員に対し不審なURLをクリックしないこと、不明な添付ファイルを開かないこと、私物のUSBを使用しないことなど、注意喚起を行い徹底させる。

06-6210-9521

rodokankyo-g03@gbox.pref.osaka.lg.jp