東京都練馬区の講座で、受講者71人の氏名とメールアドレスが、受講者向けチャットツール上で他の受講者や講師から閲覧できる状態になっていました。閲覧可能だったのは2026年7月14日から27日までです。区は対象者に謝罪し、指定管理者に再発防止策を求めています。

受講者向けチャットで個人情報を閲覧可能に

対象は、練馬区男女共同参画センターが実施する「女性のためのデジタルスキル習得プログラム」です。女性の就労や再就職などを目的とするオンライン講座で、Webマーケティング、CADオペレーター、一般事務の各コースがあります。

区によると、受講者専用チャットツールの設定に誤りがあり、本来は指定管理者と運営事業者だけが閲覧する情報を、ほかの受講者も見られる状態になっていました。対象となった個人情報は、受講者71人の氏名とメールアドレスです。

各コースでは7月から5～6か月間学習し、その後、就労マッチングイベントを開催する予定です。受講者は講座運営のためにチャットツールへ招待され、プロフィール画面で他の参加者のメールアドレスを閲覧できる状態でした。

問題の連絡から設定修正まで

7月14日、運営事業者のTRUNK株式会社は受講決定者にチャットツールへの招待メールを送りました。7月25日には、参加者のプロフィール画面で他の受講者のメールアドレスが見えると、受講者から運営事業者に連絡がありました。

運営事業者は7月27日、メールアドレスを表示しない設定に修正しました。その後、8月31日に同じ受講者が練馬区と指定管理者に連絡し、7月14日から27日まで氏名とメールアドレスが閲覧可能だったことが区に伝わりました。

区は受講者に謝罪し、対象者全員にも謝罪のメールを送りました。区によると、運営事業者から指定管理者への事故発生の報告はありませんでした。区は、事故発生時に直ちに区へ報告するよう徹底することを再発防止策に含めています。

氏名とメールアドレスから想定されるリスク

IPAは、攻撃者が実在する組織やサービスを装うメールなどで相手を偽サイトへ誘導し、認証情報を盗むフィッシングについて説明しています。

IPAによると、フィッシングで認証情報を盗まれると、メールアカウントへの不正ログインや、保存された情報へのアクセスにつながる場合があります。実在する相手への信頼感を利用したメールも手口の一つです。差出人や内容が一見自然でも、リンク先で情報入力を促されることがあります。

フィッシング対策協議会は、メールやSMSのリンクからIDやパスワード、個人情報を入力せず、ブックマークや公式アプリからサービスを開く方法を挙げています。また、メールの差出人情報は簡単に偽装できるため、表示された名前だけで真偽を判断するのは困難です。

メールを受け取ったときの対策

フィッシング対策協議会は、迷惑メールフィルターを有効にすることや、ブラウザーのWebフィルターを活用することを案内しています。これらの仕組みは不正メールや危険なサイトへの対策になりますが、すべてのメールやサイトを判別できるわけではありません。

同協議会は、多要素認証やパスキーなど、サービスが提供する認証機能の利用も基本対策に挙げています。