日本国際博覧会協会は20日、大阪・関西万博の公式サイトで、再委託先における不正アクセス事案が発生したことを報告し、謝罪した。発表によると、現時点で一般来場者の個人情報が含まれていたことは確認されていない。
不正アクセスの経緯と原因
同協会は「再委託先における不正アクセス事案による関係者・イベント出演者に関する個人情報の漏えい等に関するご報告とお詫び」と題し、委託業務の再委託先において、フィッシングメールの受信を端緒としてMicrosoft 365への不正アクセスが発生したと説明した。同協会の関係者・イベント出演者等に関する個人情報を含むメールおよび添付ファイルが不正アクセスの対象となった可能性があるとしている。
大阪・関西万博では、催事施設の統括・運営管理業務および公式参加者催事業務等を委託。委託先はこれらの業務の一部を再委託先に再委託していた。2026年5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信したことを端緒に、同社のMicrosoft 365アカウントに対する不正アクセスが確認され、同日中にアクセスは遮断された。
漏洩の可能性がある個人情報の内容
不正アクセスの対象となった可能性があるのは、同協会の委託業務に関係するメールおよびその添付ファイルに含まれるデータのみで、その他のデータへの不正アクセスは確認されていない。発表時点で確認されている個人情報は、再委託先が送受信したメールの送受信者の氏名、所属、役職、メールアドレスおよびメール署名に含まれる電話番号等、委託先等の従業員の氏名、勤務シフトおよび担当業務並びに見積書・請求書等に記載された担当者情報、2025年日本国際博覧会のイベント等に出演された方の氏名、肩書、写真、スピーチ原稿、進行台本およびステージへの登壇・退場動線等の3点である。
クレジットカード情報や一般来場者の個人情報が含まれていたことは確認されておらず、本件を起因とした個人情報の不正利用や二次被害も確認されていないという。
今後の対応と改善策
同協会は、従来より業務委託契約に際して委託業務に関する個人情報管理の徹底と契約業務終了後の廃棄・消去等を義務付けてきたが、本件を真摯に受け止め、委託先等における安全管理措置、インシデント報告体制、再委託先の管理および保有する必要のなくなった個人情報の廃棄・消去等の状況を確認し、あらためて必要な改善を求めていると説明した。問い合わせ先も公表している。
