足利市斎場予約システム ― 委託先のシステムに不正アクセス

要点

発表された事実

栃木県足利市は2026年10月18日、市が運用する「足利市斎場予約システム」で、委託事業者の株式会社ビジネステックの調査により、10月15日（木）17時頃に第三者による不正アクセスがあったことが判明したと公表した（足利市）。
漏えいのおそれがあるのは、登録葬祭事業者56社の会社名・住所・電話番号・メールアドレスと、2022年12月1日以降の斎場利用者の情報約8,800件（死亡者の氏名・生年月日・住所・性別、申請者の氏名・住所・電話番号）（同）。
ビジネステックは、データベースへの不正な照会と、システムのお知らせ欄への不正なデータ追加を確認したと公表した（ビジネステック）。
システムは全面停止し、斎場の予約は電話受付で代替している。対象者には委託事業者から個別に通知を送る（足利市）。

わかったこと

【2026-10-20追記】朝日新聞（10月19日）によると、ビジネステックの斎場予約システムは、足利市を含む栃木県内6市のほか、茨城・埼玉・群馬・新潟各県の計20の自治体と一部事務組合が使っている。情報を保管するサーバーはそれぞれ別で、足利市以外で被害は確認されていない。同社は被害拡大を防ぐためすべてのシステムを一時停止し、再開には数日かかる見通し（朝日新聞）。
【2026-10-20追記】同じ記事によると、足利市では10月15日に葬祭事業者から「予約できない」と連絡があり、委託業者が確認して不正アクセスが判明した。市は16日に電話予約に切り替えた。漏えいのおそれがある利用者情報は2022年12月1日〜2026年10月15日に登録されたもの（同）。
【2026-10-20追記】同じシステムを使う茨城県龍ケ崎市は、ビジネステックが10月15日午後5時頃に不正アクセスを確認し、午後6時頃から同社が提供する全20施設の斎場予約システムを緊急停止したと案内している。同社からは「現時点では、龍ケ崎市営斎場予約システム内における不正侵入・情報漏えい・データ改ざんを示す証拠はない」との報告を受けた。同社はプログラム修正などを行っており、再開時期は未定（龍ケ崎市、10月19日9時現在）。

わかっていないこと

侵入経路と原因（脆弱性か、認証情報の悪用か）（【2026-10-20追記】龍ケ崎市の案内では、ビジネステックは「プログラム修正等」を進めている）
実際に外部へ持ち出されたかどうかと、確定した件数
お知らせ欄に追加された「不正なデータ」の中身と、それを見た人への影響
足利市以外の19の自治体・一部事務組合の調査の最終結果
システムの再開時期（朝日新聞は「数日かかる見通し」、龍ケ崎市は「未定」）

関係しそうな既知の手口

（考察）「データベースへの不正な照会」と「お知らせ欄への不正なデータ追加」が同時に起きている。Webの入力を通じてデータベースを読み書きできる不備（SQLインジェクションなど）や、管理機能の乗っ取りで起きやすい組み合わせだが、経路は公表されていない。

概要

足利市の斎場予約システムで、提供元の委託事業者の調査により、10月15日に第三者の不正アクセスがあったと判明した。
データベースへの不正な照会と、お知らせ欄への不正な書き込みが確認され、故人と申請者の情報約8,800件と葬祭事業者56社の情報に漏えいのおそれがある。
システムは止め、予約は電話で受け付けている。原因と範囲は調査中。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2022-12-01	漏えいのおそれがある利用者情報の対象期間の始まり（この日以降にシステムを使った分）（足利市）
2026-10-15（木）	葬祭事業者から足利市に「予約できない」と連絡があり、委託業者が確認（朝日新聞）
2026-10-15（木）17時頃	委託事業者の調査で、第三者による不正アクセスがあったことが判明（足利市）。検知後、委託事業者がシステムを全面停止
2026-10-15（木）18時頃	ビジネステックが提供する全20施設の斎場予約システムを緊急停止（龍ケ崎市）
2026-10-16（金）	足利市が電話予約に切り替え（朝日新聞）
2026-10-18（日）	足利市とビジネステックがそれぞれ公表
2026-10-19（月）	朝日新聞が、同じシステムを20の自治体・一部事務組合が使い、サーバーは別々で足利市以外の被害は確認されていないと報道。龍ケ崎市は自市のシステムで侵入・漏えい・改ざんの証拠はないとの報告を受けたと案内

発表内容の整理

事実（足利市の発表）

項目	内容
対象	足利市斎場予約システム（委託事業者：株式会社ビジネステック）
判明	2026年10月15日（木）17時頃、委託事業者の調査で判明
葬祭事業者の情報（56社）	会社名・住所・電話番号・メールアドレス
斎場利用者の情報（約8,800件）	2022年12月1日以降の利用分。死亡者の氏名・生年月日・住所・性別、申請者の氏名・住所・電話番号
対応	システムを全面停止し、電話での予約受付に切り替え。登録葬祭事業者にはメールなどで周知
今後	個人情報保護委員会などへの報告手続きを進める。漏えいのおそれがある個人・事業者には委託事業者から個別に通知
注意喚起	市役所・関係機関・委託事業者を装った不審なメールや電話に注意

事実（ビジネステックの発表）

10月15日、足利市に提供する斎場予約システムへの外部からの不正アクセスを確認した。
調査の結果、データベースへの不正な照会と、システムのお知らせ欄への不正なデータ追加を確認した。
現時点では約8,800人分の個人情報が漏えいしたおそれがあると見込んでいる。対象となる情報の種類や範囲を含めて調査中。
対象システムを停止し、アクセス記録などの調査とシステムの安全性の確認を進めている。再開は安全性を確認したうえで案内する。

考察

注目したいのは、ビジネステックが「お知らせ欄への不正なデータ追加」を確認している点だ。読み取りだけでなく、システムに書き込める状態だったことになる。お知らせ欄は葬祭事業者や利用者が見る場所なので、偽の案内やリンクを載せて閲覧者をだます目的だった可能性もある（考察）。何が追加されたかは公表されていない。

市の発表では件数は「約8,800件」、ビジネステックの発表では「約8,800人分」となっている。故人と申請者の両方が含まれる情報なので、1件に複数の人の情報が入っている可能性がある（考察）。

関係しそうな既知の手口

事実（既知の知見・同種事例）

10月には、自治体が委託した防災メール配信基盤「SpeeCAN RAIDEN」への不正アクセスで、全国の自治体の利用者情報に漏えいの可能性が出ている（SpeeCAN RAIDENの記事）。
IPAは10月9日、相次ぐ不正アクセスによる漏えい事案を受け、速やかに実施すべき対策をまとめて公表した（IPA）。

考察

自治体の「小さな」委託システム：斎場予約は市民の目に触れにくい業務システムだが、故人の生年月日や住所、遺族の連絡先といった、悪用されやすい情報を抱えている。葬儀の直後は遺族が連絡に応じやすく、なりすましの電話やメールに使われやすい（考察）。市が電話への注意も呼びかけているのはそのためだろう。
提供元が同じなら影響も広がる：ビジネステックは「弊社が提供する斎場予約システム」「関係する運営主体」と書いている。同じシステムをほかの運営主体にも提供していれば確認が必要になるが、現時点ではほかの運営主体の名前は出ていない。【2026-10-20追記】実際には20の自治体・一部事務組合が使っていた。サーバーは別々で、被害が確認されたのは足利市だけだが、提供元が全施設のシステムを止めたため、予約の停止は20施設すべてに広がった。同じ製品の各環境に同じ欠陥がある可能性を考えて止めたのだろう（考察）。

利用者・運用者がいまできること

事実（発表に基づく）

足利市斎場を使った人と葬祭事業者は、市役所・関係機関・委託事業者を装った不審なメールのURLや添付ファイルを開かず、個人情報を入力・返信しない。身元を確認できない電話には応じない（足利市）。
問い合わせは足利市役所市民課（0284-20-2145、平日9:00〜16:30）（足利市）。

考察（運用者向け）

予約システムのように外部に公開しているWebシステムは、入力値の処理（SQLインジェクション対策）と管理画面の認証を、委託先任せにせず年に一度は確認したい。
公開画面の「お知らせ」など、利用者が目にする欄の内容が変わったら通知が飛ぶようにしておくと、改ざんに早く気づける。

参考リンク

原文をGitHubで読む ↗