台東区「ささえ～る」委託先で不正な管理者が作られ情報流出

概要

• 台東区の障害者支援アプリで、委託先のシステムの登録の仕組みに不備があり、外部の第三者が管理者アカウントを作れてしまった。
• その管理者権限で会員情報がダウンロードされ、208人のメールアドレスと、障害のカテゴリー、障害児者との関係が流出した。
• 不備は修正済みで、新規登録は止まっている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

発表内容の整理

事実（台東区）

• 台東区やサービス運用会社を装って個人情報の入力を求めるメールが届く可能性があるとして、身に覚えのないメールの添付ファイルやURLを開かないよう呼びかけている。
• 問い合わせ先は台東区障害福祉課施策推進担当（電話 03-5246-1206）。

事実（ミラボ）

• ミラボのお知らせ一覧には、10月21日〜22日付で「PHPの脆弱性に関する当社サービスの対応状況」の第1〜3報が並んでいる。一方、10月27日朝の時点で台東区の件についてのお知らせは見当たらなかった（ミラボ お知らせ）。台東区の発表は原因を「設計段階の不備」としており、PHPの脆弱性との関係には触れていない。

考察

流出した項目の「障害のカテゴリー」は、障害の有無や種類を示す情報で、個人情報保護法の要配慮個人情報にあたりうる。件数は208人と多くないが、内容の重さは大きい。メールアドレスと組み合わさると、障害福祉の制度や支援をかたる詐欺メールの標的リストにもなりうる（考察）。

原因が「設計段階で想定していなかった不備」とされている点から、外部から通常の登録手続きを使って管理者権限を得られる状態が、アプリの公開当初から続いていた可能性がある。いつから不正アカウントがあったかが示されていないため、被害の期間はわからない（考察）。

ミラボはお知らせ一覧を見る限り「子育てモバイル」など他のサービスも運営しているが、同じ登録の仕組みを他のサービスでも使っているかは公表されていない。他の自治体からの発表があるかは注目点だ（考察）。

関係しそうな既知の手口

事実（既知の知見）

• JPCERT/CCは10月8日（9日更新）の注意喚起で、国内で相次ぐ不正アクセスの類型の一つとして、ユーザー権限の変更を含む、アプリの管理用APIへの不正なリクエスト（ケースB）を挙げている（JPCERT/CC）。

考察

利用者の登録処理で、権限の種類を利用者側から指定できてしまう、あるいはサーバー側で権限の付与を検証していない、といった欠陥は「権限昇格」や「マスアサインメント」と呼ばれ、Webアプリで繰り返し見つかってきた。今回の不備がどの型にあたるかは公表されていないが、JPCERT/CCの示したケースBと同じ方向の問題とみられる（考察）。

利用者・運用者がいまできること

• 「ささえ～る」の利用者は、台東区や運用会社を名乗り、個人情報の入力や手続きを求めるメールのリンク・添付ファイルを開かない。気になる連絡は台東区障害福祉課に電話で確認する。
• 自治体のアプリを運用・委託する担当者は、利用者登録の処理で管理者などの権限を利用者側から指定できないか、管理画面への入口が一般の利用者と分かれているかを委託先に確認する。

参考リンク

• 台東区「台東区障害者支援アプリ「ささえ～る」運営委託事業者への不正アクセスによる個人情報の流出【令和8年10月26日（月曜日）19時更新】」
• 株式会社ミラボ「お知らせ」
• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」