情報処理学会で会員544件が閲覧可能に、権限残置の教訓

情報処理学会は2026年7月22日、傘下の「情報科学若手の会」が扱う個人情報544件が、本来アクセスできないはずの関係者から閲覧できる状態だったと公表しました。派手な外部攻撃ではなく、退任者の権限が残っていた・共有リンクが消されていなかったという、どの組織でも起こりうる「運用の穴」が原因です。だからこそ、自組織の権限管理を見直す好材料になります。

この記事でわかること

何が起きたのか（2つの原因の切り分け）
なぜこの種の漏えいは繰り返されるのか
情シスが今日から点検すべき2つのポイント

何が起きたのか
なぜこの種の漏えいは繰り返されるのか
1. 退任・交代時に権限が残るのはなぜか
2. 「共有リンク」はなぜ危ないのか
情シスはどうすべきか（今日から点検できること）
1. 1. オフボーディング（退職・異動・委託解除）を手順化する
2. 2. クラウドの共有リンクを可視化・棚卸しする
現場目線の所感
まとめ
関連記事
出典

何が起きたのか

公表によると、閲覧可能な状態だったのは情報科学若手の会が取り扱う個人情報544件。原因は性質の異なる2つの状況が報告されています。

区分	内容	本質的な問題
①退任者のアクセス権残置	本来アクセスを制限すべき退任した幹事が、会員の個人情報を閲覧できる状態だった	退任・異動時の権限剥奪（オフボーディング）が漏れた
②共有リンクの無効化漏れ	会計処理などの事務作業時に作成した共有リンクが、作業完了後も無効化されず、リンク経由で情報が閲覧可能だった	一時的に開いた共有の後始末が漏れた

学会は「閲覧できないよう対策を講じた」とし、対象となる会員・関係者へ個別に連絡しているとしています。現時点で二次被害や悪用の有無について具体的な言及は確認できておらず、情報は限定的です（後述の出典を随時ご確認ください）。

なぜこの種の漏えいは繰り返されるのか

今回の2つの原因は、外部からの高度な攻撃とは無縁です。いずれも「業務で正当に付与した権限・共有を、役目が終わったあとに閉じ忘れた」という点で共通しています。攻撃者の腕前ではなく、アクセス権のライフサイクル管理の問題です。

退任・交代時に権限が残るのはなぜか

ボランティアベースの委員会や小規模な事務局では、担当者の入れ替わりが頻繁な一方、「誰がどの共有フォルダ・システムにアクセスできるか」の一覧が整備されていないことが少なくありません。付与は「作業に必要だから」その場で行われますが、剥奪には明確なトリガーがないため、退任してもアカウントや権限だけが残ります。これは企業の中途退職者・委託先の担当交代でも全く同じ構図です。

「共有リンク」はなぜ危ないのか

クラウドストレージ（Google ドライブや Microsoft 365 など）の共有リンクは、URLさえ知っていればアクセスできる設定になりがちです。会計処理やイベント準備といった一時的な作業のために発行したリンクを、作業後に取り消さないと放置状態になります。リンクは目に見える場所に残らないため、当人以外は存在に気づけません。「一度作ったら消えない爆弾」になりやすいのが共有リンクの怖さです。

情シスはどうすべきか（今日から点検できること）

本件は情シス実務にそのまま置き換えられます。長大なチェックリストを新設するより、すでにある仕組みの「閉じ忘れ」を潰すのが効きます。

1. オフボーディング（退職・異動・委託解除）を手順化する

人が抜けるときに「どの権限を消すか」をチェックリスト化し、人事・総務の異動情報と連動させます。ポイントは、正社員だけでなく委託先・アルバイト・退任した委員まで対象に含めること。権限は必要最小限に絞る「最小権限の原則」を前提にすると、そもそも棚卸しの対象が減り、消し忘れの被害範囲も小さくなります。あわせて、付与した権限を定期的に見直すアクセス権の棚卸し（四半期に一度など）を運用に組み込みましょう。

2. クラウドの共有リンクを可視化・棚卸しする

主要なクラウドストレージには、組織内で発行された共有リンクや外部共有を管理者が一覧・制御する機能があります。「リンクを知っている全員」ではなく「特定のユーザー」に限定する運用を既定にし、期限付き共有が使えるなら活用します。定期的に外部共有レポートを確認し、役目を終えたリンクを止めるだけでも、今回のような事故の芽は大きく減らせます。

より体系的に取り組むなら、まずは公的機関の指針から着手するのが近道です。中小規模の組織なら、IPAの中小企業の情報セキュリティ対策ガイドラインがアクセス管理を含む基本を体系的に示しています。あわせて、担当者一人ひとりの意識づけには対策のしおりのような啓発資料が役立ちます。地道なユーザ教育が、こうした「後始末の抜け」を減らす土台になります。

現場目線の所感

正直なところ、「権限の付与」は業務を止めないために急ぐ一方、「権限の剥奪」は誰も困らないので後回しになりがちです。筆者も、退職者のアカウントや、いつ誰が作ったか分からない共有リンクが残っているのを見て肝を冷やした経験があります。しかも共有リンクは、作った本人しか存在を知らないことが多く、棚卸しをかけて初めて「こんなに開いていたのか」と気づきます。人手の限られた情シスにとって、この地味な後始末を仕組みで回す（＝人の記憶に頼らない）ことこそが、今回の学会の事例が示す最大の教訓だと感じます。