大阪・関西万博、再委託先への不正アクセスで個人情報漏えいのおそれ

2025年日本国際博覧会協会（以下、万博協会）は8月20日、催事業務などの再委託先が不正アクセスを受け、大阪・関西万博の関係者やイベント出演者の個人情報を含むメールと添付ファイルが漏えいしたおそれがあると発表した。現時点で、一般来場者の個人情報が含まれていたことは確認されていないという。

5月13日、再委託先の従業員が海外企業を装うフィッシングメールを受信したことを発端に、再委託先のMicrosoft 365アカウントが不正アクセスを受けた。再委託先は同日中にアクセスを遮断した。不正アクセスの対象となった可能性があるのは、万博協会の委託業務に関するメールとその添付ファイルに含まれるデータのみで、その他のデータへの不正アクセスは確認していないとしている。

万博協会は委託先に対し、催事施設の統括・運営管理や、参加国・国際機関などが万博で行う催事に関する業務を外注しており、委託先がこれらの業務の一部をさらに再委託していた。

漏えいのおそれがあるのは、委託先・再委託先の従業員を含む関係者やイベント出演者の個人情報。再委託先が送受信したメールの送受信者の氏名・所属・役職・メールアドレスや署名に含まれる電話番号、委託先などの従業員の氏名・勤務シフト・担当業務、見積書・請求書に記載された担当者情報が含まれる。

イベント出演者については、氏名・肩書・写真に加え、スピーチ原稿や進行台本、ステージへの登壇・退場動線なども対象という。クレジットカード情報は確認されていない。

20日までに、今回の不正アクセスによる個人情報の不正利用などの二次被害は確認されていない。ただし万博協会や関係者を装う電話・メールが送られる可能性があるとして、心当たりのない連絡に記載されたリンクや添付ファイルを開かず、送信元を十分に確認するよう呼び掛けた。

万博協会は、委託先などにおける安全管理措置やインシデント報告体制、再委託先の管理、保有する必要のなくなった個人情報の廃棄・消去などの状況を確認するとともに、あらためて情報管理の徹底を求めている。