シリーズ「子どもの情報を守る ― 保育・療育の現場から」の第3回です。
記録や連絡のサービスは、IDとパスワードでログインして使うことが多いと思います。ログインの守りが弱いと、サービスの中身がどれだけ守られていても、入口から入られてしまいます。逆に、入口を固めておくと、事故の多くは防ぎやすくなります。
この記事では、警察庁などの資料と、保育施設で公表された例から、ログインまわりの守りで押さえておきたい点をまとめます。責める記事ではありません。
不正アクセスは、どんなふうに起きているのか
総務省、警察庁、経済産業省が2025年3月に公表した資料では、2024年（令和6年）の不正アクセス行為の認知件数は5,358件でした。検挙された不正アクセスの9割以上は、他人のIDとパスワードを使ってログインする形（識別符号窃用型）です。
この形で検挙された事件（511件）で、IDやパスワードが盗まれた経路は、次のとおりです。
- パスワードの設定や管理の甘さにつけ込まれた：34.1%
- 元従業員や知人など、IDを知りうる立場の人による犯行：20.9%
- 他人から入手：13.1%
- 利用者から聞き出された、またはのぞき見された：10.0%
- フィッシングサイト（本物そっくりの偽のページ）で入手された：8.0%
- インターネット上に流出していたものを入手された：2.2%
- その他：11.7%
外部の見知らぬ相手に破られる場合だけでなく、弱いパスワード、以前の職員、のぞき見といった、身近なところにも入口があることがわかります。なお、この統計は全分野のもので、被害の多くは銀行の不正送金です。福祉の記録サービスに限った数字ではありません。
保育施設で公表された例：「誰が何を見られるか」の設定の誤り
ログインそのものではなく、ログインしたあとに「誰が何を見られるか」の設定を誤った例を紹介します。
2026年6月、大阪市は、保育施設などの加算の申請書類を受け付けるクラウドサービスで、閲覧の権限の設定を誤っていたことを公表しました。アプリの運用開始（6月8日）から修正（6月17日）までの間、保育施設が、他の施設が提出したファイルを見られる状態でした。実際に見られたのは3件のファイルで、そこに含まれていた職員の個人情報は、氏名、性別、生年月日、住所、出勤情報、賃金明細などで、合計84件です。見られる状態になっていたファイルの総数は、発表には書かれていません。
発覚のきっかけは、ある施設から市の担当課への指摘でした。市は、同じ日に権限を修正し、6月23日にアクセスの記録（ログ）を調べました。その結果、他の施設のファイルが実際に見られていたことが3件わかりました。市は、見た側の施設に電話で、残っているファイルの確認と削除を依頼し、経過を説明して謝罪しました。見られた側の施設にも、電話で説明し、謝罪しています。
再発防止として、市は、申請の受付を始めるときに、閲覧権限などの設定を二人でダブルチェックすること、サービスの使い方を職員に周知することをあげています。市の発表には、個人情報保護委員会への報告についての記載はありません。
アクセスの記録が残っていたので、誰が見たかを特定でき、連絡と削除の依頼に進めました。ログインの守りと、見られる範囲の設定、そして記録は、どれも欠かせない部分です。
ログインの守りを考える、4つの入口
- ログインの入口：推測されにくいパスワードにして、複数のサービスで使い回さない。2段階認証（パスワードに加えて、スマホに届く確認の番号などで確かめる方法）や、パスキーを使う。警察庁などの資料も、二要素認証や、パスキーなどの新しい認証技術の導入をすすめています
- 端末：スマホやパソコンの画面にロックをかけ、置き忘れても開けないようにする。顔や指紋による確認を使うと、開くたびの手間が減ります
- 見られる範囲：職員ごとに、必要な情報だけが見えるようにする。新しいサービスや機能を使い始めるときは、設定を二人で確認する
- 人の出入り：退職、異動、実習の終了のときに、IDを速やかに止める。資料でも、使わなくなったIDは、早く削除するか、パスワードを変えるよう求めています
明日からできること
- 管理者のアカウントに、2段階認証（またはパスキー）を設定する。使っているサービスにあるかを確かめ、なければ、いつ対応する予定かを事業者に質問する
- パスワードを、他のサービスと同じにしない。一つのIDを何人かで使い回さず、一人一つにする
- 記録を見る端末（共有のタブレットや、職員の私物のスマホを含む）に、画面ロックをかける。しばらく使わないと自動でログアウトする設定があるかを確かめる
- 退職・異動・実習終了の日に、IDを止める手順（誰が、いつ止めるか）を決める
- 職員ごとに見られる範囲を確かめる。新しいサービスや機能を使い始めるときは、権限の設定を二人で確認する
もっと知りたい方へ（出典）
いずれも2026年10月28日に確認しました。
- 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2025年3月13日。認知件数、手口の内訳、推奨対策）：https://www.soumu.go.jp/main_content/000997024.pdf
- 大阪市「こども青少年局におけるクラウドサービスの閲覧権限設定誤りによる個人情報等の漏えいについて」（2026年6月26日）：https://www.city.osaka.lg.jp/hodoshiryo/kodomo/0000682244.html
この記事は一般的な情報提供であり、法的な助言ではありません。個別のご事情は、顧問の専門家や自治体の窓口にご相談ください。
そだちノートの情報の取り扱いは、情報の取り扱いについてに書いています。