【宮崎・西都】生徒寮の業務PCを第三者が遠隔操作　入寮者76人・職員10人の個人情報漏えいの可能性

宮崎県教育委員会は9月6日、西都市内の「西都地区生徒寮」で使用している業務用パソコンが第三者から遠隔操作され、入寮者や寮職員の個人情報が漏えいした可能性があると発表した。

対象となる可能性があるのは、2020年度から2026年度までの入寮者76人と、2024年度から2026年度までの寮職員10人。

入寮者については氏名だけではない。住所、保護者の連絡先、アレルギーの有無、寮費の納入状況など、生活や家庭に関係する情報も含まれていた。

県教委によると、警察が確認した段階では個人情報が不正に持ち出された形跡は確認されておらず、現時点で「漏えいした」と確定しているわけではない。

「ウイルスに感染」――偽の警告画面から始まった

事案が発生したのは9月4日午後5時10分から同30分ごろ。

県が公表した経緯によると、寮の管理人は大雨が予想されていたことから、入寮生の安全確保のため、業務用パソコンを使ってインターネットで防災気象情報を調べていた。

その際、表示されたページの一部をクリックすると、「ウイルスに感染した」とする警告画面が表示された。

管理人はいったんパソコンをシャットダウンして再起動。しかし警告表示が消えなかったため、画面に表示されていた電話番号へ連絡した。

電話に出たのは、パソコン関連会社の社員を名乗る人物だった。

相手から「ウイルスに感染しているので除去作業が必要」などと説明され、管理人は指示に従い、パソコンの遠隔操作を許可した。

ネットバンクの契約者番号なども入力

さらに相手は、ネットバンキングを利用している場合には確認が必要だと説明したという。

管理人は指示に従って、寮の運営費を管理しているネットバンクのログインページを開き、契約者番号などを入力した。

電話終了後、パソコン上で見慣れないウイルス対策ソフトが起動していることを不審に思い、管理人が警察に連絡したことで事案が発覚した。

警察から案内されたネットバンクのサポートデスクに確認したところ、9月4日には他口座への出金などは確認されなかった。

県の公表時点でも、ネットバンク預金の不正取引は確認されていない。

入寮者76人、職員10人の情報

問題となったパソコンには、複数年度にわたる個人情報が保存されていた。

県教委が「漏えいした可能性がある」としているのは、

・寮運営に関する財務関係データ
・業務日誌
・取引事業者名などの内部情報
・2020～2026年度の入寮者76人の情報
・2024～2026年度の寮職員10人の情報

など。

入寮者については氏名、住所、保護者連絡先、アレルギーの有無、寮費納入状況などが含まれ、職員については氏名や給与額などが保存されていた。

現時点では「86人分が流出した」とは言えない

ここは慎重に見る必要がある。

警察官が問題のパソコンを確認した時点では、個人情報が不正に持ち出された形跡は確認されなかった。

ただ、第三者による遠隔操作が実際に行われていたため、操作中にファイルを閲覧・取得された可能性を完全には排除できない。

警察から専門業者による確認を受けるよう指示され、パソコンは使用を中止して状態を確認している。

つまり現段階で確認されているのは、「個人情報が保存された業務用パソコンを第三者に遠隔操作された」という事実であり、「86人分の情報が外部へ流出した」と確定したわけではない。

【検証】なぜ7年度分の入寮者情報が1台のPCに残っていたのか

今回の事案には、もう一つ検証すべき点がある。

問題となったパソコンには、2020年度から2026年度まで、7年度分に及ぶ入寮者の情報が保存されていた。

住所や保護者の連絡先だけでなく、アレルギーの有無や寮費の納入状況といった情報まで含まれている。

もちろん、これらの情報を一定期間保管する業務上の必要性があった可能性はある。

一方で、個人情報を扱う組織では「何を、どこに、いつまで保存するのか」という管理そのものが、情報漏えい時の被害範囲を左右する。

今回の事案では、偽の警告を信じた人的ミスだけに焦点を当てれば、問題の全体像を見誤る可能性がある。

過年度の個人情報を業務端末に保存する必要性はどこまであったのか。

保存期間や削除に関するルールは存在していたのか。

そして、インターネット閲覧に使用する端末と、大量の個人情報やネットバンキングを扱う環境をどこまで分離していたのか。

こうした管理体制についても検証が求められる。

県教委「再発防止に努める」

県教委は、寮を運営する公益財団法人宮崎県奨学会に対し、全職員への個人情報保護の徹底と、インターネットを利用した詐欺への注意喚起を行うよう指示した。

また、各地区生徒寮の管理校となっている県立高校にも、寮生の個人情報保護について関係職員の意識向上を図るよう求めている。

対象となる入寮生や保護者などには、事案の報告と注意喚起を進めている。

今後の焦点は、専門業者による調査で実際の情報持ち出しが確認されるかどうかだ。

同時に、今回の問題を一職員の判断ミスだけで終わらせず、個人情報の保存方法や業務端末のセキュリティ体制まで検証できるかも問われる。

---

Q&A｜何があった？

---

情報提供・相談窓口

各種ご相談、情報提供、現地写真・動画、関係者からの証言などをお持ちの方は、メール（info@108takapi.jp）、各種SNSのDM、または公式LINEまでお寄せください。週刊TAKAPI編集部が内容を確認し、必要に応じて取材を行います。