デジタル庁の個人情報漏えいをめぐり、「24万件もの情報が漏えいしたのでは？」と気になっている人もいると思います。
結論からいうと、2026年8月7日にデジタル庁が公表した「国家資格等情報連携・活用システム」の個人情報漏えいについて、24万件が漏えいしたという事実は確認されていません。
デジタル庁の公式発表で漏えい対象とされているのは、各資格管理団体の職員150人分です。
氏名、ユーザーID、所属などを示すコードが、本来送る対象ではない他団体の職員分まで含まれた「ログイン履歴」ファイルとして別の省庁へ送付されていました。
しかも原因としてデジタル庁自身が挙げているのは、サイバー攻撃ではなく、作業手順書の曖昧な記載によって起きた作業ミスです。
デジタル行政を担う組織で起きた人為的な個人情報漏えいだけに、「管理体制はどうなっていたのか」「今後さらに対象資格が増えても大丈夫なのか」という不安につながる部分もあります。
デジタル庁の個人情報24万件漏えいは本当？実際は150人
まず押さえておきたいのが、「24万件」という数字です。
2026年8月7日にデジタル庁が公表した今回の個人情報漏えいについて、公式発表に24万件という記載はありません。
漏えいしたと公表されているのは、国家資格等情報連携・活用システムを利用する各資格管理団体の職員150人分の個人情報です。
デジタル庁が公表した漏えい人数は150人
デジタル庁によると、問題が確認されたのは2026年7月6日です。
デジタル庁から他省庁へ送付した「ログイン履歴」のファイルについて、受け取った省庁の担当者から「関係者ではない人物の個人情報が記載されている」と連絡があり、漏えいが判明しました。
ファイルには、本来の送付対象ではない各資格管理団体の職員を含む150人分の情報が入っていました。
漏えいしたとされる情報は、氏名、ユーザーID、所属などを示すコードです。
デジタル庁の発表では、150人のマイナンバーそのものが流出したとは説明されていません。
「24万件漏えい」を裏付ける公式発表はない
2026年9月11日時点で、今回の事案についてデジタル庁が発表している人数は150人です。
「24万件の個人情報が漏えいした」という内容は、今回確認したデジタル庁の公式発表や関連資料とは一致していません。
そのため、「国家資格等情報連携・活用システムから24万人分の個人情報が流出した」と受け取ると、実際の公表内容とは大きく異なります。
数字だけが一人歩きすると被害規模の印象も大きく変わるため、今回については「150人分の個人情報が誤って別の省庁へ送られた事案」と捉えるのが、公式発表に沿った内容です。
デジタル庁の個人情報漏えいはなぜ起きた？原因は作業手順書
今回のデジタル庁の個人情報漏えいは、外部からシステムへ侵入されてデータを盗まれた事案ではありません。
デジタル庁が説明している直接的な原因は、ログイン履歴ファイルを作成する作業で発生した人的ミスです。
さらに、そのミスにつながった背景として「運用の作業手順書の曖昧な記載」が挙げられています。
本来は送付先の利用者だけを抽出する作業だった
デジタル庁は、国家資格等情報連携・活用システムから複数のデータを抽出し、その中から送付先となる省庁担当課のユーザーだけが載ったログイン履歴を作成する予定でした。
ところが実際に作られたファイルには、ほかの資格管理団体のユーザーまで残っていました。
その状態のままファイルを別の省庁へ送ったため、関係のない150人の個人情報が送付先に渡ることになりました。
作業手順書の曖昧な記載でミスが発生
デジタル庁は原因について、運用で使用していた作業手順書の記載が曖昧だったため、作業誤りが発生したと説明しています。
つまり、担当者が決められた明確な手順を無視したという説明ではなく、作業そのものを案内する文書に不十分な部分があったということになります。
個人情報を含むファイルを作成・送付する業務であれば、「誰のデータを残すのか」「ほかの利用者が混入していないか」といった確認が漏えい防止に直結します。
今回、その工程で誤りを止められなかったことが問題になっています。
デジタル庁の個人情報誤送付はどうやって発覚した？
今回の特徴は、デジタル庁側が送付前にミスを発見したのではなく、ファイルを受け取った省庁側からの連絡で判明した点です。
デジタル庁の公式発表によると、2026年7月6日に送付先の担当者がファイル内に関係者以外の情報があることに気づき、デジタル庁へ連絡しました。
送付前のチェックでは止められなかった
本来送る必要のない150人分の個人情報が含まれていたにもかかわらず、ファイルはそのまま庁外へ送信されました。
結果的には送付先が異変に気づきましたが、デジタル庁内部でのファイル作成時や送信前の確認では発見されなかったことになります。
デジタル庁が再発防止策として「チェック体制の強化」を挙げていることからも、送付前確認の仕組みに改善すべき点があったことがうかがえます。
不特定多数へ公開された事案ではない
一方で、漏えいの範囲については区別しておきたい部分があります。
今回のファイルはインターネット上に公開されたわけではなく、デジタル庁から特定の別省庁へ送付されたものです。
送付先への確認では第三者へ転送されておらず、当該ファイルはすでに削除されています。
国家資格等情報連携・活用システムとは？
今回、個人情報漏えいが起きたのは「国家資格等情報連携・活用システム」です。
名前だけでは分かりにくいですが、これまで紙や郵送などが中心だった国家資格の申請・変更・証明などを、マイナンバー制度を活用してデジタル化するための仕組みです。
国家資格の手続きをオンライン化するシステム
デジタル庁によると、国家資格等情報連携・活用システムは、資格取得者の各種申請や資格を保有していることの確認などをデジタル化する目的で構築されています。
2024年8月からオンライン化が順次始まり、介護福祉士、社会福祉士、公認心理師、社会保険労務士などで利用できる仕組みが広がっています。
デジタル庁の2026年8月の会議資料では、同年7月時点で22の国家資格が利用を開始し、さらに108資格が利用に向けた準備を進めていると説明されています。
130の国家資格等がデジタル化の対象
デジタル庁は、マイナンバー法の改正などにより130の国家資格等がオンライン・デジタル化の対象になったとしています。
利用対象が広がれば、システムに関係する資格管理団体や担当者も増えていきます。
今回の漏えいが、まさにそのシステムの運用業務で起きたことから、今後の個人情報管理や運用体制にも関心が向いています。
デジタル庁は「ずさんな管理」だった？問題になった3つのポイント
今回の問題を受け、「デジタル庁の管理がずさんだったのではないか」という厳しい見方が出ることも考えられます。
デジタル庁自身が「ずさんな管理だった」と表現しているわけではありません。
ただ、公式発表からは、作業手順と確認体制の双方に改善対象があったことが分かります。
作業手順書そのものが曖昧だった
一つ目は、担当者が使う作業手順書です。
デジタル庁は、漏えい原因として「運用の作業手順書の曖昧な記載」を明記しています。
個人情報を扱う業務で手順の解釈に幅が生まれる状態だったことは、今回のミスにつながった直接的な課題です。
他団体の150人分が残ったまま送付された
二つ目は、本来の送付対象以外のユーザー情報が大量に残った状態でファイルが完成し、そのまま送信されたことです。
一人や二人ではなく150人分の別利用者情報が混在していたにもかかわらず、送付前に発見されませんでした。
受取先から指摘されるまで判明しなかった
三つ目は、ミスの発覚経緯です。
誤送付に気づいたのはデジタル庁ではなく、ファイルを受け取った省庁の担当者でした。
受取先が気づかなければどうなっていたのかという疑問が出るのも、この点が背景にあります。
一方で、今回の公表だけからデジタル庁のシステム全体が安全ではない、あるいは個人情報管理全般が機能していないとまで評価する材料は示されていません。
デジタル庁の情報漏えいで二次被害は出ている？
個人情報漏えいとなると、「第三者へ拡散されたのか」「悪用されていないのか」という点も気になります。
デジタル庁は2026年8月7日の発表時点で、今回の事案による二次被害は確認されていないとしています。
誤送付先から第三者への転送は確認されず
デジタル庁がファイルの送付先へ確認したところ、第三者には転送されていませんでした。
問題のファイルもすでに削除されています。
そのため、現時点で確認されている漏えい範囲は、誤ってファイルを受け取った省庁までです。
氏名・ユーザーID・所属などのコードが含まれていた
ファイルに含まれていたのは、各資格管理団体職員の氏名、ユーザーID、所属などを示すコードです。
デジタル庁の発表では、今回のファイルに銀行口座、クレジットカード情報、パスワードといった情報が含まれていたとは説明されていません。
二次被害が確認されていない点は、被害の広がりを考えるうえで押さえておきたい部分です。
デジタル庁の再発防止策は？チェック体制を強化
デジタル庁は今回の漏えいを受け、再発防止策も発表しています。
中心となっているのは、チェック体制の強化と作業手順書の点検です。
作業手順書を点検
原因として作業手順書の曖昧さが挙げられたため、デジタル庁は手順書を点検するとしています。
どのデータを抽出し、どの情報を削除し、送付前に何を照合するのかが明確になれば、担当者による解釈の違いを減らせます。
チェック体制も強化
もう一つがチェック体制です。
今回の事案では、関係のない150人分のデータが含まれていることを送信前に発見できませんでした。
デジタル庁は具体的な確認人数やシステム上の自動チェック機能まで公表していませんが、少なくとも従来の確認方法を見直す方針を示しています。
デジタル庁のセキュリティは大丈夫？今回の原因はサイバー攻撃ではない
「デジタル庁で情報漏えい」という言葉だけを見ると、ハッキングやシステムへの不正侵入を想像する人もいるかもしれません。
しかし、今回公表された原因はサイバー攻撃ではありません。
システムから正規に抽出したデータを人が加工し、他省庁へ送る運用作業の中で起きたミスです。
システムへの不正侵入が確認されたわけではない
デジタル庁の発表には、外部から国家資格等情報連携・活用システムへ不正アクセスされたとの記載はありません。
データベースそのものから不特定多数の資格保有者情報が盗まれたという内容でもありません。
今回は「システムのサイバーセキュリティ」と「人が行う運用上の情報管理」を分けて考えられる事案です。
人為的ミスも個人情報管理では大きな課題
高度なサイバーセキュリティ対策を導入していても、正規の権限を持つ担当者がデータを抽出し、誤った内容で送付すれば個人情報漏えいは起こります。
今回の事案は、システムへの侵入対策だけではなく、日常的なファイル作成や送付作業まで含めた運用管理が問われるケースとなりました。
デジタル庁の先行き不安は？国家資格システムは今後も拡大
今回の問題から「これから国家資格のデジタル化をさらに進めても大丈夫なのか」と感じた人もいると思います。
国家資格等情報連携・活用システムは今後も対象拡大が予定されている事業です。
2026年7月時点では22資格が利用を始め、残る108資格も利用に向けた準備が進められていました。
利用拡大と個人情報管理を両立できるか
2025年度の同システムによるオンライン申請は、21資格合計で4万7680件に達していました。
デジタル庁の有識者会議では、当初目標だった3万6000件を上回ったことも報告されています。
利用が広がることは行政手続きの利便性向上につながる一方、関係する組織や利用者が増えれば、運用時に扱う情報も増えていきます。
今回の再発防止策が実際の業務にどう反映されるのかは、今後の信頼にも関わってきそうです。
「24万件流出」ではないが管理体制への疑問は残る
今回、デジタル庁から公表された漏えい規模は150人であり、「24万件の個人情報が流出した」という内容ではありません。
また、誤送付されたファイルは削除され、第三者への転送や二次被害も確認されていません。
その一方で、作業手順書の曖昧さによるミスが起き、内部チェックではなく送付先からの連絡で発覚したという経緯は残ります。
今後は、手順書の点検やチェック体制強化がどのように実行され、同様の誤送付を防げる仕組みになるのかが焦点となります。
デジタル庁の個人情報漏えいで現在分かっていること
デジタル庁が2026年8月7日に公表した個人情報漏えいは、「国家資格等情報連携・活用システム」の運用中に発生しました。
現時点で判明している内容は次の通りです。
- 「24万件漏えい」を裏付ける公式発表はなく、対象は各資格管理団体の職員150人
- 漏えいした情報は氏名、ユーザーID、所属などのコード
- 2026年7月6日、別省庁へ送ったログイン履歴ファイルから発覚
- 本来の送付対象以外のユーザー情報がファイルに残っていた
- 原因は作業手順書の曖昧な記載による作業誤り
- 発覚したのは送付先の省庁担当者からの連絡
- ファイルは第三者へ転送されておらず削除済み
- 2026年8月7日時点で二次被害は確認されていない
- デジタル庁はチェック体制の強化と作業手順書の点検を表明
以上がデジタル庁の公式発表で確認できる今回の事案の内容です。
「24万件」という非常に大きな数字と、実際に公表された150人では受ける印象が大きく異なります。
ただ、人数の大小だけでなく、デジタル行政を担う組織で、作業手順の曖昧さと送信前チェックをすり抜けた誤送付が起きた点は今回のポイントです。
国家資格等情報連携・活用システムは今後も対象拡大が予定されています。利用者の利便性向上と同時に、再発防止策が実際の運用でどこまで機能するのかにも注目が集まりそうです。
