京都市：「ワールドマスターズゲームズ2027関西」京都エリアのボランティア募集にかかる不正アクセスによる個人情報漏洩の可能性

京都市のWMG京都エリアのボランティア募集をめぐる今回の事案は、同時期に京都府内で相次いだ別系統の不正アクセス事案と並べて見ると位置づけが分かりやすい。

京都新聞によれば、京都府と京都市は10月23日までに、ラクスライトクラウドのメール配信サービス「ブラストメール」のサーバーへの不正アクセスに関連して、個人情報が漏えいした可能性のあるケースを相次いで発表した。WMG2027関西の京都エリアボランティアに応募した代表者288人分の氏名とメールアドレスのほか、「府生涯現役クリエイティブセンター」ではリカレント研修の受講生ら1万5576人（14日時点の登録数）のメールアドレスと氏名、一部は生年月日や年齢、居住地などが漏えいした可能性がある。「京の食文化ミュージアム・あじわい館」のメールマガジンと「食の海援隊・陸援隊」会員のメールアドレス約1500件も対象で、いずれも管理や運営を受託する会社が同サービスを利用していたという。[s7] このため、本件は委託先が利用した外部の配信サービスの被害が、複数の発注元に波及した事例として読める。

京都市は10月14日以降、ほかにも不正アクセス関連の事案を公表している。京都市の公表によれば、災害時一斉情報配信サービスの運営事業者への第三者による不正アクセスにより、自主防災会の方の学区名と電話番号またはFAX番号、市職員の局区名、メールアドレス、電話番号が漏えいした可能性がある。同サービスは停止され、復旧までの間は避難情報等を電話連絡等で提供するとされた。[s3] NHKは10月19日、自治体の防災情報配信システムなどを運営する大阪のIT関連会社が不正アクセスを受けた疑いがある問題で、京都府内の11の市や町で個人情報が漏えいした可能性があるなどの影響が出たと伝えた。[s5]

京都市の別の公表では、公益財団法人京都市芸術文化協会が委託事業で利用していたStudio株式会社のクラウド環境に、9月30日から10月1日の間に不正アクセスがあり、環境内のデータが外部から取得できる状態になっていたことが、10月13日の同社の調査で確認された。同社は10月14日に侵入経路を塞ぐ対応を完了したという。相談サイトへの問合せ者の氏名、会社名、メールアドレス、電話番号、問合せ内容（30件）と、別サイトの問合せ者の氏名、メールアドレス、問合せ内容（3件）が漏えいした可能性がある。[s4] 京都新聞によれば、Studioへの不正アクセスの影響で、京都市などが開催するスタートアップイベント「IVS KYOTO」の昨年の公式サイトでも、問い合わせフォームに入力された氏名やメールアドレスなど計約4200件が流出した可能性があると市が発表した。別サービスで制作した今年の公式サイトには問題は生じていないという。[s7]

京都市内に本社を置くHelpfeelは、画像共有サービス「Gyazo」への不正アクセスについて、10月21日に調査結果を公表した。同社によれば、2026年9月11日に画像アップロードサーバーの脆弱性を悪用され、任意のコマンドが実行された。外部専門機関は、変換処理の一部で外部からの入力値が適切に処理されずコマンドとして解釈される脆弱性が原因と確認し、同社はサプライチェーン攻撃ではなく自社システムの脆弱性に起因すると説明している。[s6] ただし、出典の記述だけでは、この事案とWMG募集に関わるブラストメールの事案との関係は示されていない。

京都市の各公表は、情報漏えいの影響範囲は調査中で、現時点で情報の流出は確認されていないとしつつ、詐欺等の悪意ある電話やメール、SMSに注意するよう求めている。不審なメールやSMSの添付ファイルやURLを開かないこと、心当たりのない電話番号や非通知の着信には出ないか、出ても重要な情報を答えないことが基本対策とされた。[s3][s4]