大阪・関西万博、再委託先の「不正アクセス事案」を報告＆謝罪　一般来場者の個人情報は確認されず

　日本国際博覧会協会が20日、「大阪・関西万博」公式サイトにて、再委託先の不正アクセス事案が発生したことを報告。「現時点で、一般来場者の個人情報が含まれていたことは確認されていません」とし、謝罪した。

　発表で「再委託先における不正アクセス事案による関係者・イベント出演者に関する個人情報の漏えい等に関するご報告とお詫び」とし、同協会の委託業務の再委託先において、「フィッシングメール受信を端緒としたMicrosoft 365への不正アクセスが発生」したと説明。同協会の「関係者・イベント出演者等に関する個人情報を含むメール及び添付ファイルが不正アクセスの対象となった可能性があることが判明しました」と伝えた。

　また、「現時点で、一般来場者の個人情報が含まれていたことは確認されていません」とし、「関係する皆様に多大なご心配とご迷惑をおかけしますことを、深くお詫び申し上げます」と伝えた。

　大阪・関西万博において、催事施設の統括・運営管理業務及び公式参加者催事業務等を委託。委託先は、これらの業務の一部を再委託先に再委託していた。その後2026年5月13日、再委託先の従業員が、海外企業を装うフィッシングメールを受信したことを端緒とし、同社のMicrosoft 365のアカウントに対する不正アクセスが行われたことが再委託先において確認され、同日中に当該アクセスは遮断された。

　不正アクセスの対象となった可能性があるのは、「当協会の委託業務に関係するメール及びその添付ファイルに含まれるデータのみ」。その他のデータへの不正アクセスは確認されていないと説明した。

　改めて、発表の時点で確認されている個人情報について、「関係者（委託先、再委託先の従業員を含みます。）やイベント出演者に関する以下の個人情報です」とし、「再委託先が送受信したメールの送受信者の氏名、所属、役職、メールアドレス及びメール署名に含まれる電話番号等」「委託先等の従業員の氏名、勤務シフト及び担当業務並びに見積書・請求書等に記載された担当者情報」「2025年日本国際博覧会のイベント等に出演された方の氏名、肩書、写真、スピーチ原稿、進行台本及びステージへの登壇・退場動線等」の3点を説明。また、「クレジットカード情報や一般来場者の個人情報が含まれていたことは確認されていません」と追記した。

　また、同件を起因とした個人情報の不正利用や二次被害についても確認されていないという。

　今後の対応については、「従来より、業務委託契約に際して委託業務に関する個人情報管理の徹底と契約業務終了後の廃棄・消去等を義務付けてきたところですが、本件を真摯に受け止め、委託先等における安全管理措置、インシデント報告体制、再委託先の管理及び保有する必要のなくなった個人情報の廃棄・消去等の状況を確認し、あらためて必要な改善を求めています」と説明。問い合わせ先も公表した。