社内の別の部署にデータを渡したい。添付するには大きすぎる、共有フォルダの権限を頼むのも手間がかかる。そんなとき、ブラウザでファイルをアップロードしてダウンロード用のURLを発行できるファイル転送サービスは、手軽な手段です。URLを社内チャットに貼れば、受け渡しは数分で終わります。

渡す相手が社内の人なので、URLを社外に出していなければ問題は起きない、と考えるのが自然です。ところが2026年9月、その前提で受け渡したファイルが、URLを知る人ならだれでも開ける状態になっていたと公表されました。

この記事は、公表した会社の対応を評価するものではありません（公表元は末尾の出典に記載しています）。同じように社内外でファイル転送サービスを使っている会社が、自社の受け渡しのどこを確かめればよいかを整理することが目的です。

この記事でわかること

  • 2026年9月16日に公表された事案で、何が起きたか
  • URLを社内にしか伝えていなくても、防ぎにならなかった理由
  • 再発防止策に「手作業の抽出をやめる」が入っていた意味
  • 自社の受け渡しで確かめたい5つのこと

公表された内容

公表によると、経緯は次のとおりです。

  • 2026年9月2日、従業員が社内で個人情報を含むファイルを受け渡す際に、外部のファイル転送サービスを利用した
  • その際、ファイルの公開設定に不備があり、ダウンロード用のURLを知り得る者であればだれでもファイルにアクセスできる状態になっていた
  • 期間は9月2日14時20分ごろからの約20分間。14時40分の時点でファイルは削除され、閲覧できる状態は解消された
  • URLは社内の関係者の間でのみ共有しており、委託先を含め第三者への開示・提供は行っていなかった
  • 対象は10,997人で、情報はメールアドレス、メールマガジンの配信設定の状況、登録時に発番されるユーザーID。氏名、住所、電話番号、パスワード、クレジットカード情報は含まれていない
  • 公表時点で、不正利用や二次被害は確認されていない。個人情報保護委員会へは報告済みで、対象者には個別にお知らせを送った

公開されていたのは20分です。URLは社内にしか伝えていませんでした。それでも、だれかが開けた可能性が否定できない以上、漏えいの可能性として報告と個別の通知に至っています。

URLを社内にしか伝えていなくても、防ぎにならなかった理由

「URLを知っている人だけが開ける」という状態は、URLそのものが鍵になっている状態です。鍵を渡した相手が社内の人だけであっても、鍵を持っている人がだれなのかを、サービスの側では確かめていません。

URLは、思ったより多くの場所に残ります。チャットへの貼り付け、メールの転送、ブラウザの履歴、共有した画面の写り込み。どこかでURLが人の目に触れれば、そこから先は止められません。今回の事案でURLが社外に出た事実は公表されていませんが、出ていないことを確かめる方法も無いため、20分間の公開が漏えいの可能性として扱われました。

もう一つは、公開の範囲を決めているのが、送る人がその場で選ぶ設定だという点です。公表では「公開設定に不備があった」とされています。どの設定をどう誤ったのかは明らかにされていませんが、受け渡しのたびに人が設定を選ぶ仕組みである限り、選び間違いは起こりえます。

再発防止策に「手作業の抽出をやめる」が入っていた意味

公表された再発防止策は2つです。

  • 運用ルールの見直しとシステム化の推進：人為的ミスが発生しないよう、手動によるデータ抽出の廃止などのシステム的な管理体制の構築を検討する
  • 社内管理体制の強化と教育の徹底：個人情報を扱う際の手続きを再徹底し、全社的な情報セキュリティ教育を行う

教育だけでなく、手作業でデータを抜き出すこと自体をやめる方向が挙げられています。個人情報を含むファイルを人が作り、人が転送サービスに上げ、人が公開設定を選ぶ。この流れのどこかで間違えれば、そのまま外に出ます。だから、ファイルを作る工程そのものを減らす、という考え方です。

すべての受け渡しを無くせる会社は多くありません。それでも、「出すファイルを減らす」と「出すなら仕組みで守る」の2段で考えることは、どの会社にも当てはめられます。

自社の受け渡しで確かめたい5つのこと

社内外でファイルを受け渡す方法について、次の5つを確かめます。

  1. どのサービスで渡しているかを、会社として把握しているか。 部署や担当者ごとに、無料の転送サービスや個人で使い慣れたサービスを使っていないか。使っているサービスが分からなければ、設定の確認もできません
  2. 公開の範囲の既定値は何か。 何も選ばずにアップロードしたとき、「URLを知る人ならだれでも」になるのか、「指定した相手だけ」になるのか
  3. 期限と回数に上限があるか。 受け渡しが終わったあともURLが生きていれば、公開されている時間はそれだけ延びます
  4. 受け取る人を確かめているか。 URLを開いた人が、渡すつもりだった相手かどうかを、サービスの側で確認する仕組みがあるか
  5. いつ、だれが開いたかが残るか。 万一のときに「開かれていない」と言えるかどうかは、記録があるかどうかで決まります

5つ目は、今回の事案を読むうえでも大事な点です。公開されていた20分のあいだに実際に開かれたかどうかを記録で確かめられれば、その後の対応の幅は変わります。

ForceDriveでできること

法人向けのセキュアファイル送受信サービス ForceDrive は、上の2〜5を、送る人の注意ではなくサービスの仕組みで固定するためのものです。

  • 受け取る相手は、宛先のメールアドレスに届く6桁のワンタイムコードを入力してからファイルを開きます。URLを知っているだけでは開けません（宛先のメールを受け取れる人であることの確認で、本人確認そのものではありません）
  • 共有リンクには有効期限とダウンロード回数の上限を設定でき、既定では期限を過ぎたファイルは自動で削除されます（有効期限とダウンロード制限の使い方）
  • 送る側のログインは2要素認証が必須です
  • だれに、いつ、どのファイルを渡し、相手がいつ開いたかを記録で確かめられます（監査ログはなぜ重要か）

一方で、ForceDrive を入れても、1つ目の「どのサービスで渡しているか」は会社のルールとして決める必要があります。手軽な別のサービスが使われ続ければ、仕組みの外で同じことが起こります。受け渡しに使う手段を1つに決め、その手段に期限と相手の確認が組み込まれている状態をつくることが、今回の事案から引き出せる対策です。

まとめ

  • 2026年9月2日、社内での受け渡しに使ったファイル転送サービスで公開設定に不備があり、10,997人分の情報を含むファイルが約20分間、URLを知る人ならだれでも開ける状態になった
  • URLは社内でしか共有していなかったが、開かれていないことを確かめられないため、漏えいの可能性として報告と通知に至った
  • 「URLを知っている人だけ」は、URLが鍵になっている状態で、受け取る人を確かめてはいない
  • 再発防止策には、教育に加えて、手作業によるデータ抽出の廃止が挙げられた
  • 自社では、使うサービスの把握、公開範囲の既定値、期限と回数、受け取る人の確認、開封の記録の5つを確かめられる

社内外でのファイルの受け渡し方を見直したい場合は、いま使っている方法をまとめたうえでお問い合わせからご相談ください。

参考・出典