- 重要度
- 重要度：5段階中4 197件
- 公表日
- 2026.10.26
- 原因の分類
- 自社実装の脆弱性、認証・アクセス設定
- 対策可能性
- 判定保留
この記事の3行まとめ
- 台東区のアプリで、不正な管理者アカウントから会員情報がダウンロードされた。
- アカウント登録と権限管理の仕組みに、設計段階で想定していなかった不備があった。
- 利用者は、身に覚えのないメールのURLをクリックしないよう呼びかけられている。
台東区の障害者支援アプリ「ささえ～る」で、運営委託事業者のミラボが管理するシステムに不正な管理者アカウントが作られ、会員登録情報がダウンロードされた。流出が確認されたのは、メールアドレス197件、障害児者との関係、障害のカテゴリーで、氏名・住所・電話番号は含まれていない。
確認された経路・公表元の推定
- アカウント登録及び権限管理の仕組みの設計上の不備により、不正な管理者アカウントが作成された。
- 不正な管理者アカウントに、本来付与されるはずのない管理者権限が紐づけられた。
- 管理者権限を使い、会員登録情報がダウンロードされ、メールアドレス197件などが流出した。
- 令和8年10月23日に、運営委託事業者のミラボから区へ報告があった。
根拠の要点
資料は、アカウント登録及び権限管理の仕組みの設計上の不備により、不正な管理者アカウントが作成され、本来付与されない管理者権限が紐づけられたと説明している。
資料の基準時点：令和8年10月26日（月曜日）19時更新
当時、対策できたのか
判定保留
資料は、アカウント登録及び権限管理の仕組みに設計段階で想定していなかった不備があったと説明している。一方で、攻撃時点で既知の脆弱性への対応状況や防御条件は書かれていないため、判定を保留する。
公表された対策
- 不正に作成されたアカウントは無効化し、削除した。
- 同様の方法では管理者アカウントが作られないよう、システムを修正した。
- 新規会員登録を一時停止した。
- 台東区やサービス運用会社を装うメールに注意するよう、利用者に呼びかけた。
まだ分からないこと
- 不正な管理者アカウントが作成された日時と、ダウンロードが行われた期間。
- 不正アカウントを作成した手口と、最初にアクセスされた経路。
- 流出したメールアドレス以外の項目（障害児者との関係、障害のカテゴリー）の件数。
- 流出した情報が二次被害に使われたかどうか。