内閣府は11月13日、沖縄の魅力を全国に発信する広報事業「OKINAWA41」で使っていたレンタルサーバーが今年8月に不正アクセスを受け、サーバーに保存していた個人情報が外部に漏えいしたおそれがあると発表した。対象はサイト上で開いた「フォトコンテスト」と「かりゆしウェアデザインコンテスト」の応募者で、電話番号とメールアドレスが含まれる。原因はマルウェアによる不正アクセスだった。内閣府は「現時点で具体的な被害は確認されていない」としたうえで、不審な電話やメールに注意するよう呼びかけている。
漏えいのおそれがあるのは2つのコンテストの応募者
発表したのは内閣府の政策統括官（沖縄政策担当）。発表資料が挙げた「漏えい等が発生したおそれがある個人情報」は次の3種類だ。
| コンテスト | 漏えいのおそれがある情報 |
|---|---|
| フォトコンテスト | 応募者の電話番号・メールアドレス |
| フォトコンテスト | 顔画像を含む投稿画像（サイトで公表済みのもの） |
| かりゆしウェアデザインコンテスト | 応募者の電話番号・メールアドレス |
投稿画像は、サイトに受賞作などとして掲載していたものに限ると発表資料は説明している。氏名や住所、クレジットカード情報は、漏えいのおそれがある情報として挙げられていない。
一方で、対象となる人数、不正アクセスがあった8月の何日だったのか、いつ気づいたのかは、発表資料に書かれていない。内閣府のホームページの告知と、OKINAWA41のサイトに13日付で載せた告知も、内容は同じで人数には触れていない。発生した8月から公表した11月13日までは約3カ月がたっている。
内閣府からJTB、さらにベートーベンへ委託
発表資料によると、OKINAWA41は内閣府が株式会社JTBに委託して実施している事業だ。このうちポータルサイトの構築は、JTBから株式会社ベートーベンに再委託していた。不正アクセスを受けたのは、事業で使っていたレンタルサーバーで、さくらインターネット株式会社が運営するものだった。
原因について、発表資料は「マルウェアによるレンタルサーバーに対する不正アクセスによるもの」と書いている。どのような種類のマルウェアだったか、どこから入り込んだのかは説明していない。
内閣府は「事業者に適切な対応を求めるとともに、再発防止に努めてまいります」としている。発表資料の問い合わせ先はOKINAWA41事務局で、窓口はメール（okinawa41@bsec.jp）だけになっている。
内閣府では、この2日前の11月11日にも、メール配信を委託する事業者のサービスが不正アクセスを受け、内閣府が配信するメールマガジンの利用者の個人情報が漏えいしたと発表したばかりだ（内閣府のメルマガ14種、利用者のアドレス6万件漏えい 委託先アララへの不正アクセスで）。今回の件とは委託先も仕組みも別で、内閣府の発表は2件を関連付けていない。
「OKINAWA41」とは 沖縄担当相が最優秀賞を発表
OKINAWA41は、内閣府が運営するインターネットサイトだ。2024年3月22日の記者会見で、当時の自見沖縄担当相は「沖縄の魅力を全国に発信することを目的に」運営していると説明している。サイトには沖縄のグルメや文化・芸術、歴史、景勝地などを地域ごとに紹介する記事を載せており、トップページは「沖縄記事700本以上」とうたっている。
サイトの柱の一つが、毎年開く2つのコンテストだ。写真を募る「沖縄フォトコンテスト」と、かりゆしウェアの柄を募る「かりゆしウェアデザインコンテスト」で、最優秀賞は沖縄担当相が発表する。自見氏の会見によると、2023年8月から2024年1月に開いた回には、写真に1418作品、かりゆしウェアのデザインに300作品の応募があり、表彰式は翌日に沖縄総合事務局で開くとしていた。
直近の令和7年度は、2026年3月17日に当時の黄川田沖縄担当相が両コンテストの最優秀賞を発表した。表彰式は3月20日に開くと告知していた。今回、漏えいのおそれがあると発表された「応募者」がどの年度の応募者まで含むのかは、発表資料からは読み取れない。
今年のコンテストは応募の受付を止めている
OKINAWA41のサイトには、8月3日付で「沖縄フォトコンテストシーズン11」と「かりゆしウェアデザインコンテスト2026」の応募受付開始の告知が載っている。11月14日時点で、両方のページは「システムメンテナンスのため応募の受付を一時的に停止しております」と表示し、受付の再開は「準備が整い次第」知らせるとしている。
受付を止めた日と理由がシステムメンテナンス以外にあるのかは、サイトに書かれていない。不正アクセスとの関係についても、内閣府の発表資料とサイトの告知はいずれも触れていない。
内閣府は、漏えいしたおそれがあるメールアドレスなどが、なりすましメールやフィッシングメール、不審な電話、SMSに悪用される可能性を「完全に否定することはできません」としている。注意を求める連絡として、次の5つを挙げた。
- 内閣府や関係省庁、実在する事業者などを装ったメール、電話、SMS
- 身に覚えのない連絡に書かれたウェブサイトへのリンク
- 不審なメールに添付されたファイル
- パスワードなどの認証情報やクレジットカード情報の入力を求める連絡
- 至急の対応や金銭の支払いを求める連絡
こうした連絡を受けたときは、リンクや添付ファイルを開かず、送り主として表示された組織の公式サイトで連絡先を確かめてから問い合わせるよう求めている。内閣府がこの件の連絡で、パスワードやクレジットカード情報の入力・提供を求めることはないという。
法律は委託先にも安全管理を求める
国の行政機関が持つ個人情報の扱いは、個人情報保護法の第5章が定めている。第66条1項は、行政機関の長などに、漏えいの防止など安全管理のために必要で適切な措置を講じるよう義務付けている。同条2項は、この義務を行政機関から個人情報の取り扱いの委託を受けた者にも当てはめており、二段階以上にわたる委託を受けた者も含むと定めている。OKINAWA41のように、内閣府からJTB、JTBからベートーベンへと再委託した先も、この規定の対象になる。
漏えいが起きたときの手続きは第68条にある。1項は、個人の権利利益を害するおそれが大きい事態が起きたとき、行政機関の長などに個人情報保護委員会への報告を義務付けている。どの事態が当たるかは同委員会の規則（施行規則第43条）が定めており、「不正の目的をもって行われたおそれがある」行為による漏えいや、本人の数が100人を超える漏えいが含まれる。漏えいの「おそれ」がある段階でも対象になる。今回の発表資料は、同委員会への報告について触れていない。
68条2項は、同じ場合に本人へ通知することを求めている。内閣府は発表資料で、この規定に基づき、連絡先が確認できる人には本人へのお知らせを順次行っていると説明した。メールアドレスが変わっているなどの理由で個別に通知することが難しい人に向けて、漏えいしたおそれがある情報を公表したとしている。同項のただし書きは、本人への通知が難しい場合に、本人の権利利益を守るために必要な代わりの措置を取ることを認めている。
応募者にとっては、自分が対象に含まれるのか、内閣府から通知が届くのかが関心事になる。発表資料は、対象の人数や応募の年度の範囲を示していない。心当たりのある人の問い合わせ先は、OKINAWA41事務局のメール窓口になる。