【セキュリティ事件簿#2025-430】Microsoft Azure障害：企業が見直すべき“耐障害力 2025/10/30

 

はじめに

2025年10月30日、Microsoft Azure（以下「Azure」）を中心に、世界規模のクラウド障害が発生しました。多くの企業・サービスが影響を受け、「クラウド耐障害力（Resilience）」の再考を迫られた事件です。本稿では、何が起きたか、なぜ起きたか、そして今、企業が何を見直すべきかを整理します。

---

発生概要

• 障害発生時刻：2025年10月29日午前 / UTC 15:45 頃から異常を観測。 

• 記録された影響範囲：Azure を軸に、Microsoft 365、Xbox、ゲーム／エンタメ分野、航空・流通・金融のサービスも断続的に停止。

• 影響持続時間：約8時間超。

• 原因：Azure のグローバルエッジ・トラフィックルーティング機能である Azure Front Door（AFD） に対する“意図せぬ設定変更”がトリガー。

• 対応：設定変更の凍結、既知の良好な構成へのロールバック、トラフィックの別ルートへの切替。

---

なぜこのような大規模障害になったか

1. 単一のエントリポイントに依存

AFD のように「１つのグローバルルーティング基盤」が多数のサービス・顧客トラフィックを集約しており、ここでの異常が「波及」しやすい構造です。

2. 設定変更の影響範囲の過小評価

変更がトラフィック経路・エッジノードに及ぼす影響を十分に検証できておらず、誤った構成が「デプロイ済み」となった点が引き金でした。

3. “耐障害設計”より“効率・統合”が優先されてきた背景

クラウド事業者も効率化・統合化を進める中で、まさに「ハイパースケール」モデルの脆弱性が鮮明化しました。

---

企業として今、見直すべき“耐障害力”のポイント

A. クラウド基盤の依存先多様化

大手のクラウド事業者１社に依存する構成は、今回のような「根幹サービス停止」で致命的になります。マルチクラウド／ハイブリッドクラウドの検討が必須です。

B. トラフィックルーティング・フェイルオーバー策の設計

• エントリポイントがダウンした際の代替ルートをあらかじめ設計・検証

• DNS、CDN、エッジサービスに対する監視・アラート設計強化

C. 定期的な障害シナリオ訓練（DR／BCP演習）

クラウド基盤であっても「障害は起こる」という前提に立ち、具体的なシナリオを想定した演習が必要です。

D. 設定変更管理プロセスの強化

「意図せぬ構成変更」が今回のトリガーであったことから、変更管理（Change Management）のプロセス設計見直しが求められます。

E. 影響範囲の可視化とビジネス継続計画（BCP）との連携

障害が業務に及ぼす“連鎖的影響”を定量・定性で把握し、被害最小化策をBCPとして整備しておくべきです。

おわりに

今回の Azure 障害は、「ハイパースケールなクラウドサービスだから安心」という幻想を打ち砕くものでした。企業は今こそ「耐障害力＝レジリエンス」を見直すフェーズにあります。特に、設定変更やルーティング基盤への依存度が高いサービスに対しては、構成の透明化・冗長化・訓練に抜かりなく備えておきたいところです。

出典①：Microsoft Azure Front Door Outage Analysis: October 29, 2025（アーカイブ）

出典②：Huge Microsoft outage hit 365, Xbox, and beyond — deployment of fix for Azure breakdown rolled out（アーカイブ）

出典③：Microsoft says it’s recovering after Azure outage took down 365, Xbox, and Starbucks（アーカイブ）

【セキュリティ事件簿#2025-429】株式会社日本政策金融公庫 「高校生ビジネスプラン・グランプリ」応募者情報の漏えいに関するお詫びとお知らせ 2025/10/3

 

このたび、株式会社日本政策金融公庫（略称：日本公庫）が主催する「高校生ビジネスプラン・グランプリ」において、応募受付システムの設定不備がありました。その結果、応募登録者（学校の教員及び応募者の代表生徒）が検索を行うことにより、同じ「学校名」で登録された他の教員や生徒（応募者）の個人情報を閲覧できる状態であったことが判明しました。

本件につきまして、下記のとおりご報告いたしますとともに、関係者の皆さまに多大なるご迷惑・ご心配をおかけしますことを、深くお詫び申し上げます。

なお、システムの設定不備が判明した時点で直ちにシステムを修正し、個人情報の漏えいは生じないように対処しております。

１．概要

2025 年９月 25 日（木）、「高校生ビジネスプラン・グランプリ」の応募受付システムにおいて、他の教員や生徒（応募者）の個人情報が閲覧できる状態となっている、との報告が応募登録者から寄せられていることを確認しました。

直ちに調査を行った結果、応募登録者が検索を行うことにより、同じ「学校名」の他の教員や生徒（応募者）に関する個人情報を閲覧できる状態となっているというシステムの設定不備が判明しました。このため、直ぐに当該検索機能を改修し、同日 12 時 30 分には個人情報の漏えいは生じない状態としました。

２．経緯

2021 年度にシステム改修を行い、新設・統廃合した学校の教員が登録に困らないよう、選択する「学校名」に、都道府県ごとに「該当なし（都道府県）」というフラグを新設しました。また、2023 年度には、「生徒も直接応募できるようにして欲しい」との要望を踏まえ、応募者の代表生徒も応募登録ができるよう、システム改修を行いました（2022 年度までは、応募登録できるのは教員のみでした。）。

これらシステム改修において、二つの設定不備が発生しておりました。一つ目は、学校名による検索機能制限の不備です。「該当なし（都道府県）」で登録された応募登録者は、同じ「該当なし（都道府県）」で登録された他の学校の教員や生徒（応募者）の個人情報が閲覧可能となったことです。二つ目は、応募者の代表生徒が応募登録をした場合でも検索機能に制限がかかっておらず、同じ「学校名」で登録された他の教員や生徒（応募者）の個人情報が閲覧可能となったことです。

このため、今回のような状態が生じておりました。

３．漏えいした個人情報及び閲覧される可能性があった（漏えいのおそれがあった）個人情報

現時点で把握している事実関係は次のとおりです。

（１）漏えいした個人情報

検索者と同じ「学校名」で登録されている６人（教員及び生徒）の個人情報（氏名、メールアドレス、学校名、学科、住所、電話番号）です。

（２）閲覧される可能性があった（漏えいのおそれがあった）個人情報

検索者と同じ「学校名」で登録されていた教員及び生徒の個人情報（氏名、メールアドレス、学校名、学科、住所、電話番号）が閲覧される可能性がありました。閲覧される可能性があった 2021～2025 年度に応募した教員及び生徒については現在、調査中です。

＜検索者が検索した場合に閲覧される可能性があった個人情報＞

〇「学校名」で「Ａ高校」を登録した応募登録者が検索した場合

「Ａ高校」で登録されていた教員及び生徒の個人情報

※「Ｂ高校」など他の学校で登録されていた情報は閲覧されません。

〇「学校名」で「該当なし（都道府県）」を登録した応募登録者が検索した場合

「該当なし（都道府県）」で登録されていた学校の教員及び生徒の個人情報

※同一都道府県内で複数の学校が登録されていた場合、同一都道府県内の他の学校の教員及び生徒の個人情報が閲覧される可能性がありました。

実際の漏えいが（１）以外にあったかどうか等については、更なる調査を進めております。今後お伝えすべき事実が判明した際には、改めてご報告いたします。

なお、現時点の調査結果に即して、個人情報保護委員会に報告しております。

４．被害の状況

現時点において、当該情報の不正利用に関する報告や問い合わせはなく、二次被害は確認されておりません。

５．再発防止策

今後は、新たなシステムの開発や改修にあたり、設計段階から確認を徹底するなど同様の事態が生じないよう再発防止を徹底してまいります。

６．お問い合わせ先

現時点で二次被害は確認されておりませんが、日本公庫関係者へのなりすましを含め、不審なメールや連絡があるおそれがあります。不審なメールや連絡を受け、ご不安・ご心配を感じられた場合は、高校生ビジネスプラン・グランプリ事務局（以下の「本件に関するお問い合わせ先」）までご連絡をお願いいたします。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-428】埼玉県 児童の個人情報を含む電子ファイルの流出について 2025/9/24

 

県立川島ひばりが丘特別支援学校において、児童の個人情報が記載された電子ファイルを流出させる事故が発生しました。

なお、現在のところ、第三者による不正使用等の事実は確認されていません。

１ 事故の概要

令和 7 年 9 月 19 日（金曜日）午後 3 時 30 分頃、県立川島ひばりが丘特別支援学校の職員１名が、学校関係者 302 名を対象に一斉メールを送信する際、児童 1名の個人情報が記載された電子ファイルを誤って添付し、送信した。

同日、午後 3 時 35 分頃、同メールを受信した同校の別の職員から管理職に報告があり、事故が発覚した。

２ 電子ファイルに含まれる個人情報の内容

 ・当該児童の氏名、性別、生年月日、住所

 ・入学前の経歴及び転学の記録

 ・保護者氏名

３ 学校の対応

 9月19日（金曜日） 当該児童の保護者へ電話連絡し、事故について報告するとともに謝罪した。また、全受信者に対して、メールで削除依頼を行った。

9月22日（月曜日） 同メールの削除を確認した。

9月24日（水曜日） 当該児童の保護者と面会し、事故について改めて謝罪した。

４ 再発防止策

 校長会議等を通じて、改めて全県立学校において個人情報の適正な管理を徹底するよう指示する。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-427】T&D リース株式会社 当社元従業員によるお客様情報の不正持ち出しに関するご報告とお詫び 2025/9/18

 

T&D リース株式会社（代表取締役社長 根釜 健、以下「当社」）は、当社の元従業員が、離任に際し、当社のお客様情報を電磁的方法で不正に持ち出した事実が判明しましたのでご報告いたします。

お客様をはじめとする関係者の皆様に、多大なご迷惑とご心配をおかけしましたことを、深くお詫び申し上げます。

本日時点で確認が出来ている事実関係は次のとおりとなります。

１．情報持ち出し事案について

（１）概要

当社の元従業員が、離任日の 8 月 8 日、当社が貸与していた PC（会社 PC）を使用して、当社のサーバー内から大量の情報（下記のお客様情報、個人情報を含む）を電磁的方法で不正に持ち出しました。

 8 月 12 日（翌営業日）、当社システム担当者が、元従業員が使用していた会社 PC の点検作業を行う中で、会社 PC 内の記録より、情報の持ち出し（ファイル送信）が発覚したものです。

（２）持ち出されたお客様情報（個人データ等）の内容

 下記のお客様情報を含むファイル。

 但し、当該ファイルにはパスワードが付されておりました。

• お客様の基本情報（氏名、住所、生年月日、電話番号等）
  ・・・2,000 件強（件数等詳細は確認中）
  
  
• お客様との契約に関する情報（契約者名、住所、契約日、満了日、期間、契約額、取得価額、取引形態、物件総称、月額リース料、支払回数、債権残高、当社設定の取引先信用ランク等）
   ・・・18 万 4,000 件強（件数等詳細は確認中）

２．二次被害のおそれについて

 持ち出されたファイルには全てパスワードが付されておりました。

また、元従業員より、持ち出した情報を直ちに返却、消去、廃棄し、当該情報をいかなる目的にも利用しない旨の誓約書を、8 月 29 日付で受領しております。

当社は、本日時点において、お客様等社外から被害に関するご連絡等も受けておらず、本件持ち出しによる二次被害およびそのおそれは確認されておりません。しかしながら、ご住所及びお電話番号が契約に関する情報とともに持ち出されましたので、お客様におかれましては、当社を騙って契約情報にも言及する不審な電話・郵送物・電子メールがなされた場合には、応答にあたりご注意いただきますようお願いいたします。

３．当社対応について

元従業員に対しては、厳正に対処するとともに、二次被害防止の徹底を図るため、本件持ち出した情報の完全な削除、返却を求め、確認を進めて参ります。

速やかに全容解明を図り、再発防止策を策定・実施することで、お客様からの信頼回復に努めて参ります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-375】北九州市社会福祉協議会 個人情報を含む USB メモリの紛失についてのお詫びとご報告 2025/10/1

北九州市社会福祉協議会が北九州市役所様から受託しております生活困窮者自立支援相談事業におきまして、門司区の相談窓口における相談記録を保存していた記録媒体（ＵＳＢメモリ）を紛失する事態が発生いたしました。

紛失が判明後、相談窓口が設置されている門司区役所内を捜索するとともに、警察にも遺失届を提出しておりますが、現在まで発見に至っておりません。

このような事態を招き、相談者の皆様やそのご家族、関係者の皆様方に多大なご迷惑をおかけしたことを心よりお詫び申し上げます。

本会といたしましては、今回の事態を重く受け止め、深く反省しますとともに、今後、このようなことが二度と起こらないよう、改めて全職員に対し個人情報の厳格な管理や、ＵＳＢメモリによる個人情報管理の見直しなど再発防止策を徹底してまいります。

１ 経緯

令和７年９月２５日、門司区役所保健福祉課いのちをつなぐネットワークコーナーにおいて当会職員が事務所内の業務で使用していたＵＳＢメモリを紛失したことが判明しました。このため、事務所内の探索、関係者の聴き取りなどを行いましたが、現時点で発見できていません。 ※外部への持ち出しはしていない

２ 紛失したＵＳＢメモリに保存されていた情報

当該コーナーにおける相談者８０５名の氏名・年齢・住所・相談内容等が保存されていました。現時点では、個人情報の不正利用等は確認されていません。

３ 対応状況について

紛失したＵＳＢメモリの探索を継続するとともに、当該ＵＳＢメモリに保存されている相談者の皆様に対し、速やかに謝罪文書の送付や電話連絡を行います。

また、万一、個人情報の漏えいによる被害が疑われる場合には、直ちに本会までご連絡いただくようご案内いたします。

４ 再発防止について

今回の事態を踏まえ、全職員に個人情報の厳格な管理について周知徹底を行うとともに、ＵＳＢメモリによる個人情報管理の廃止、個人情報の保護に関する職員研修を継続的に行うなど再発防止に取り組み、信頼回復に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2025-426】BCC忘れが招いた“情報公開”──岩手県モニター事業の誤送信が示す危うい外部委託

 

岩手県が実施している「こどもモニター制度」のメール連絡において、受託事業者である東京商工リサーチ（TSR）が誤って受信者全員のメールアドレスを他の参加者から閲覧できる形で送信していたことが判明した。

本来は BCC（ブラインドカーボンコピー） を使用すべきところを、CC（カーボンコピー） などで送信してしまったとみられる。

結果として、モニター10名分のメールアドレスが互いに見える状態になった。

---

🧩 発生の経緯

この「こどもモニター制度」は、子育て世帯などから意見を募り、県の施策に反映させることを目的としたもの。

岩手県が企画し、東京商工リサーチが委託業務として運営を担っていた。
9月19日、同社がモニターにメールを一斉送信した際、送信方法の誤りにより、他の受信者のアドレスが閲覧可能な状態となった。

報道によれば、誤送信が確認された直後、TSRは対象者に謝罪し、岩手県にも報告。
県は「個人情報保護の観点から、再発防止を徹底する」とコメントしたという。
しかし、県やTSRの双方から正式なリリース文や謝罪文書は現時点で確認できない。

---

🧯 BCCミスは“古典的”だが、いまだに減らない

BCC忘れによるメール誤送信は、ここ10年以上、官公庁・自治体・企業の別を問わず、繰り返されている“定番の事故”である。

とりわけ自治体業務の外部委託では、受託企業が実際の運用を担当するケースが多く、委託元（県）と委託先（企業）の間で責任が曖昧になりやすい。

今回も「業務委託先の担当者の操作ミス」という形で処理されているが、根本的には 情報管理体制そのものの設計不備、すなわち「BCCミスが発生しうる運用設計」を放置している点に問題がある。

---

🧠 教訓：人に頼る限り、ヒューマンエラーはなくならない

メール誤送信を完全に防ぐには、

• メーリングリスト管理ツールの導入

• アドレス非表示を強制するシステム設定

• 一斉配信の前にダブルチェックを義務化
  などの仕組み面での対策が不可欠だ。

だが、地方自治体の多くは依然としてExcelベースの宛先管理や、個人担当者のOutlook送信といった“属人的運用”を続けている。

この構造が変わらない限り、「BCC忘れ」という名の“情報公開”は、今後も定期的に発生し続けるだろう。

出典：岩手県モニター事業でメール誤送信　アドレス閲覧可能に（アーカイブ）

【セキュリティ事件簿#2025-186】学校法人宮城学院 ランサムウェアによる情報の漏洩について 2025/9/24

 

学校法人宮城学院（宮城県仙台市青葉区、理事長 佐々木哲夫）は、このたびの本学院へのランサムウェア攻撃に起因した情報漏洩により、関係するすべての皆さまに多大なるご心配とご迷惑をおかけしておりますことを深くお詫び申し上げます。

5月12日に本学院の大学教務システムサーバがダウンしていることが確認されたことから即座に学内で調査を行った結果、ファイルの拡張子、設定内容が書き換えられているなど、複数のサーバ等がランサムウェアを含む大規模なサイバー攻撃を受けたことを確認いたしました。

本学院では、本事案発生時以降、学外のセキュリティ専門会社の支援を受けながら、情報漏洩の可能性及び漏洩した情報の範囲を把握するための調査を鋭意進めてまいりました。このたび現時点の調査結果として、下記について判明しましたので、ご報告いたします。

なお、本事案については個人情報保護委員会（行政機関）に報告を行っております。

１．外部漏洩を確認した個人情報

（1）個人情報　合計: 9名

【学生情報】

本学院の大学卒生・大学院修了生の個人情報

（氏名、学籍番号、学部、電話番号、メールアドレス、住所、出身校）

２．外部漏洩の恐れがある個人情報

（1）個人情報　合計: 1995年度～2025年度までの間に本学院に在籍・在職した学生・生徒・園児、教職員等約30,000名

※情報には同一学生・生徒・園児、教職員等の情報が重複して含まれる場合もあります。

【学生・生徒・園児等情報】

1995年度～2025年度までの間に本学院の大学・大学院・中学校高等学校・こども園等に在籍した方の個人情報

（氏名、電話番号、メールアドレス、住所、学籍等の属性情報）

【教職員等情報】

1995年度～2025年度までの間に本学院に在籍した教職員等の個人情報

（氏名、住所、電話番号、生年月日等の人事関連情報）

【その他】

各種業務関連文書、サーババックアップファイル等

なお、現時点において、外部漏洩を確認した9名を含め、1995年度～2025年度までの間に在籍・在職した学生・生徒・園児、教職員等に関する個人情報が公開されている形跡は認められておりません。

３．対象者の皆さまへのお知らせ

情報漏洩が確認された方々及び情報漏洩の可能性がある方々に対して、個別にお詫びとお知らせを送付させていただきました。また、本件について専用のお問い合わせ窓口を設置しております。なお、個別にご連絡がつかない皆様には、本発表を以て、通知とさせていただきます。

【情報漏洩に関するお問い合わせ専用窓口】

toiawase@mgu.ac.jp

もし、ご自身の情報が公開されていることを確認した場合は、上記の窓口へご連絡ください。お手数ですが、ご連絡の際には、公開されていた情報の詳細（確認したサイト等）について具体的にお知らせくださいますようお願い申し上げます。ご連絡いただきました情報に基づき、各プラットフォームに削除申請を行います。

また、個人情報を悪用し、見知らぬ者からの電話、フィッシングメール、スパムメール、詐欺メール等の迷惑メールが送付される可能性があります。不審な連絡等を受け取られた場合は十分にご注意いただくようお願い申し上げます。

４．原因と対策

学外のセキュリティ専門会社の調査によると、外部攻撃者の標的となり、ユーザーIDやパスワード等のアカウント情報が窃取されてしまったことが本件の根本原因であると推測されております。窃取されたアカウント情報によって、学内ネットワークに侵入されランサムウェアの実行及び個人情報の漏洩につながることとなりました。

このことは、本学院の情報セキュリティ対策の運用に問題があったことに起因しております。この事実を重く受け止め、再発を防止すべく学外のセキュリティ専門会社による助言及びチェックを受けながら適切な運用に努めてまいります。

５．二次被害またはその恐れの有無

現段階において、二次被害については確認されておりません。

学生・生徒をはじめ関係するすべての皆さまに多大なるご心配とご迷惑をおかけしておりますことを、重ねて深くお詫び申し上げます。

本学院は、今回の事態を重く受け止め、関係するすべての皆さまの情報を守るために、セキュリティ体制の強化を図り、再発防止に全力を尽くしてまいります。

リリース文（アーカイブ）

【2025/6/17リリース分】

リリース文（アーカイブ）

【2025/5/20リリース分】

リリース文（アーカイブ）

【2025/5/16リリース分】

リリース文（アーカイブ）

【セキュリティ事件簿#2025-425】近江八幡市 本市魅力発信課の公式X(旧ツイッター)アカウントへの不正アクセスのご報告 2025/9/24

 

近江八幡市魅力発信課がX(旧ツイッター)に開設している公式アカウント(@omigyu_hachiman)が、2025年9月19日頃、第三者からの不正アクセスにより、乗っ取られていたことが判明しました。これまでに個人情報の流出等、二次被害は確認されていません。万が一、本市公式Xアカウントを装った連絡や外部サイトに誘導するURLが付いたダイレクトメッセージ等が届いた場合は開かないようにご注意願います。

X社には、乗っ取られた旨の報告と解決を依頼中です。最新状況につきましては順次こちらのページにて公開してまいります。

関係者の皆さま、フォロアーの皆さまにはご心配とご迷惑をおかけし、深くお詫び申し上げます。

リリース文（アーカイブ）