株式会社palanが業務で使用していたデータ分析ツール「Metabase」への不正アクセスにより、岐阜県と宮崎県の事業で収集した個人情報が流出したことが判明しました。両県は2026年10月27日にそれぞれ公表しています。岐阜県ではデジタルスタンプラリー参加者1,135人分、宮崎県では観光ガイドのアンケート551件が対象です。
特に岐阜県は、事業終了時に委託先から「個人情報破棄証明書」を受領していたにもかかわらず、データを管理した再委託先palanに情報が残っていたと明らかにしました。今回の事案では、分析ツールへのアクセス制御だけでなく、委託事業終了後のデータ削除確認も問題となっています。
palan「Metabase」不正アクセスのサマリー
事業者：株式会社palan。業務用の外部データ分析ツール「Metabase」が不正アクセスを受けました。
不正アクセス期間：2026年8月9日から10月21日まで（palanからの報告として岐阜県が公表）。
発覚：10月22日。外部からのアクセスを遮断し、Metabaseを停止しました。
10月22～23日：データベースの認証情報を変更し、ログインに関わる情報を無効化しました。
10月26日：palanが公式サイトで事案を公表しました。
10月27日：岐阜県と宮崎県が、それぞれの事業への影響を発表しました。
岐阜県：2024年度の地産地消デジタルスタンプラリー参加者1,135人分の情報が流出しました。
宮崎県：AR観光ガイド「みやざき神話さんぽ－キキタビ観光ガイド－」のアンケート551件が流出しました。
宮崎県によると、確認されたデータベースへの操作は読み取りのみで、改ざん・削除は確認されていません。
岐阜県は、委託事業終了時に破棄証明書を受領した後も再委託先に個人データが残存していたと説明しています。
項目
公表・確認された内容
原因となった事象
palanが使用していたMetabaseに対する第三者の不正アクセス
不正アクセスの期間
2026年8月9日～10月21日
発覚日
2026年10月22日
palanの公表日
2026年10月26日
自治体の公表日
2026年10月27日（岐阜県・宮崎県）
具体的な影響先
岐阜県の地産地消デジタルスタンプラリー、宮崎県のAR観光ガイド
初動対応
Metabase停止、外部アクセス遮断、DB認証情報変更、ログイン関連情報の無効化
影響先一覧 岐阜県1,135人分、宮崎県551件
影響先・事業
委託・運用関係
公表対象規模
流出が判明した情報
自治体の一次情報
岐阜県「清流の国ぎふ 地産地消デジタルスタンプラリー」
岐阜県→岐阜新聞社→データ管理を請け負ったpalan
参加者1,135人分
メールアドレス、アンケート回答（年齢層、性別、居住市町村）
岐阜県の公表
宮崎県「みやざき神話さんぽ－キキタビ観光ガイド－」
宮崎県がpalanへ業務委託し、palanのシステムを利用
アンケート551件
メールアドレス、性別、年代、居住エリア、システムの認知経路、宮崎県への来訪経験、旅行目的
宮崎県の公表
岐阜県の「1,135人分」は人数、宮崎県の「551件」はアンケート情報の件数です。母数が異なるため、合計を「1,686人の被害」とは扱いません。また、この2件の公表だけでpalanが管理していた全データの対象規模を示すものではありません。
岐阜県、個人情報破棄証明書を受領した後もデータが残存
岐阜県が2024年度に実施した「清流の国ぎふ 地産地消デジタルスタンプラリー」は、岐阜新聞社が業務を受託し、palanがアンケート集計などのデータ管理を請け負っていました。
県は事業終了時、岐阜新聞社から個人情報破棄証明書を受領していました。しかし10月27日の発表では、palanに個人情報に該当する可能性のあるデータが残っていたと説明しています。破棄手続きの書面が存在しても、再委託先の分析環境に保存されたデータまで確実に削除されていたとは限らないことが、今回の公表で明らかになりました。
対象となったのはスタンプラリー参加者1,135人分のメールアドレスと、年齢層、性別、居住市町村のアンケート回答です。岐阜県は現時点で不正利用を確認しておらず、対象者全員に不審なメールへの注意喚起を実施する方針です。
行政の委託事業では、発注者と受託者の間で破棄証明書を受領するだけでなく、再委託先が保持するデータベース、BIツール、バックアップ、出力済みデータなどについて、実際の削除範囲を確認する管理が課題となります。
関連資料
AI時代の脆弱性管理・パッチ管理｜運用見直しのポイントと製品選定の確認事項
脆弱性の優先順位付けから修復、暫定防御、パッチ管理まで、運用見直しと製品選定で確認したいポイントをまとめた資料です。
資料提供元：株式会社アズジェント
脆弱性管理の資料を見る
宮崎県の観光アンケート551件も流出 読み取り操作を確認
宮崎県は、観光施策として提供するAR観光ガイド「みやざき神話さんぽ－キキタビ観光ガイド－」で、アンケート551件の個人データが外部へ流出したと発表しました。県は10月26日にpalanから連絡を受けています。
影響する7項目は、メールアドレス、性別、年代、居住エリア、システムの認知経路、宮崎県への来訪経験、旅行目的です。単なるメールアドレスの一覧ではなく、観光行動や利用者属性が含まれます。
宮崎県によると、調査で確認されているデータベース操作は読み取りのみで、情報の改ざんや削除は確認されていません。県は利用者に対し、今回の事案に便乗したフィッシングメールなどへの注意を呼びかけています。
8月から10月まで不正アクセス 発覚後に分析ツールを停止
岐阜県がpalanからの報告として示した経緯では、第三者の不正アクセスは8月9日から10月21日まで続いていました。10月22日に発覚すると、palanは外部アクセスを遮断し、Metabaseを停止。10月22～23日にデータベースの認証情報変更とログイン関連情報の無効化を実施しました。
Metabaseは複数のデータソースに接続して集計・可視化できるBIツールです。分析用ツールであっても、接続先データベースへのアクセス権限や保存データの範囲によっては、事業で取得した顧客・利用者情報へのアクセス経路になります。
JPCERT/CCは2026年10月、国内で続く不正アクセスについて、MetabaseのSQLインジェクション脆弱性（CVE-2026-72898）の悪用事例を含む注意喚起を公表しています。ただし、このCVEが今回のpalanへの侵入に使われたとの認定ではありません。脆弱性の一般的な動向は国内で相次ぐWebシステム侵害に関するJPCERT/CCの注意喚起でも整理しています。
また、Metabaseを巡ってはNEXT STAGEによる別の不正アクセス事案も公表されていますが、同じツールを使っていたことだけで攻撃者や侵入経路が共通すると判断することはできません。
自治体・企業が確認したい再委託先のデータ削除と認証管理
今回の事案で自治体・企業の担当部門が確認すべき事項は、委託契約の終了時点と、実際にデータが削除された時点が一致しているかという点です。とりわけ分析用データベースやBIツールでは、本番システムから抽出したデータが別の保存先に残ることがあります。
事業終了時の削除対象に、再委託先のデータベース、分析環境、バックアップ、エクスポートファイルが含まれるかを確認する。
委託先の破棄証明書だけでなく、再委託先ごとの削除完了日、対象システム、例外として保持するデータと保存期限を突き合わせる。
BIツールの外部公開状況、管理者権限、接続先データベースの参照権限、利用停止後も残る認証情報を棚卸しする。
不正アクセスが確認された場合は、アクセスログとデータベース操作履歴を保全し、第三者が読み取れる状態だった情報の範囲を確認する。
対象者への注意喚起では、実際に流出した情報項目を示し、自治体や事業者をかたるメールのリンク先で追加の個人情報を入力しないよう案内する。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)