大阪高裁、Teamsチーム作成ミスで6000アカウント誤登録 ― 弁護士ら3500人の氏名・メール一時閲覧可能に

何が起きたか #

2026年8月27日午前10時40分ごろ、大阪高等裁判所民事部が特定訴訟のMicrosoft Teamsチームを作成する際、本来のメンバーではない外部ユーザー約3500アカウントと裁判所職員約2500アカウント、合計約6000アカウントを誤って登録した。招待された相手には通知メールとTeams通知が届き、実際にチームへアクセスした場合、メンバー全員の氏名とメールアドレスが一時的に相互に確認できる状態になっていた。同日昼、外部からの問い合わせで誤りが発覚し、大阪高裁は直ちに当該チームを削除した。訴訟記録そのものへのアクセスはなく、資料の漏えいも確認されていないという。公表は1週間以上が経った9月4日で、操作を行った担当者や対象事件は明らかにされていない。

なぜ起きるのか #

TeamsのようなSaaS型コラボレーションツールは「招待した瞬間にメンバー一覧が全員へ見える」設計になっている。裁判所のように機密性の高い組織ほど、本来は業務システム側で厳格な権限管理を敷いているはずだが、日程調整やWeb会議のためにコンシューマー由来のグループウェアをそのまま転用すると、その設計思想の違いが穴になる。招待前のメンバーリスト二重確認や承認フローが無ければ、たった一度の操作ミスが数千人規模の個人情報露出に直結する。攻撃者の介在が無くても、権限設計の甘さそのものが「漏えい相当」の事態を生む典型例と言える。

教訓 #

外部の弁護士や関係者を招待するチームは、組織のネットワーク境界の外へ即座に飛び出す。最小権限の原則、招待前のメンバー承認フロー、そして異常な一括追加を捉える監査ログの整備を組織側が明文化しない限り、同種の「攻撃なきインシデント」は今後も起き続けるだろう。