広島県 新聞広告のQRコード誤掲載で86人分個人情報が閲覧可能に、認証なし管理者ページが露出

「広告のQRコードを読み込んだら、見知らぬ管理者ページが開いた…？
QRコードに紐づく個人情報の事故は、なぜ起きるのでしょうか？」

チップス

ボス、広島県の新聞広告に載せたQRコードで86人分の個人情報が見える状態になっていたって本当でしゅか？

ボス

ふむ、本当だ。本来はセミナー申込ページに飛ぶはずだったQRコードが、誰でも申込者一覧を閲覧できる管理者ページにリンクしていた、というアナログとデジタルが交差する典型的な事故だな。

本記事では、2026年6月2日に報道された広島県のQRコード誤掲載事案を取り上げ、組織が同じ事故を防ぐための実務ポイントを整理します。

読み終わるころには、自社チラシ・広告のQRコード運用に潜むリスクを点検できるようになります。

事件の概要：QRコードが「管理者ページの鍵」に

2026年6月2日、広島県が新聞広告に掲載したセミナー申込用QRコードに誤りがあり、申込者86人分の個人情報が外部から閲覧可能だったと報じられました。

何が起きたのか

本来、QRコードは申込フォームへ誘導するはずでしたが、実際には申込者一覧の管理者ページにリンクしていました。
管理者ページに認証が掛かっていなかったため、QRコードを読み込んだ人なら誰でも申込者情報を閲覧できる状態だったとみられます。
影響を受けたのは86人分の申込者情報で、氏名や連絡先など、ユーザーが申込時に登録した情報が対象です。

事案のポイントを以下に整理します。

チップス

新聞広告って、紙でばらまかれるから後から修正できないでしゅよね…？

ボス

その通りだ。紙媒体は「公開を止める」が現実的に難しい。だからこそ、印刷前の二重三重チェックが不可欠なのだ。

同じ事故を防ぐための運用設計

この事案には、技術側と運用側の両方に防ぎ得たポイントがあります。

運用フロー側の改善点

QRコード掲載前のチェック工程では、リンク先URLとQRコード読込結果の両方を別々の担当者が確認する仕組みが有効です。
外注先にコード生成を依頼する場合でも、納品時に発注側で「実際にスマホで読み込んで遷移先を確認する」ステップを必須化すべきです。
申込フォームと管理者ページが類似URLで運用されている場合は、ホスト名や階層を物理的に分離して、誤指定のリスクを下げる工夫も有効です。

技術側の改善点

そもそも管理者ページに認証が掛かっていれば、QRコードからアクセスしても情報は閲覧できませんでした。
「URLを知っているだけで見える」状態は、設計レベルで避けるべき構造です。
個人情報を扱う画面には、最低限ベーシック認証以上の保護と、IP制限・多要素認証を組み合わせるべきです。

関連情報はYahoo!ニュースの記事で確認できます。

まとめ：QRコードもURLも「公開資産」

広島県の事案は、ヒューマンエラーと設計の甘さが重なり起きた典型例です。
QRコードは紙に印刷した瞬間に「広く公開された資産」になることを意識し、運用と技術の両面で多重チェックを組み込むことが欠かせません。
個人情報を扱う管理画面は、URLを知られても被害が出ない設計にしておくのが鉄則です。

チップス

うちのチラシのQRコードも、もう一度スマホで確認してみるでしゅ！

ボス

うむ、その地道な確認が事故を防ぐ。アナログとデジタルの境目こそ、人と仕組みでがっちり守るべきだ。