YCC情報システムの情報漏えいの可能性｜ランサムウェアで自治体の受託データ 対象と確かめること 2026

YCC情報システムの情報漏洩について、山形市のIT企業である株式会社YCC情報システムは、2026年4月2日の早朝に自社のファイルサーバーがランサムウェア攻撃を受けたと4月3日に公表し、4月14日の第四報で、取引先から受託・保管していた情報の一部に「漏えいのおそれが否定できない」と発表しました。取引先には山形市、東根市、山形県、埼玉県の幸手市などの自治体が含まれ、各自治体が自分の住民や職員の情報について、件数と項目を公表しています。たとえば山形市は、健康情報システムだけで31,766人に通知を送っています。2026年11月1日時点では、5月20日の第五報（外部専門機関の調査完了）が最新で、情報が外部に送信された明確な痕跡や犯行声明は確認されていないものの、漏えいの可能性は完全には否定できないとされています。補償についての記載はありません。 対象かもしれない人がまずすることは、住んでいる（住んでいた）自治体のお知らせと、届いた通知を確かめること、自治体やYCC情報システムを名乗る電話や郵便でお金や口座の話をされても応じないこと、不安があればYCC情報システムの「個人情報に関する相談窓口」か自治体の担当課に問い合わせることの3つです。

この記事は、2026年11月1日時点でYCC情報システムのお知らせ（第一報から第五報）と、山形市、東根市、山形県、幸手市、天童市、小国町、山形県国民健康保険団体連合会の公式のお知らせを開き直して確かめた内容だけで書いています。報道の数字や推測は入れていません。自治体の件数は、それぞれの自治体が公式に示したものだけを書きます。

YCC情報システムの情報漏洩で何が起きたのか

YCC情報システムは、山形県内の自治体や企業から、システムの構築や運用、データの処理などを請け負っている会社です。自治体は住民の情報を使うシステムを自前で作らず、こうした会社に構築や保守を任せることが多く、その過程で住民や職員のデータが会社に渡ります。

今回の件は、YCC情報システムの社内のファイルサーバーが、ランサムウェアに攻撃されたことで起きました。ランサムウェアとは、コンピュータの中のファイルを勝手に暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムのことです。最近は、暗号化の前に情報を盗み出し、「公開されたくなければ払え」と脅す手口も多く知られています。

YCC情報システムの第五報（5月20日）で示された骨子は次のとおりです。

• 2026年4月2日7時50分ごろ、ファイルサーバーのファイルが暗号化され、攻撃者の脅迫文があるのを確認した
• 調査の結果、暗号化は同じ日の6時50分ごろから始まっていた
• ネットワーク機器の管理者アカウントの認証情報が、攻撃者の認証の試行などで推測されたか取得され、その認証情報で社内のネットワークに侵入されたものと推定される
• ファイルサーバーのバックアップを調べた結果、取引先から受託・保管していた情報が保存されていた
• 攻撃者がファイルサーバーにアクセスできる状態だったため、その情報にアクセスされた可能性を完全には否定できない
• 情報が外部に送信された明確な痕跡は確認されず、ダークウェブの調査でも犯行声明やリーク情報は確認されていない

YCC情報システムは、第四報で「漏えいのおそれが否定できない」、第五報で「漏えいの可能性を完全に否定することはできない」という言い方をしています。漏えいしたと確定したわけではありません。この記事でも、その言い方のまま書きます。

公表の経緯：4月3日の第一報から5月20日の第五報まで

YCC情報システムは、この件で5回お知らせを出しています。

日付	お知らせ	分かったこと
2026年4月3日	第一報	4月2日の早朝、ファイルサーバーにサイバー攻撃による不正アクセスを確認。情報流出などの影響は確認中
2026年4月6日	第二報	ランサムウェア攻撃と明記。情報が盗まれた可能性を否定できないため、影響を受ける可能性がある取引先とお客様に個別に連絡し説明を進める
2026年4月7日	第三報	ランサムウェアの種類は特定したが、安全上の理由で公表は控える。侵入経路は調査中
2026年4月14日	第四報	取引先から受託・保管していた情報の一部に、漏えいのおそれが否定できないと判明。影響が広い範囲に及ぶ可能性も懸念
2026年5月20日	第五報	外部専門機関の調査が完了。原因と影響の範囲、情報の漏えいについての判断、再発防止策を報告

各自治体のお知らせは、YCC情報システムからの報告を受けて、4月中旬から下旬にかけて順に出されました。たとえば山形市は4月15日までの調査で、東根市は4月20日までの調査で、自分たちの情報が含まれていたことが分かったとしています。幸手市は4月8日に、委託先を通じて報告を受けたとしています。

2026年11月1日時点で、YCC情報システムの2026年のお知らせの一覧を見ると、この件のお知らせは第一報から第五報までの5本で、それより新しい続報は見当たりません。その後のお知らせには、7月30日のパスワード付き添付ファイルの廃止の案内などがあります。

ファイルサーバーのバックアップデータを調査した結果、お取引先様から受託・保管していた情報が保存されていたことを確認いたしました。攻撃者が内部ネットワークに侵入し、ファイルサーバーにアクセス可能な状態にあったことから、対象ファイルに保存されていたこれらの情報にアクセスされた可能性を完全に否定することはできません。 出典: 株式会社YCC情報システム「【重要】ランサムウェア攻撃に関するお知らせ（第五報）」

自治体ごとの対象と件数

YCC情報システムのお知らせには、どの取引先のどの情報が対象かは書かれていません。対象と件数は、取引先である自治体や団体が、それぞれ公表しています。ここでは、2026年11月1日時点で公式のお知らせを開いて確かめられたものだけを載せます。件数の数え方（人数か件数か、重複を含むか）は自治体ごとに違うので、そのまま書きます。

山形市

山形市は、市が構築と運用を委託したシステムに関わる個人情報のデータが、契約を終えたものを含めてYCC情報システムのサーバーに保管され、漏えいのおそれがあるとしています。お知らせは令和8年（2026年）7月30日に更新されています。

システム	含まれる情報	人数	通知
人事給与システム	平成30年度から令和元年度時点の氏名、住所、生年月日、マイナンバー、給料、手当等	6,167人	5月20日に発送
健康情報システム	平成24年6月時点のカナ氏名、生年月日、性別、受診年月日等。平成14年から令和7年までの電話番号、住所、氏名、保険者番号、被保険者記号、被保険者番号、検診年月日等	31,766人	7月29日に発送
児童相談システム	異動日が令和5年7月1日から31日までの現住所、カナ氏名、漢字氏名、生年月日、性別、住民日等	2,185人	5月20日に発送

山形市は、個人情報保護委員会と総務省に報告し、対象者を特定したうえで通知を送ったとしています。お知らせは山形市の公式サイトで読めます。

東根市

東根市は、市が構築と運用を委託した際のデータが格納されていたとして、2026年4月27日に公表しました。

業務	含まれる情報	件数
住民記録	令和元年度以前の氏名、住所、生年月日等（一部マイナンバーを含む）	約110,000件
国民健康保険	平成19年度の氏名、住所、生年月日等	約55,000件
固定資産税	平成30年度、令和3年度、令和4年度の氏名、住所等	約19,000件
軽自動車税	令和4年度、令和5年度の氏名、車両情報等	約34,000件
申告支援	平成28年度の氏名、住所、マイナンバー、給与情報	10件

件数は、市が4月20日時点で把握しているもので、同じ人の重複を含み、以前東根市に住んでいた人も含みます。いくつかの業務は「内容精査中」とされています。東根市は、4月27日の時点で情報が漏えいした事実は確認されていないため、市からの個別の通知は予定していないとしています。お知らせは東根市の公式サイトで読めます。

山形県

山形県は、YCC情報システムのサーバーに県の委託業務等に関わるデータが保管されていたとして、県保有の個人情報の一覧を公表しています（令和8年5月20日現在、ページの更新は2026年6月1日）。一覧に載っている主なものは次のとおりです。

業務	件数
県職員の健康管理（旧健康管理システム、人間ドックシステム、定期健康診断の書類など）	33,887件
退職手当の支給に関わる債権者登録（氏名、住所、電話番号、口座情報）	282件
保健師・助産師・看護師・准看護師の業務従事者届のデータ入力（平成26年度）	14,721件
新庄病院の在院患者リスト（令和元年10月21日時点）	286件
山形県新型コロナ対策認証制度の情報システム（令和3年度、令和5年度）	1,929件、4,846件

このほか、山形県立こども医療療育センターの医療情報システムの情報も年度ごとに載っています。件数には同じ人の重複を含みます。山形県は、現時点で県が業務に関して保有する個人情報の流出は確認されていないとしています。一覧は山形県の公式サイトから開けます。

埼玉県幸手市

幸手市は山形県外の自治体です。国民健康保険の高額療養費管理システムの保守をAGS株式会社に委託し、AGS株式会社がYCC情報システムに再委託していたという関係です。再委託とは、仕事を受けた会社が、その仕事の一部をさらに別の会社に任せることです。

幸手市の第2報（2026年5月25日）によると、YCC情報システムが保有していた幸手市に関する情報は、システムを導入した平成25年当時の国民健康保険の資格の情報やレセプト（医療機関が保険者に出す診療報酬の明細）の情報で、重複を除くと34,330人分（資格を失った人を含む）でした。外部専門機関の調査では、情報の窃取にともなうと考えられる大量または継続的な通信は確認されず、ダークウェブの調査でも犯行声明等は確認されなかったと報告を受けたとしています。

幸手市はまた、この情報は導入後に再委託先として廃棄すべきもので、YCC情報システムが契約に反して保有していたことになると書いています。お知らせは幸手市の公式サイトで読めます。

そのほかの自治体と団体

公式のお知らせで確かめられたものを、短くまとめます。

自治体・団体	含まれる情報	件数
天童市（日本赤十字社山形県支部天童市地区、天童市社会福祉協議会）	令和5年度から7年度までの氏名、世帯番号、地区と嘱託区ごとの区域名（会費の領収書の印刷に使うデータ）	令和5年度16,728件、令和6年度16,725件、令和7年度16,531件（重複を含む）
小国町	福祉医療システムの平成31年4月時点の氏名、住所、保護者の氏名と住所、生年月日、性別等	1,369件
山形県国民健康保険団体連合会	柔道整復師の施術療養費の請求データの一部（2018年5月審査分）。保険者番号、被保険者記号番号、性別と生年月日のコード等。住所、氏名、電話番号、施術所名、負傷名は含まれない	国民健康保険1,671件、後期高齢者医療1,112件

小国町は、5月18日から順に対象者へ通知を送っているとしています。このほかにも、YCC情報システムの取引先の自治体や団体がお知らせを出している場合があります。住んでいる（住んでいた）自治体のサイトで「YCC情報システム」と検索して確かめてください。

ランサムウェアの被害で、なぜ「漏えいのおそれ」になるのか

ランサムウェアの被害の発表では、「暗号化された」ことと「漏えいした」ことが別に扱われます。今回の件で、この違いを整理しておきます。

暗号化は、ファイルが使えなくなる被害です。YCC情報システムのファイルサーバーのファイルは暗号化され、アクセスできない状態になりました。ただ、暗号化されただけなら、情報が外に出たことにはなりません。

一方で、攻撃者が社内のネットワークに入り込み、ファイルサーバーを操作できる状態にあったなら、暗号化の前に中身を見たり持ち出したりできた可能性があります。YCC情報システムの第五報は、この点について、外部に送信された明確な痕跡は確認されていない、ダークウェブで犯行声明やリーク情報も確認されていない、としています。ダークウェブとは、ふつうの検索ではたどり着けないインターネットの領域のことで、盗まれた情報が売り買いされたり公開されたりする場所として知られています。

それでも「おそれ」が残るのは、攻撃者がアクセスできる状態だった以上、見られていないと言い切れないからです。外部専門機関は「実質的な情報漏えいが発生したことを裏付ける痕跡は確認されていない」と報告していますが、YCC情報システムは、漏えいの可能性を完全には否定できないとして、監視と調査を続けるとしています。

利用者の側から見ると、「漏えいは確認されていない」という言葉を「安全が確かめられた」と受け取らないことが大切です。偽の連絡への備えは、漏えいが確定した場合と同じように続けておくのが安全です。

原因：ネットワーク機器の管理者アカウントへの侵入

第五報によると、原因はネットワーク機器の管理者アカウントの認証情報でした。認証情報とは、システムに「この人は本人です」と示すためのIDやパスワードなどのことです。攻撃者が何度もログインを試すなどして、その認証情報を推測するか取得し、それを使って社内のネットワークに入り込んだと推定される、という外部専門機関の報告を受けたとしています。

ネットワーク機器とは、社内のネットワークと外のインターネットをつなぐ機械（ルーターやVPNの装置など）のことです。この機器の管理者のアカウントは、ネットワークの入口の鍵にあたります。入口の鍵が知られると、外から社内に入れてしまいます。

影響の範囲について、第五報は次のように書いています。

• ファイルサーバーが攻撃を受け、中のファイルが暗号化されて使えなくなった
• メールなどの情報系のシステムと、社員が使う業務用のパソコンは、被害を受けたネットワークとは別の環境で運用していて、影響を受けた事実は確認されていない

再発防止策として、インターネットへの接続の環境を全面的に見直すこと、ネットワークの運用の監視を外部の専門事業者の活用も含めて強めること、データの保管の環境とデータのやり取りの運用を整えること、役員を含む全社員のセキュリティの教育と訓練を続けることが挙げられています。

YCC情報システムと自治体の対応

YCC情報システムと自治体の発表に書かれている対応を、利用者に関係するものに絞って整理します。

対応	発表の内容
取引先への説明	漏えいのおそれが生じた取引先に、順に個別に説明し、必要な対応を協議して実施（YCC情報システム第四報）
関係当局への報告	個人情報保護法その他の法令に基づき、関係当局に報告（YCC情報システム第五報）
監視の継続	情報の外部公開や悪用の兆候は確認されていないが、監視と調査を続ける（YCC情報システム第五報）
相談窓口	YCC情報システムの社内に、個人情報に関する相談窓口を設置（各自治体のお知らせ）
本人への通知	山形市と小国町は対象者に通知を送付。東根市は4月27日時点で個別の通知を予定していない
自治体の指導	各自治体は、YCC情報システムに個人情報の適切な取り扱いの徹底を指導し、原因と再発防止策の報告を求めている

YCC情報システムは第四報で、取引先から受託したデータの返却や再提供について、準備が整いしだい、十分な安全性を確保した方法で順に始める予定だとしています。ファイルが暗号化されて使えなくなったため、取引先の業務にも影響が出ていたことがうかがえます。第二報では、業務は通常どおり続けているものの、お客様への対応に遅れが出る場合があるとしていました。

自治体の側では、山形市、東根市、天童市の団体、山形県国民健康保険団体連合会などが、YCC情報システムに原因の究明と再発防止策の報告を求めると書いています。委託した側が、委託先に何を求めたかを公表しているのは、住民にとって、自治体がこの件をどう扱っているかを知る手がかりになります。

お詫びの品や金銭の補償については、YCC情報システムと各自治体のどのお知らせにも記載がありません。

自分が対象かを確かめる方法

YCC情報システムの件は、利用者がYCC情報システムと直接取引していたわけではないことがほとんどです。自分が対象かどうかは、自治体を通じて確かめることになります。

まず確かめたいのは次の3つです。

• 住んでいる自治体、または以前住んでいた自治体が、お知らせを出していないか
• 自治体から、漏えいのおそれについての通知が郵送で届いていないか
• 自分が勤めている（勤めていた）自治体や団体の職員として、対象になっていないか

山形市の人事給与システムや、山形県の県職員の健康管理のように、住民ではなく職員の情報が対象になっている例もあります。また、東根市のように以前住んでいた人を含む場合や、山形県の看護職の業務従事者届のように、届け出をした人が対象になる場合もあります。「いま住んでいないから関係ない」とは言い切れません。

通知の形は自治体によって違います。山形市と小国町は通知を郵送しています。東根市は、4月27日の時点で個別の通知は予定していないとしています。通知が来ないことが、対象でないことを意味するとは限らないので、お知らせの表に心当たりがあれば、自治体の担当課に問い合わせてください。

利用者がすること：漏れた項目に合わせて

漏えいのおそれがある項目は、自治体や業務によって大きく違います。自分に関係する項目に合わせて、要るものだけを行ってください。

マイナンバーが含まれている場合

山形市の人事給与システム、東根市の住民記録の一部と申告支援には、マイナンバーが含まれています。マイナンバーだけで、本人になりすまして手続きをすることは難しい仕組みになっていますが、番号を口実にした詐欺の電話や郵便には注意が要ります。「マイナンバーが漏れたので手続きが必要」「番号の変更に手数料がかかる」と言われても、その場で応じないでください。番号の変更の手続きや悪用の範囲は、マイナンバーが漏洩したらどうなる｜番号の変更の手続きと悪用の範囲 2026にまとめています。

健康や医療の情報が含まれている場合

山形市の健康情報システム、幸手市のレセプトの情報、山形県の健康管理や病院の情報には、受診や検診、保険の情報が含まれています。こうした情報を口実に「健診の結果に再検査が必要」「保険の払い戻しがある」と連絡してくる手口が考えられます。払い戻しの手続きでATMを操作させることはありません。自治体や保険者を名乗る連絡で、お金や口座の話が出たら、いったん切って、自治体の代表番号に自分からかけて確かめてください。

住所と電話番号が含まれている場合

多くの区分で、氏名と住所が含まれています。山形市の健康情報システムや、山形県の一部の業務では電話番号も含まれます。不審な電話や郵便物には応じず、記録を残してください。電話番号が知られたときの備えは、電話番号の流出チェックの方法｜流出したらどうなるかと迷惑電話・SMSへの備え 2026に、住所が知られたときの対処は、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番に整理しています。

口座情報が含まれている場合

山形県の退職手当に関わる債権者登録（282件）には、口座情報が含まれています。口座の明細をときどき確かめ、身に覚えのない動きがあれば金融機関に連絡してください。

すべての人に共通すること

山形市は、身に覚えのない郵便物や不審な電話、詐欺等に注意し、身に覚えのない連絡には応対しないよう呼びかけています。不安な場合は、警察の相談専用電話（#9110）に相談するよう案内しています。山形市はさらに、山形市の職員が口座への振込を電話で頼むことはないとしています。

自治体や会社を名乗る連絡の見分け方

今回の件では、漏えいのおそれがある情報の多くが、自治体の業務の情報です。そのため、自治体や保険者、YCC情報システムを名乗る連絡が、本物らしく見えやすくなります。連絡の手段ごとに注意したい点を整理します。

電話で来る場合

「市役所の者です。情報漏えいの件で、お詫びの返金があります」「保険の払い戻しの手続きが必要です」といった電話が考えられます。名前や住所、生年月日を正しく言われても、それは漏えいのおそれがある情報で言える内容です。

• ATMに行くよう言われたら、詐欺と判断して切る
• 口座の番号や暗証番号、キャッシュカードを求められたら答えない
• 切ったあとは、自治体の代表番号に自分からかけて確かめる

郵便や訪問で来る場合

小国町は、町や関係機関、業者をかたる不審な訪問や、身に覚えのない不審な郵便物に注意するよう呼びかけています。

• 「漏えいの調査で」と自宅を訪ねてくる人に、通帳やカードを見せない
• 返信用の封筒で、マイナンバーカードの写しや口座の情報を送るよう求める書類は疑う
• 本物の通知か迷ったら、書類に書かれた番号ではなく、自治体の公式サイトの番号で確かめる

ショートメッセージやメールで来る場合

自治体からの通知は、山形市や小国町のように郵送で行われています。ショートメッセージやメールで「漏えいの対象です」と届き、リンクから個人情報の入力を求められた場合は、とくに慎重に扱ってください。ショートメッセージを使った詐欺の見分け方は、スミッシング詐欺の見分け方｜SMSの本文とURLで判定する手順にまとめています。

問い合わせ窓口

YCC情報システムと各自治体のお知らせに載っている窓口は次のとおりです。

窓口	電話番号	受付時間
YCC情報システム 個人情報に関する相談窓口	023-641-4727	平日8時30分から17時30分
YCC情報システム 総務部（お知らせに記載の窓口）	023-641-4667	記載なし
山形市 企画調整部 情報企画課	023-641-1212（内線875、878）	平日8時30分から17時15分
東根市 総務部 庶務課	0237-42-1111（内線3316）	記載なし
幸手市 保険年金課 国民健康保険担当	0480-43-1111（内線144）	記載なし

YCC情報システムの個人情報に関する相談窓口のメールアドレス（[email protected]）も、各自治体のお知らせと第五報に載っています。山形県の業務に関わる情報は、山形県の一覧に、業務ごとの担当課の電話番号が載っています。

問い合わせるときは、届いた通知を手元に用意し、どの自治体のどの業務に心当たりがあるか（たとえば「東根市に令和元年度以前に住んでいた」）を伝えると、確かめてもらいやすくなります。

在宅で仕事をする人が気をつけたいこと

YCC情報システムの件は、委託先の会社が、さらにその先の会社から仕事を受ける、という仕事のつながりの中で起きました。幸手市の例では、市からAGS株式会社へ、AGS株式会社からYCC情報システムへと仕事が渡っています。在宅で仕事をする人も、このつながりの端にいることがあります。

受けた仕事のデータを、終わったあとに残さない

幸手市は、問題の情報はシステムの導入後に廃棄すべきもので、契約に反して保有していたことになると書いています。山形市も、契約を終えたものを含めてデータが保管されていたとしています。仕事が終わったあとにデータが残っていたことが、影響を広げた一因です。

在宅でデータの入力や整理、システムの保守を受ける人は、納品が終わったデータを手元のパソコンやクラウドに残していないかを確かめてください。契約で返却や削除の決まりがあるなら、それに従って削除し、削除したことを取引先に伝えておくと安心です。

仕事の入口の鍵を守る

今回の原因は、ネットワーク機器の管理者アカウントの認証情報でした。在宅で仕事をする人にとっての入口の鍵は、仕事のメール、クラウドの保存場所、取引先から借りたVPNなどのアカウントです。推測されにくい長いパスワードを使うこと、使い回さないこと、選べるなら二段階認証を設定することが基本です。ランサムウェアの侵入経路ごとの防ぎ方は、ランサムウェアへの対策｜侵入経路別の防御とバックアップ設計の実務に、委託のつながりを狙う攻撃への備えは、サプライチェーン攻撃対策の基本｜中小企業・フリーランスが今すぐできる防御策にまとめています。

漏えいが起きたときの決まりを知っておく

個人情報保護委員会は、個人データの漏えい等が起きたときに、事業者が委員会に報告し、本人に通知しなければならない場合を示しています。民間の事業者では、不正の目的で行われたおそれのある行為による漏えい等（不正アクセスなど）や、本人の数が1,000人を超える漏えい等などが挙げられ、ランサムウェアで個人データが暗号化されて元に戻せなくなった場合も例に入っています。行政機関等では、本人の数が100人を超える漏えい等が対象とされています。委託を受けて個人データを扱う人は、委員会の漏えい等の対応とお役立ち資料に一度目を通しておくと、いざというときに慌てずに済みます。委託先の管理の着眼点も、同じページから開けます。

在宅で仕事を受ける人がアカウントを守る基本は、仕事を探すサイトや受発注のやり取りに使うサイトでも同じです。@SOHOのAI・マーケティング・セキュリティのお仕事では、在宅で受けられるセキュリティ関連の仕事の種類と探し方を紹介しています。

自治体の発表を読むときに知っておきたい言葉

今回の件は、自治体の業務の言葉が多く出てきます。読むときに迷いやすいものを整理します。

言葉	意味
委託、再委託	仕事を外の会社に任せること。任された会社がさらに別の会社に任せるのが再委託
住民記録	住民票のもとになる、住所や氏名、生年月日などの記録
レセプト	医療機関が保険者に出す、診療の内容と費用の明細
保険者番号、被保険者記号、被保険者番号	健康保険の保険証に書かれている番号
業務従事者届	看護職などが、決められた時期に勤め先などを県に届け出る書類
漏えいのおそれ、可能性	外に出たかどうかは確かめられていないが、出たことを否定できない状態
重複を含む件数	同じ人を、業務や年度ごとに重ねて数えた件数。実際の人数より多くなる

自治体ごとに「人」で数えるところと「件」で数えるところがあり、重複を含むかどうかも違います。そのため、各自治体の数字を足し合わせても、対象の実際の人数にはなりません。この記事でも、自治体をまたいだ合計の数字は出していません。

家族や職場で共有するときのポイント

今回の対象には、子どもの情報（山形市の児童相談システム、小国町の福祉医療システムの保護者の情報など）や、職員の情報が含まれています。対象かもしれない家族や同僚がいる場合は、一声かけておくと被害を防ぎやすくなります。

• 子どもの情報が対象の場合、保護者あてに学校や役所を名乗る連絡が来る可能性がある
• 高齢の家族は、市役所や保険の名前を出されると信用しやすい
• 職員の情報が対象の場合、職場の名前を出した連絡が自宅に来る可能性がある

伝える内容は短くて構いません。「YCC情報システムという会社の件で、市の情報が漏れたおそれがある。市役所や保険を名乗る電話で、お金や口座の話をされたら、いったん切って自分に連絡して」という程度で十分です。

公開前に見直したい点と、今後の続報

2026年11月1日時点で、YCC情報システムは第五報を最新の報告としていて、情報の外部公開や悪用の兆候は確認されていないものの、監視と調査を続けるとしています。各自治体のお知らせも、東根市のように「内容精査中」の項目が残っているものや、山形市のように7月30日に更新されたものがあり、件数や通知の状況が今後変わる可能性があります。

この記事の内容は、YCC情報システムの第一報から第五報と、各自治体と団体のお知らせに基づくものです。自分が対象かどうかや、最新の件数と窓口は、住んでいる（住んでいた）自治体のお知らせと、YCC情報システムの公式サイトのランサムウェア攻撃に関するお知らせ（第四報）以降のお知らせで確かめてください。

よくある質問

Q. YCC情報システムの件で個人情報は漏えいしたのですか？

YCC情報システムの2026年5月20日の第五報では、情報が外部に送信された明確な痕跡は確認されず、ダークウェブの調査でも犯行声明やリーク情報は確認されていないとされています。一方で、攻撃者がファイルサーバーにアクセスできる状態だったため、漏えいの可能性は完全には否定できないとしています。漏えいが確定したわけではなく、おそれがある段階です。

Q. YCC情報システムの件の対象かどうかはどう分かりますか？

YCC情報システムと直接の取引がない人は、住んでいる（住んでいた）自治体のお知らせで確かめます。山形市や小国町は対象者に通知を郵送しています。東根市は4月27日時点で個別の通知を予定していないとしています。通知がなくても、お知らせの表に心当たりがあれば、自治体の担当課かYCC情報システムの相談窓口に問い合わせてください。

Q. YCC情報システムの件でマイナンバーは含まれていますか？

山形市の人事給与システム（6,167人）と、東根市の住民記録の一部と申告支援には、マイナンバーが含まれていると各市が公表しています。マイナンバーを口実にした詐欺の電話や郵便に注意し、手数料や口座の話をされても応じないでください。心配な場合は、自治体の担当課に相談してください。

Q. YCC情報システムの件の問い合わせ先はどこですか？

YCC情報システムの個人情報に関する相談窓口（電話023-641-4727、平日8時30分から17時30分）が、各自治体のお知らせに載っています。自治体ごとの窓口もあり、山形市は企画調整部情報企画課（023-641-1212、内線875、878）、東根市は総務部庶務課（0237-42-1111、内線3316）です。