札幌でHDD処分流出事件。業者任せで最大51万人が被害か

データを扱うすべての方にとって、他人事ではないニュースが飛び込んできました。破砕を依頼したはずのHDDが、ネットオークションに出品されていたというのです。

流出した可能性がある個人情報は、最大で約51万人分。

「大きな組織の話だから自分には関係ない」と思った方もいらっしゃるかもしれません。でも、この事件の本質は「HDDの処分を誰かに任せた」というその一点にあります。それは個人も、中小の事業者も、大きな病院も、まったく同じ状況に置かれているということを意味しています。

---

札幌で起きたHDD処分流出事件のあらまし

今回の舞台は、札幌市内にある二つの病院です。北海道医療センター（札幌市西区）と、北海道がんセンター（札幌市白石区）。どちらも国立病院機構が運営する医療機関で、電子カルテのシステムを更新した際に、古いHDDが大量に発生しました。

2024年3月、国立病院機構は患者や職員の個人情報が入ったHDD約750台について、物理的に粉砕して二度と読み取れない状態にする「破砕と廃棄処理」を、石狩市の廃棄物処理業者「リプロワーク」に委託しました。依頼の内容は明確で、疑う余地のないように思えたはずです。

ところが1年以上が経った2025年6月、思わぬ形で事態が発覚します。ネットオークションでHDDを落札した一般の方2人から「北海道医療センターのものと思われるデータが入っています」という連絡が入ったのです。

国立病院機構が回収して確認したところ、HDDには患者の氏名・住所・診療情報・看護記録などがそのまま残っていました。現時点で流出が確認されているのは患者約18万2,800人分と職員ら約4,100人分、合わせて約18万6,000人分にのぼります。調査が進めば最大で約51万人分に達する可能性があるとされており、同日、北海道庁でも同様の事案が発覚したことが発表されました。

国立病院機構は6月8日、廃棄物処理法違反の疑いで道警にリプロワークを刑事告発しています。

なお、今回の事件についてはHTB北海道ニュースでも詳しく報じられています。

---

なぜ「破砕されたはずのHDD」がオークションに出たのか

廃棄物処理業者のリプロワークは、国立病院機構に対してこう説明しています。「破砕前後のHDDが同じ形の容器で管理されており、作業スペースの区分けが不十分だった」と。つまり、まだ破砕していないHDDと、すでに処理済みのHDDが区別できない状態で混在していた可能性があるということです。

さらに報道によれば、業者が破砕の有無を確認しないまま再資源化事業者に売却した可能性があるとされています。これが意図的な転売だったのか、管理のずさんさによる過失だったのかは、現時点ではまだ明らかになっていません。ただ、どちらであったとしても「HDDの中身が消えていない状態で外部に出た」という事実は変わらず、誰でも参加できるオークションサイトに出回っていたという事実も変わりません。

ただ、こういった流出は今回のような「大きな組織と廃棄業者」の間だけで起きているわけではありません。

身近なところにも、まったく同じ構造のリスクが潜んでいます。たとえば「中古パソコンを無料で処分します」「買い取ります」と謳っている店舗や業者が、データ消去をきちんと行わないまま転売するケースは、残念ながら珍しくありません。あるいは、知人に処分を頼んだところ、その人がオークションやフリマサイトで売っていた、という話も実際に耳にします。

さらに怖いのは、そうして出回ったHDDやパソコンを意図的に狙って落札し、データ復旧をおこなって中身を取り出す人間がいるということです。データ復旧の技術は、本来、消えてしまった大切なデータを取り戻すためのものです。しかし同じ技術が、悪意を持って使われれば、他人の個人情報を抜き出す道具にもなり得ます。

データというものは目に見えません。HDDが手元を離れた瞬間、それがどこへ行くのかを確認する術はなくなります。それが今回の事件が示している、最も怖い部分だと私は思っています。

---

「業者に任せれば大丈夫」という思い込みの落とし穴

HDDやSSDの処分を業者に依頼すること自体は、間違いではありません。ただ、「依頼した＝安全」という思い込みが、リスクを見えにくくします。

似たような事件は、今回が初めてではありません。2019年には神奈川県庁の行政文書が入ったHDDが、廃棄を委託した業者の元社員によってオークションに転売されていたことが発覚しています。そのとき転売されたHDDは、記憶領域を持つものだけで3,904個にのぼりました。組織の規模は違っても、構造はまったく同じです。

「処分を依頼したら、あとは業者がやってくれる。」その信頼が、データを守る最後の砦になっていた。でも実際には、HDDが本当に破砕されたかどうかを依頼した側が確認できる手段はほとんどありません。廃棄証明書を発行している業者もありますが、それが「確実に破砕した証拠」とは限らない場合もあります。業者の良心と管理体制に、すべてが委ねられているのが現状です。

---

個人や事業者がHDD・SSD・USBを処分するときに確認すべきこと

では、私たちにできることは何でしょうか。

まず知っておいていただきたいのは、HDDとSSD・USBメモリでは、データの消去方法が異なるということです。HDDであれば専用の上書き消去ソフトがある程度有効ですが、SSDやUSBメモリは内部の構造がHDDとは根本的に異なるため、市販の消去ソフトでは完全に消えない場合があります。「ソフトで消したから大丈夫」という判断が、思わぬ落とし穴になることがあります。

ソフトによる消去に不安がある場合、最も確実な手段は物理的に破壊することです。ドリルで穴を開ける、折り曲げる、専門業者の粉砕機で処理してもらうなど、方法はいくつかありますが、いずれにせよ「データを記録している部品を物理的に読めない状態にする」ことが目的です。業者に依頼する場合は、「現場での立会いができるか」「破砕証明書を発行しているか」を事前に確認しておくことを強くお勧めします。

そして忘れてほしくないのは、危険にさらされているのはHDDだけではないということです。SSD、USBメモリ、SDカード、スマートフォン。小さくて目立たない媒体ほど管理が雑になりやすく、引き出しの奥で何年も眠ったまま、という方も少なくないはずです。処分する前にどうかひと呼吸置いて、「このデータ、本当に消えているだろうか」と自問してみてください。

また、「無料処分」「高額買取」といった言葉で集めておきながら、データ消去が不十分なまま転売する業者が存在することも、今回の事件を機にぜひ覚えておいてください。データを含んだ媒体を手放す際の業者選びについては、悪質業者の見分け方も参考にしていただければと思います。

データの廃棄は、データの保管と同じくらい慎重に扱われるべきものです。今回の事件が、その当たり前のことを改めて考えるきっかけになれば幸いです。