BeReal炎上まとめ｜西日本シティ銀行のその後・処分と職場投稿の事例一覧

2026年4月末、西日本シティ銀行の職員が営業店の執務室内で撮影した動画や画像がX（旧Twitter）で拡散し、顧客の氏名が書かれたホワイトボードが映っていたことが分かりました。投稿先は写真共有アプリBeRealと報じられています。銀行は4月30日に謝罪し、5月12日に漏洩範囲を個人8名・法人19社へ広げ、6月23日に発生原因と再発防止策、関係者の処分と役員報酬の自主返納を公表しました。本記事は銀行の公表文書と報道を分けて事件のその後を整理し、2025〜2026年に公表された職場投稿の事例一覧と、友達限定の投稿でも漏れる理由、企業が取れる対策までをまとめます（2026年10月14日時点）。

まとめ：西日本シティ銀行のBeReal炎上で確定した事実と、同種事例から分かる対策の要点

• 何が起きたか：職員が職場内で撮影し、SNSへ投稿した動画・画像が拡散。銀行は2026年4月30日に謝罪した。
• 漏洩範囲（確定）：個人のお客さま8名に関する情報と、法人のお客さま19社の名称が外部から閲覧可能な状態だった（5月12日公表）。
• その後：6月23日に発生原因3点と再発防止策を公表。私用スマホの執務室への持込みを厳禁とし、業務用スマホには「業務用」シールの貼付を義務付けた。
• 処分：銀行は6月23日、関係者を行内規定に基づき厳正に処分し、役員報酬の一部を自主返納すると公表した。返納するのは頭取ら3人と報じられたが、関係者の処分は同日時点で「検討中」とされ、投稿した行員がクビ（解雇）になったかを含めて内容は公表されていない。
• 投稿者：氏名は公表されていない。特定・拡散は名誉毀損などの法的責任を問われるおそれがある。
• 同種事例：2025〜2026年に病院・学校・飲食店でも職場内の撮影投稿による漏洩が続き、千葉西総合病院では撮影した職員2名が解雇された。限定公開やグループ内共有の投稿でも、閲覧者の保存や転載で外に出た例がある。

西日本シティ銀行のBeReal投稿事件の経緯と、銀行公表で追える時系列

銀行が出した公式文書は3本です。最新は6月23日の「再発防止策の策定について」で、10月14日時点でこれ以降の公表は確認できていません。

4月30日の「お詫びとお知らせ」は、職員がインターネット上に投稿した営業店執務室内の動画や画像が拡散された事案が判明したとし、7名のお客さまの個人情報（氏名のみ）が記載されたホワイトボードが映っていたと説明しました。問い合わせ窓口は営業支援部 お客さまサービス室（0120-162-105、平日9:00〜17:00）です。支店名は公表文書に無く、山口県下関市の支店であることは報道で伝えられています。

撮影時期の推測：2024年秋ごろとみる解説

銀行の公表文書は撮影時期に触れていません。Yahoo!ニュース エキスパートの解説（2026年5月4日）は、ホワイトボードに「2024年下半期業務目標」「10月目標」の文字が映っていることなどから、撮影は2024年10月前後ではないかと推測しています。あくまで動画の内容からの推測ですが、推測どおりなら、撮影から拡散までに1年以上の間があったことになります。いつ投稿され、誰がどう保存したかは公表されていません。この「時差」は他の事例にも共通しており、後半の章で扱います。

漏洩した情報の範囲：公式発表の個人8名・法人19社と報道ベースの情報

漏洩範囲は、4月30日の当初発表から広がりました。公式発表と報道を出典ごとに分けると次のとおりです。

5月12日の公表は、追加調査の結果として「個人のお客さま8名に関する情報および法人のお客さま19社の名称が外部から閲覧可能な状態となっていた」と書いています。8名の情報の項目は書かれておらず、増えた1名について名前と住所が閲覧できる状態だったことは、同日の決算会見の説明としてRKB毎日放送が伝えた内容です。

映り込んだのは顧客名だけではありません。ホワイトボードの業務目標、デスクの書類やカレンダーなども映っていたと報じられています。1つずつは機微情報でなくても、組み合わさると「どの顧客にどの商品を提案しているか」を推測させます。

その後の対応：6月23日公表の発生原因3点と再発防止策

銀行は6月23日の「再発防止策の策定について」で、事実関係の検証結果と再発防止策を公表しました。発生原因として挙げたのは次の3点です。

1. 私用スマートフォンの職場での取扱いとSNS利用に関するルールの周知・徹底、遵守状況の確認が十分でなかった。
2. 管理職による指導・確認や、職員間で相互に注意・報告しやすい職場環境の整備に改善すべき点があった。
3. SNSの特性を踏まえた情報漏えいリスクに対する役職員のリスク認識が十分でなかった。

再発防止策は原因に対応する3本柱です。1本目はルールの徹底で、私用スマホの執務室への持込みを「厳禁」とするルールの導入、定期的な読み合わせと遵守状況のモニタリング、業務用スマホを一目で識別できる「業務用」シールの貼付義務化が入りました。2本目は管理職研修と、違和感を覚えた職員が上司や本部へ報告・相談しやすい職場風土づくりです。3本目は、経営陣・本部管理部門向けのスマホ利用や最新SNS事情に関する研修と職員向けの研修で、いずれも外部の知見を使います。

5月12日の会見では、それまで「原則禁止」だった私用スマホの執務室持込みを全面禁止にすると報じられました。6月23日の文書は、その方針を「持込み厳禁ルール＋読み合わせとモニタリング＋業務用シール」という運用に落とした形です。

投稿した行員はクビになったのか：処分の公表範囲と懲戒の法的な枠

結論から言うと、投稿した行員が解雇されたかどうかは公表されていません。6月23日の文書は「本件の関係者につきましては、行内規定に基づき厳正な処分を行うとともに、経営責任を明確にするため、役員報酬の一部を自主返納いたします」と書くだけです。同日の日本経済新聞は、村上英之頭取ら3人が報酬の一部を自主返納すると報じ、関係者の処分については「検討中とした」と伝えています。返納の割合と期間も明らかにされていません。

懲戒の重さは会社が自由に決められるわけではありません。労働契約法第15条は、懲戒が労働者の行為の性質・態様などに照らして「客観的に合理的な理由を欠き、社会通念上相当であると認められない場合」は無効としています。漏洩の範囲、故意かどうか、職場のルールがどこまで周知されていたか、本人の反省などが判断材料になり、本件の処分がどう判断されたかは公表されていませんが、銀行自身が原因の1点目に「ルールの周知・徹底が十分でなかった」ことを挙げている点は、一般論としては処分の重さを検討する材料になり得ます。

他の公表事例では処分の幅がはっきり出ています。千葉西総合病院は動画を撮影した職員2名を解雇し、閲覧しただけの1名を厳重注意としました。ミスタードーナツの店舗の件では、運営本部が撮影者に厳重注意と指導を行ったと説明しています。岩見沢市立総合病院の件では、委託先の職員を病院の業務から外しました。公表された対応は解雇から厳重注意まで幅があります。千葉西総合病院は第3報で、個人情報保護に加えて医療従事者としての倫理観と人権意識の再確立を研修の目的に挙げており、患者の尊厳に関わる映像だった点が重く見られたと読めます。ただし、各組織とも処分の判断理由は詳しく公表していません。

投稿者の「特定」をめぐる公表・報道の状況と、個人への二次加害のリスク

銀行の公表文書は「当行職員」とだけ書いており、氏名・性別は公式には出ていません。SNS上では氏名や出身校とされる情報が出回っていますが、本記事では個人を特定できる情報は扱いません。仙台市も教員の投稿事案の発表で、無関係なInstagramのストーリー画像が本件の関連画像であるかのように流布されていると注意を促しており、「特定」とされる情報には誤りが混ざります。

個人を特定して拡散する行為は、刑法の名誉毀損（第230条）や侮辱（第231条）、民事上のプライバシー侵害に当たるおそれがあり、事実であっても責任を免れるとは限りません。事件の理解に必要なのは個人名ではなく、なぜ起きてどう防ぐかです。

金融庁の対応と個人情報保護法の報告義務

金融機関の顧客情報漏洩であるため、銀行法に基づく報告徴求（第24条）や業務改善命令（第26条）の可能性が当初から指摘されていました。2026年10月14日時点で、金融庁・福岡財務支局による行政処分の公表は確認できていません。

• 個人情報保護法：個人情報保護法第26条は、個人の権利利益を害するおそれが大きい漏えい等が生じたときに、個人情報保護委員会への報告と本人への通知を求めている。千葉西総合病院は覚知当日に委員会への報告を済ませたと公表した。報告の類型と期限は個人情報保護委員会への報告義務の解説で整理している。
• 損害賠償：本件で損害賠償の請求や訴訟が起きたという公表・報道は確認できていない。住所を含む漏洩や二次拡散による精神的苦痛について、対象者への個別対応が問われる。

BeReal炎上・職場投稿の事例一覧：2025〜2026年に公表された漏洩

西日本シティ銀行の件は単発ではありません。職場内で撮影した画像・動画がSNS経由で漏れ、組織が公表した事例を、発生（撮影）または公表の時期の順に並べます。投稿先アプリは公表文書に書かれないことが多く、BeRealと書いたものは報道によるものです。

出典は各組織の公表文書と報道です。岩見沢市立総合病院は2025年10月2日、委託業者の職員が私物のスマホで受付状況のモニター画面を投稿し、20名の氏名・患者番号・年齢・主治医名などが漏れたと公表しました。画像は閲覧できる利用者が限られた状態で、約2時間後に削除されていました。横浜市医師会は2025年12月26日、出動医師が診察室で撮影した写真を投稿し、患者が判別可能な状態で拡散したとお詫びを出しています。

J-CASTニュース（2026年5月1日）によると、ミスタードーナツの愛知県瀬戸市の店舗の画像は2026年2月14日に撮影されたもので、5月1日ごろからXで拡散しました。運営本部は「本来は勤務前にスマートフォンを預け、勤務中の使用禁止」としていたが徹底できていなかったと説明しています。佐田病院の件は、看護師が3月6日に「SNS限定公開機能」で投稿したカルテ画像が、3月22日に第三者のまとめ的な投稿で表に出たものです。

仙台市の発表（2026年4月21日）では、太白区の市立小学校の教員が4月20日夜、職員会議用のグーグルクラスルームの画面を撮影して投稿し、学校名と別の教員1名の氏名が表示されていました。平成横浜病院は2026年9月6日、職員のSNSアカウントの院内動画に患者の氏名や薬剤名が映っていたと公表しています。

最も新しいのが千葉西総合病院（第3報・2026年10月10日）です。看護師が10月5日の夜勤中に撮影した動画を3人のグループで共有し、それがXに出て10月8日に病院が覚知しました。本人たちに不特定多数へ拡散した自覚はなく、あくまでグループ内での共有のつもりだったと第2報は書いています。病院は10月10日に懲戒委員会を開き、撮影した2名を解雇しました。

飲食・小売店のバックヤードでの悪ふざけ投稿は、法的には別の論点（業務妨害・損害賠償）が中心になります。主要事例のその後はバイトテロの主要事例と実名公表・損害賠償の実態で扱っています。

友達限定でも漏れる理由：BeRealの撮影条件・転載経路・拡散までの時差

一覧のうち、岩見沢市立総合病院（閲覧できる利用者が限定）、佐田病院（SNS限定公開機能）、千葉西総合病院（3人のグループ共有）の3件は、見せる範囲を限った投稿だったことが公表文書で確認できます。BeRealの撮影条件と、限定公開の投稿が外に出る経路を分けて見ます。

通知から2分・前後カメラ同時撮影・加工不可という撮影条件

BeRealは毎日、同じタイムゾーンの利用者全員に同時に通知を送り、アプリを開いてから2分以内に前面と背面のカメラで撮影するよう促します（BeReal公式ヘルプ）。2分を過ぎても投稿はできますが、遅れたことは友達に分かり、自分が投稿するまで友達の投稿は見られません。Impress Watchの解説（2026年5月8日）によると、加工した画像は投稿できず、撮り直した回数も投稿時に表示されます。時間制限と遅延の表示が「その場ですぐ撮る」行動を促し、背面カメラが向いた先のホワイトボードやPC画面を確かめる時間を削ります。加工できないので、撮った後にモザイクで隠すこともできません。

スクリーンショット・画面録画とまとめ投稿による転載

公開範囲は「私の友達のみ」「私の友達＋その友達」「グローバル」から選び、投稿後も変更できます（BeReal公式ヘルプ「オーディエンス」）。友達のみにしても外に出るのは、閲覧者がスクリーンショットか画面録画で保存できるからです。前出のImpress Watchの解説は、以前あったスクリーンショットの本人への通知が現在は無くなっていること、投稿はおおむね24時間で他の利用者から見えなくなることを説明しています。保存された画像はXのインフルエンサーやまとめアカウントに送られると一気に広がります。佐田病院の件が第三者のまとめ的な投稿で発覚したのも、この経路です。

撮影から拡散まで数か月の時差

見落とされやすいのが時差です。ミスタードーナツの画像は撮影から約2か月半後に拡散し、西日本シティ銀行の動画は2024年秋ごろの撮影とみる解説もあります。千葉西総合病院の件は撮影から3日で表に出ました。投稿が24時間で消えても、誰かの端末に残ったものはいつでも出てきます。研修や持込み禁止は「これからの投稿」しか止められず、過去に撮られた分には効きません。

企業が取るべき判断ははっきりしています。限定公開の設定や「消える投稿」を前提にした安全策は採らないこと。職場で撮影できる状態そのものを減らし、過去分については発覚したときの初動を決めておくことです。

企業が実装できる再発防止策：私用スマホ持込制限と業務端末の撮影制御

銀行の再発防止策は運用ルールと研修が中心です。他の企業が自社に持ち帰るなら、運用と技術を次の順で組み合わせるのが現実的です。ミスタードーナツの件のように「勤務前に預ける」ルールがあっても徹底されなければ漏れるので、保管場所と確認の仕組みまで用意します。

1. 私用スマホの執務室持込み禁止とロッカー保管：ルールだけでなく保管場所を用意し、持込みの有無を管理職が確認する。
2. 業務用端末の識別：「業務用」シールのように私用と業務用を見た目で分け、周囲が声をかけやすくする。
3. ホワイトボードと画面に顧客名を残さない運用：顧客はコードで書き、終業時に消す。コードと顧客の対応表が一緒に映れば意味は読めるので、撮影させない対策の代わりにはならない。
4. 業務用端末の撮影・画面保存の技術的制限：業務でカメラを使わない端末は、MDMで無効化する。

4点目の例として、AppleのRestrictionsペイロード（公式ドキュメント）でカメラとスクリーンショットを無効にする構成プロファイルを示します。allowCamera を false にするとカメラが使えなくなりホーム画面からアイコンが消え、allowScreenShot を false にすると画面の保存と録画ができなくなります。

<?xml version="1.0" encoding="UTF-8"?>
<!-- 業務用iPhone向けの制限プロファイル例。UUIDは uuidgen で生成した値に置き換える -->
<plist version="1.0">
<dict>
  <key>PayloadType</key><string>Configuration</string>
  <key>PayloadDisplayName</key><string>業務端末の撮影制限</string>
  <key>PayloadIdentifier</key><string>jp.example.restrictions</string>
  <key>PayloadUUID</key><string>6F1C2B9E-0000-4000-8000-000000000001</string>
  <key>PayloadVersion</key><integer>1</integer>
  <key>PayloadContent</key>
  <array>
    <dict>
      <key>PayloadType</key><string>com.apple.applicationaccess</string>
      <key>PayloadIdentifier</key><string>jp.example.restrictions.camera</string>
      <key>PayloadUUID</key><string>6F1C2B9E-0000-4000-8000-000000000002</string>
      <key>PayloadVersion</key><integer>1</integer>
      <key>allowCamera</key><false/>
      <key>allowScreenShot</key><false/>
    </dict>
  </array>
</dict>
</plist>

使う前に3点を確認してください。公式ドキュメントでは、監督対象外（unsupervised）の端末での allowCamera のサポートは非推奨とされているため、Apple Business Managerの自動デバイス登録か、Apple Configuratorで監督対象（supervised）にした端末で使います。カメラを止めると本人確認書類の撮影やQRコードの読み取りなど業務でカメラを使うアプリも動かなくなるので、配布前に業務フローを洗い出します。そして、この制限が効くのは会社が管理する業務用端末だけで、私用スマホには及びません。MDMで管理できる範囲はMDMの仕組みとEMM・UEMの違いで、会社が把握しない私物端末やツールの扱いはシャドーITの例と対策で解説しています。

発覚したときの初動：公表事例に見る対応の順番

過去の投稿は防げないので、発覚時の手順を先に決めておきます。千葉西総合病院の第2報は、覚知した10月8日のうちに謝罪文の掲載、患者家族への電話連絡、全職員への注意喚起、Xへの削除依頼、個人情報保護委員会への報告を済ませ、翌9日に保健所と市役所へ報告したと記録しています。10日には懲戒委員会を開いたことを第3報で公表しました。西日本シティ銀行も判明後に謝罪文と問い合わせ窓口を先に出し、範囲の確定は12日後の追加公表に回しました。

1. 投稿の保全（URL・画面）と、プラットフォームへの削除依頼
2. 映った情報の特定と、対象者への個別連絡
3. 個人情報保護委員会など所管への報告要否の判断
4. 確定している範囲だけを先に公表し、追加調査の結果は続報で出す
5. 処分と再発防止策は、原因の検証を終えてから公表する

西日本シティ銀行の4月30日の文書は「職員がインターネット上に投稿した」動画や画像が「拡散された事案が判明いたしました」と書き、組織としての管理の不備には触れていません。初報では、何が起き、組織として何を認めるのかを主語のはっきりした文で書きます。企業アカウントの炎上対応やSNSの運用ルールづくりを外部に任せたい場合は、SNS運用代行で投稿ガイドラインの整備から相談できます。

個人側は、勤務中はBeRealのような即時投稿アプリの通知を切っておく、職場では撮影しないと先に決めておくなど、通知が来たその場で判断しなくて済む状態を作っておくと迷いが減ります。友達限定でも、閲覧した誰かの端末に残れば回収できません。同じ「消える投稿」型の機能はInstagramにも入っており、仕組みはInstagram Instantsの使い方と消える仕組みで解説しています。

よくある質問

西日本シティ銀行のBeReal炎上について、検索の多い質問に2026年10月14日時点の公表内容で答えます。

西日本シティ銀行のBeReal投稿者は特定・公表されている？

銀行の公表文書は「当行職員」とだけ書いており、氏名・性別は公式には出ていません。SNS上で出回る氏名などの情報には誤りが混ざるおそれがあり、個人を特定・拡散する行為は名誉毀損やプライバシー侵害として法的責任を問われる可能性があるため避けてください。

投稿した行員はクビ（解雇）になった？

公表されていません。銀行は6月23日に「行内規定に基づき厳正な処分を行う」としましたが、懲戒の種類や対象者は明らかにしておらず、同日の日本経済新聞は関係者の処分を「検討中」と報じています。懲戒は労働契約法第15条により、行為の性質や事情に照らして社会通念上相当でなければ無効になります。

西日本シティ銀行のBeReal事件はその後どうなった？

銀行は2026年6月23日に「再発防止策の策定について」を公表し、発生原因3点と、私用スマホの執務室持込み厳禁ルール、業務用スマホへのシール貼付義務化、外部の知見を使った研修などを示しました。頭取ら役員3人が報酬の一部を自主返納すると報じられています。10月14日時点で、これ以降の銀行の公表と金融庁の行政処分は確認できていません。

漏洩した情報の範囲は？

4月30日時点で顧客7名の氏名、5月12日の追加公表で個人のお客さま8名に関する情報と法人のお客さま19社の名称が外部から閲覧可能な状態だったと確認されています。増えた1名の住所も閲覧可能だったことは決算会見の報道によるもので、公表文書には書かれていません。

BeRealの炎上事例はほかにもある？

あります。報道でBeRealへの投稿とされたものに、ミスタードーナツの店舗（2026年2月撮影・5月拡散）と仙台市の市立小学校の教員（2026年4月）の件があります。投稿先が公表されていない職場内撮影の漏洩は、岩見沢市立総合病院（2025年10月）や千葉西総合病院（2026年10月）など病院で多く、本記事の事例一覧に公表元とあわせて載せています。

関連記事

• バイトテロとは？セブンイレブンなど主要事例のその後・実名公表の実態と損害賠償の相場
• シャドーITとは？該当する例とBYODとの違い・公的資料に沿った対策
• MDMとは？モバイルデバイス管理の仕組みとEMM/UEMの違い・選び方【情シス向け】
• Instagram Instants（インスタンツ）とは？使い方と消える仕組み
• BYODとは？企業導入のメリット・デメリットとCYOD・COPEとの違い、私物端末の管理範囲と費用負担