Signal
📡 Signal｜デジタル庁の問い合わせ1万3千件、Studio への不正アクセスで漏えいのおそれ
デジタル庁が利用していたウェブ制作サービス Studio に不正アクセス。2021年5月〜2023年3月の問い合わせフォームの入力が最大1万3,323件漏えいしたおそれ。
デジタル庁は10月22日、ホームページの運営の一部に使っていたウェブ制作サービス Studio (Studio株式会社) のクラウド環境に第三者の不正アクセスがあり、同庁の問い合わせフォームに寄せられた個人情報が最大1万3,323件漏えいしたおそれがあると発表した。対象は2021年5月から2023年3月までにフォームへ入力された内容で、件数は精査中としている。
デジタル庁 報道発表 (2026年10月22日) — 5種類のフォームの件数・項目、アカウント情報35件、10月16日の報告を確認デジタル庁
行政のデジタル化を担う官庁でも、外部のサービスに預けた入力データの安全は、そのサービスの防御で決まる。Studio への不正アクセスでは、フォームを使っていた自治体や企業の公表が先に続いており、国の官庁にも及んだ。
5種類のフォーム、合わせて1万3,323件
発表によると、漏えいのおそれがあるのは次の5つのフォームの入力分だ。件数はいずれも最大値になる。
- 一般的な意見・要望: 8,833件 (氏名、メールアドレス、問い合わせ内容)
- 接種証明書アプリに関する問い合わせ: 3,661件 (氏名、メールアドレス、問い合わせ内容)
- ワークショップ等の参加関連: 462件 (氏名、メールアドレス、所属、電話番号等)
- 採用に関する問い合わせ: 250件 (氏名、メールアドレス、電話番号、問い合わせ内容)
- マイナちゃんの着ぐるみの借用に関する問い合わせ: 117件 (氏名、メールアドレス、所属、送付先住所、電話番号等)
氏名やメールアドレスは任意の入力で、記入した人の分に限られる。最も多いのは一般の意見・要望で、全体の約3分の2を占める。このほか、Studio のアカウント情報として、デジタル庁の職員または委託事業の従事者35人分の氏名とメールアドレスも対象に入った。
現時点で、漏えいした情報の悪用による二次被害は確認されていない。デジタル庁は、同庁や関係機関を装った不審なメール・電話・SMS に注意するよう呼びかけ、同庁がメールや電話でパスワードやクレジットカード情報を尋ねることはないとしている。
Studio の不正アクセスは9月末
共同通信の10月20日の配信によると、Studio は、9月30日から10月1日にかけて第三者がシステムの欠陥を突いてクラウド環境に不正に入ったと説明した。社内調査で発覚したのは10月13日で、14日までに欠陥を修正した。流出のおそれがある情報として、ユーザー名、メールアドレス、パスワード、外部サービスと連携するための認証情報を挙げ、対象は全ての顧客としている。実際にデータが持ち出されたかどうかは確認できていない。
デジタル庁が Studio から報告を受けたのは10月16日で、公表まで6日かかった。同じ16日には埼玉県が、指定管理者を通じて Studio を使っていた「さいたま緑の森博物館」のイベント申し込みと問い合わせについて、162件の個人情報に漏えいのおそれがあると公表している。
3年前の入力が、まだ残っていた
発表の対象期間から読み取れるのは、2023年3月までに入力された問い合わせが、2026年秋の時点で Studio の環境に残っていたことだ。フォームの受付をやめた後も、入力の記録はサービス側に置かれたままになりうる。なぜ2023年3月で区切られるのかは、発表に書かれていない。
ノーコードの制作サービスは、画面の操作だけでフォーム付きのページを公開できる手軽さで、官庁にも自治体にも広がった。その手軽さの裏で、預けたデータをいつ消すかは、使う側が決めて実行しない限り決まらない。侵入を防ぐことと並んで、受付を終えたフォームの記録を消すことも守りの一部になる。
2021年5月から2023年3月にデジタル庁の問い合わせフォームを使った人は、同庁や行政機関を名乗る連絡が届いても、リンクや添付ファイルを開かずに、公式サイトの連絡先で確かめるのが確実だ。
次に見るもの
確認先は、デジタル庁の今回の報道発表ページだ。「精査中」とされた件数が確定値に置き換わるとき、実際の持ち出しの有無と、2023年4月以降の入力が対象外になった理由が書かれるかを見る。Studio が公表する続報で全体の件数が出れば、デジタル庁の1万3,323件が利用者全体のどれほどにあたるかも分かる。
ことば
- ノーコード制作サービス — プログラムを書かずに、画面上の操作でウェブサイトを作って公開できるサービス。Studio はその一つで、問い合わせフォームの受付と入力内容の保管もサービス側で行える。
- 二次被害 — 漏えいした氏名やメールアドレスを使い、本人をだます連絡を送るなどして起きる被害。今回は発表時点で確認されていないが、行政機関を装った連絡に注意が呼びかけられている。
🔗 一次ソース
