Signal
📡 Signal｜内閣府のメルマガ、アララ経由で6万2,863件のアドレス漏えい
内閣府が、委託先アララの配信サービスへの不正アクセスでメールマガジン14本の利用者のアドレス62,863件が漏えいしたと公表。登録時の所属組織などは調査中。アララの侵害が中央省庁に届いた。
内閣府は11月11日、メールマガジンの配信に使っていたアララのメール配信サービスが不正アクセスを受け、利用者のメールアドレス62,863件 (重複を除くと61,751件) が漏えいしたと公表した。対象は公益法人、食品安全委員会、RESAS など14のメールマガジンで、内閣府はすべての配信を止めている。
10月末に始まったアララの侵害は、企業の会員名簿から 横浜市の電子申請 へ広がり、今回は中央省庁に届いた。メールの配信を外に任せる仕組みは、官も民も同じだった。
14のメールマガジン、6万2,863件
内閣府の大臣官房サイバーセキュリティ・情報化推進室の公表によると、漏えいしたメールアドレスの件数は、メールマガジンごとに次のとおりだ。
- 内閣府 公益法人メールマガジン: 19,685件
- 内閣府食品安全委員会 e-マガジン: 10,922件
- 経済社会総合研究所のメールサービス: 5,645件 (英語版 614件)
- 官民人材交流センターからのお知らせ: 5,400件 (利用期限のお知らせ 248件)
- RESAS 関連サービス 最新情報メールマガジン: 5,115件
- ワーク・ライフ・バランス メールマガジン「カエル！ジャパン」通信: 4,897件
- 原子力委員会メールマガジン: 3,331件
- 内閣府・内閣官房 調達情報メールマガジン: 2,433件
- チーム有明メールマガジン: 2,267件
- 消費者委員会メールマガジン: 1,938件
ほかに、こうえきしんたくん通信 258件、PFS 官民連携プラットフォーム 6件、運用管理用のテストデータ 104件がある。
原因は、事業者の Web サーバーの脆弱性とシステム環境の問題に起因する第三者の不正アクセスで、事業者が調査を続けている。現時点で具体的な被害は確認されていない。
登録時の項目も「おそれ」として調査中
メールアドレスとは別に、内閣府は登録時に入力された項目を「漏えいしたおそれのある情報」として並べ、事業者が調べている。
項目はメールマガジンによって違う。食品安全委員会は性別・年齢層・職業、原子力委員会は性別・年齢・都道府県・職業。RESAS の最新情報メールマガジンには、氏名、所属組織 (例として市役所の名前)、所属部署 (課の名前) が並ぶ。調達情報メールマガジンは、会社の所在地域と関心のある調達分野だ。
これらはまだ確定した漏えいではない。ただ、もし出ていれば、宛先が自治体の職員や入札に関心のある企業だと分かる名簿になる。内閣府は、内閣府や関係省庁、実在の事業者を装ったメールや、パスワード・クレジットカード情報の入力を求める連絡に注意するよう呼びかけ、内閣府がメールでそうした情報を求めることはないとしている。
委託の先にある1つの基盤
アララは10月末、配信サービスのサーバー97台に侵入され、最大約380社分・約7,700万件 のメールアドレスが持ち出されたと発表した。その後、アソビューやビックカメラ や 三井住友銀行 など、契約企業の公表が続いている。
省庁は自前の配信システムを持たず、民間の配信サービスを使っていた。メールマガジンの登録者から見れば、相手は内閣府であって、アララという会社の名前を目にすることはない。漏えいの連絡は、登録した覚えのある組織から届き、その先の委託先の名前は後から知ることになる。
次に見るもの
確認先は、内閣府のサイトに出る本件の続報だ。内閣府は、事業者の調査結果を踏まえ、個人情報保護法第68条第2項に基づいて対象の利用者に知らせるとしている。その通知で「おそれ」とされた登録項目が実際に漏れたかどうかが確定する。もう一つはアララ自身の続報 (arara.com) で、侵入の経路と、ほかの省庁や自治体に影響があったかが示されるかを見る。
ことば
- メールマガジンの配信事業者 — 登録者のアドレスを預かり、一斉配信や配信停止の手続きを代行する会社。自前でメールサーバーを持つより安く確実に届くため、企業も官公庁も広く使っている。
- 個人情報保護法第68条第2項 — 行政機関などで漏えいが起きたときに、本人へ知らせることを求める規定。個人情報保護委員会への報告 (第1項) と並ぶ義務で、民間の事業者には第26条が同じ役割を持つ。
🔗 一次ソース
