デジタル庁は10月22日、ホームページ運営の一部に利用していたStudioのクラウド環境への不正アクセスにより、問い合わせ情報などが外部に漏えいした可能性があると発表しました。23日にも報道され、過去にフォームを利用した人への注意喚起が続いています。

対象になり得るのは、2021年5月から2023年3月までに送信された問い合わせなどです。一般的な意見や要望のほか、採用、接種証明書アプリ、マスコットの着ぐるみ借用、行事への参加に関する情報が含まれます。現在のウェブサイトを閲覧した人すべての情報が漏れたとする発表ではありません。

フォームの件数は各区分の最大値を合わせて1万3323件で、別に職員や委託事業従事者のStudioアカウント情報35件も対象の可能性があります。件数を、そのまま異なる人の人数とみなすことはできません。同じ人が複数回送信した場合などの重複を除いた人数は、今回確認した資料からは確定できません。

デジタル庁は10月16日にStudioから報告を受けたとしています。確認されたのは、第三者が同社のクラウド環境へ不正にアクセスし、データを外部から取得できる状態にしていたことです。情報が実際にどこまで取得されたかという範囲は精査中で、対象全件の漏えいが確定したと読み替えることはできません。

問い合わせの内容は利用登録とは異なる情報です

問い合わせフォームは、相談を受け付けるための仕組みです。利用者は用件に応じて、自分の氏名や連絡先、所属などを入力することがあります。会員登録の画面でなくても、運営側の環境に個人情報が残る場合があります。登録した覚えがないから無関係と即断せず、過去に相談や申し込みをしたかを振り返ることが役立ちます。

一方で、接種証明書アプリに関する問い合わせが含まれることと、アプリの利用者情報全体が今回の対象になったことは別です。窓口の名称から、別のサービスの全データへ影響が広がったと推測してはいけません。どのシステムで保管された、どの情報が対象なのかを、発表の区分に沿って確認する必要があります。

公表された項目は、氏名、メールアドレス、問い合わせ内容などです。窓口によっては、住所、電話番号、所属なども含まれます。任意記入欄については、実際に入力した場合に限られます。自分に関係する項目を考える際は、フォームの目的と、自分が何を書いたかを分けて整理することが大切です。

デジタル庁が別の時期に発表したGSSに関する事案とも、今回のフォームの事案は区別します。発表主体が同じでも、関係する環境や対象情報が同じとは限りません。複数の事案の数字を足し合わせて、今回の漏えい規模として示すことは適切ではありません。混同すると、自分が対象かどうかの判断も難しくなります。

二次被害の未確認は今後の保証ではありません

デジタル庁は22日の発表時点で、情報の悪用などの二次被害は確認されていないとしています。これは、確認できている範囲の現況を示す説明です。今後も必ず被害が起きないという保証や、流出の可能性が解消したという意味ではありません。調査が続く間は、不審な連絡に注意する必要があります。

問い合わせの事実や内容を知っている相手から連絡があっても、正規の担当者と確定することはできません。過去に問い合わせた制度名や、自分の名前が書かれていると信用しやすくなりますが、確認の根拠を差出人の表示だけに置かないことが大切です。普段使っている公式サイトから窓口を探し直す方法が役立ちます。

デジタル庁は、メールや電話でパスワードなどの認証情報やクレジットカード情報を尋ねることはないとしています。情報の確認や補償の手続きを名目に入力を求められても、その場で応じる必要はありません。不審なメッセージに書かれたリンクではなく、公式に案内された窓口を使って内容を確認してください。

添付ファイルや短縮されたリンクは、見た目だけで安全性を判断しにくい場合があります。急いで対応しないと不利益を受けると促す連絡にも注意が必要です。今回の事案に関連した実際の詐欺を新たに確認したという話ではなく、発表が呼び掛けている二次被害防止を、日常の行動に置き換えた確認点です。

利用者は記録を残しながら公式の案内を待ちます

過去の送信確認メールが手元にある場合は、送信した時期と窓口を確認する手掛かりになります。残っていないから対象外と確定することはできませんが、記録があれば問い合わせの際に状況を説明しやすくなります。本文をSNSへ転載するなどして、相談内容や連絡先を新たに公開しないよう気を付けてください。

不審なメールやSMSが届いた場合は、差出人、受信日時、内容を安全な形で控えておくと、相談時の説明に役立ちます。相手へ返信して本人確認を求めると、別の情報を渡してしまう可能性があります。調査を手伝うと言われても、認証コードや本人確認書類を、連絡してきた相手にそのまま送らないことが重要です。

金銭の被害やアカウントの不正利用が疑われるときは、今回の調査結果を待つだけでなく、関係する金融機関やサービスの正式な窓口に相談します。今回の発表から補償の有無や金額が一律に決まったとは確認できません。相談先と責任の判断を混同せず、実際に起きた事象を記録して伝える必要があります。

氏名や連絡先が対象になり得るというだけで、すべてのアカウントを急いで解約する必要があるとはいえません。自分の利用状況を確認し、各サービスの案内に沿って対応します。安全確認を理由にした有料ソフトの購入や、見知らぬ代行業者への依頼を急ぐことも、今回の公表では求められていません。

行政や企業には委託先を含むデータ管理が問われます

ウェブサイトの制作を外部サービスに任せても、利用者にとっての窓口は行政や企業です。見た目のページだけでなく、フォームに入力された情報がどこに保存されるかを把握しておく必要があります。誰が設定し、誰が閲覧でき、いつ削除するかという運用まで含めて、サービスを選ぶことが課題になります。

一般論として、終了したイベントや古い問い合わせの情報は、その後も保存する必要があるかを定期的に見直す対象です。ただし、保存期間には業務や規定上の事情があるため、今回の対象時期だけから保存が不適切だったと断定することはできません。保持の目的と管理の実態を、調査と説明で明らかにすることが必要です。

委託先から報告が来た際には、ウェブ担当者だけで対応を完結させず、利用部門や個人情報を扱う担当との情報共有が求められます。どのフォームを設置していたかが部署ごとに分かれていると、対象の確認に時間がかかります。全体の件数と個々の窓口の件数を区別できる記録が、利用者への説明にもつながります。

サービスを一時停止する判断と、過去のデータの漏えいを調べる作業も別です。フォームを閉じたことだけで、すでに保存されていた情報の問題が解決するわけではありません。再開を案内する場合は、どの機能が利用できるかと、調査がどの段階にあるかを分けて示す方が、利用者が混乱しにくくなります。

今後は対象範囲の確定と個別の通知が焦点です

今回のような事案では、初期の最大件数から、詳しい確認を経て対象が変わる可能性があります。数字が減った場合も増えた場合も、集計方法や対象期間が変わったのかを確認する必要があります。更新前後の数字だけで、調査の良し悪しを判断することはできません。何が分かったために変わったかが重要です。

24日未明時点で、本記事は公表内容をもとに整理しています。攻撃者の身元、利用された具体的な弱点、対象者全員への悪用の有無など、確認できていないことは未確認です。近い時期に起きた別の不正アクセスと同じ原因だったとする推測も、公式な調査結果がない限り採用しません。

続報の条件は、デジタル庁またはStudioが漏えいの範囲や調査結果を更新したとき、対象者への具体的な連絡方法や追加の対応を公表したときです。一般向けの案内と事業者向けの管理作業を分け、利用者が実施できない専門作業を自己責任として求めない形で伝えます。

フォームを運営する組織が代替の問い合わせ先を設ける場合も、必要以上の情報を再度送らせない工夫が重要です。本人の確認に必要な範囲と、相談内容を詳しく聞く範囲を分ければ、追加の情報を集めすぎることを避けられます。新たな窓口の設置だけでなく、その後の保存と削除も考える必要があります。

利用者への連絡では、対象期間と対象の窓口を目立つ形で示すことが役立ちます。サービス名だけが広く伝わると、関係のない利用者も問い合わせに集中し、必要な人へ説明が届きにくくなる可能性があります。正確な区分を示すことは、利用者の負担と現場の混雑を減らす意味も持ちます。

画像は情報システムのイメージで、被害が起きた環境そのものを写したものではありません。情報源はデジタル庁の10月22日発表です。https://www.digital.go.jp/press/a0a8f66c-b32d-4695-9372-bcd5d4280f22

まとめ

デジタル庁の過去の問い合わせなどが、利用先のStudioへの不正アクセスで漏えいした可能性があります。対象と実際の取得範囲は精査中であり、過去の利用記録を確かめながら、行政機関を装う連絡には公式窓口で確認することが大切です。