環境省は10月23日、関連する六つのメールマガジンで利用する外部配信サービス「ブラストメール」への不正アクセスにより、配信先情報が漏えいした可能性があると公表しました。発表時点で実際の漏えいは確認されておらず、提供事業者の調査を踏まえて確認するとしています。

対象は環境分野の情報を届ける複数のメールマガジンです。同じサービスを使っていても、登録時に集める情報が違うため、漏えいした可能性のある項目も同一ではありません。メールアドレスだけの場合と、氏名や所属などを含む場合を分けて読む必要があります。

公表文では、地球環境パートナーシッププラザ、地域循環共生圏、東北環境パートナーシップオフィス、福島環境再生プラザ、関東ESDセンター、きんき環境館の六つを挙げています。自分が環境省の何らかの情報を受信しているというだけで、今回の対象だと確定するわけではなく、配信名の照合が先になります。

不正アクセスの確認と、情報流出の確認を区別します

発表は第三者による不正アクセスの発生と、配信先情報の漏えいの可能性を説明しています。一方、実際に配信先情報が外へ持ち出されたかは確認されていないと明記しています。「漏えいの可能性」を「全登録者の情報流出が確定」と言い換えることは、現段階の説明を超えてしまいます。

提供事業者はラクスライトクラウドです。環境省は事業者の調査を踏まえて確認を続ける方針であり、23日の公表文だけから侵入の具体的な手口、持ち出し件数、個々の受信者への影響を判断することはできません。ほかのサービスで起きた事案の原因を、名前の似た障害にそのまま当てはめないことも重要です。

停止の経過については、21日午前0時30分から管理画面とAPI、同日午前1時ごろからメール配信が止まったと説明しています。発表時点で再開時期は未定です。そのため対象メルマガの配信と管理ができない状態ですが、環境省のすべてのウェブサイトが停止しているという発表ではありません。

APIは、配信作業を別のシステムから行うための接続の仕組みです。管理画面とあわせて停止することで、担当者が普段使う操作経路が利用できなくなります。これは運営の継続に関わる情報であり、受信者が自分の端末で何かの設定変更をしなければならないと直結する説明ではありません。

対象情報はメルマガごとに異なります

地球環境パートナーシッププラザと関東ESDセンターでは、メールアドレスと属性が対象項目として挙げられています。地域循環共生圏ではメールアドレス、氏名、属性です。東北環境パートナーシップオフィスと福島環境再生プラザは、メールアドレスが挙げられています。

きんき環境館については、メールアドレス、氏名、所属、都道府県市区町村、備考の登録動機が示されています。ただし、列挙された項目のすべてを全員が登録していたとまでは公表されていません。自分が何を登録したか、そして調査でどの情報への影響が確認されるかは分けて考える必要があります。

メールアドレスと所属の組み合わせは、連絡を装う文面を自然に見せる材料になり得ます。ただし、今回そのような悪用が確認されたと発表されているわけではありません。受信者にとっての意味は、事案を理由にすべてのメールを危険と決めることより、差出人や依頼内容を確かめる判断材料を持つことにあります。

登録動機などの自由記述が含まれる場合には、定型の項目だけでは影響を把握しにくくなります。運営側は項目名の一覧に加え、調査結果でどの範囲にアクセスされたかを説明することが重要になります。現時点で具体的な記入内容を推測して紹介したり、個人が特定できる情報を集め直したりする必要はありません。

受信者は公式サイトと照合できます

受信していた案内が届かなくなった場合は、配信停止の影響と、イベント自体の中止を分けて確かめることができます。講座や公募などには個別の開催・募集ページがあるため、配信メールだけを頼りにしていた人は、主催者の公式サイトで期限と開催状況を確認する方法があります。

補償、本人確認、配信再開などを名乗る連絡を受けた時も、本文中のリンクだけで判断せず、既知の公式ページを自分で開いて案内と照合することができます。今回の公表は、受信者が認証情報や決済情報を送る手続きを示したものではありません。追加の依頼が来た場合には、元の発表との関係を確認することが先です。

問い合わせをする場合は、メルマガごとの窓口を使う方が、契約や登録の確認先を取り違えにくくなります。発表には各運営主体の問い合わせ先が載っています。連絡のために、過去のメールをそのまま公開のSNSへ貼り付けると、受信者自身や他の参加者の情報を広めてしまう可能性があり、公開範囲にも注意が必要です。

一方、今回の案内だけを根拠に、受信者のメールサービスのパスワードが漏れたとは言えません。公表された対象項目に、受信者が使うメールアカウントのパスワードは挙げられていません。影響が確認された情報と、それぞれのアカウントで管理する情報を区別して対応することが大切です。

配信団体には情報を止めない工夫が求められます

運営主体にとっての課題は、調査への協力と、読者へ必要な情報を届ける業務の両方です。配信が使えない間に募集期限が来る場合、ウェブサイト上で案内を分かりやすく置く方法があります。ただし、代替サービスへ登録者情報を急いで移す場合には、情報の扱いと運用責任を整理する必要があります。

広報担当者は、どの配信リストをサービスへ預け、どの項目が含まれていたかを把握することが、問い合わせへの説明の基礎になります。契約をした部署と実際の配信担当が違う場合でも、確認窓口を決めておけば、回答が食い違う状況を減らせます。これは今回の事業者の内部体制を断定するものではなく、委託管理上の観点です。

再開の判断も、接続できるかどうかだけではありません。原因の調査、影響範囲の確認、運用を再び行う条件などについて、提供元と運営主体の説明が必要です。再開予定の日時が示されても、それが登録者情報への影響調査の完了を意味するとは限らず、各発表がどの事項を説明しているかを見る必要があります。

複数の団体が同じサービスを使う場合、個々の団体が持つ情報と、提供元だけが確認できる技術上の情報には違いがあります。分からないことを団体側が推測で埋めるより、確認済みの対象と未確認の項目を明示し、更新予定や次の確認条件を説明する方が、受信者は行動を選びやすくなります。

件数や再開時期は続報を待ちます

25日時点で本記事が確認した公表文には、六つのメルマガを通じた対象人数の総数や、流出が認定された件数は示されていません。同じ人が複数のメルマガに登録している可能性もあるため、仮に個別の登録件数が示されても単純に足して人数にすることはできません。

次の更新条件は、提供事業者または環境省から、実際の持ち出しの有無、影響した項目や範囲、再開の見通しについて新たな説明が出ることです。調査中という状態が続く間は、被害確定とも安全確認完了とも表現しません。説明が変わった際は、公表日時を付けて段階の変化を伝える必要があります。

情報を受け取る側にとって、必要な案内が遅れる影響も見落とせません。申込期限のある催しに関心がある人は、メルマガの復旧を待つだけでなく、主催者が別途掲示している情報を確認できます。情報漏えいの調査と、日々の広報の継続はそれぞれ重要で、どちらか一方だけを見ても利用者への影響は捉えきれません。

記事は環境省の10月23日付発表を基に、配信先情報の種類と利用者の確認点を整理しました。写真はパソコンとスマートフォンを使う場面のイメージで、被害を受けたサービスの管理画面や、今回の関係者を撮影したものではありません。

受信できない期間の情報格差も確認します

普段からウェブサイトを見る人と、メールだけで情報を受け取る人では、停止中に得られる情報が変わる可能性があります。運営側が別の場所へ案内を置く場合には、古い配信先へ再登録を急がせるより、公式サイトで更新をまとめて見られる形にすることが、受信者の確認を助けます。

登録解除を希望する人への対応も、管理機能が使えない状況では通常と同じ手順とは限りません。解除の希望と、漏えいの有無の問い合わせは別の依頼なので、窓口へ伝える時には目的を明確にできます。解除すれば過去の影響がなかったことになるわけではなく、今後の配信と過去の調査は分けて考える必要があります。

調査結果が出た後も、最初の案内だけが検索やSNSに残る場合があります。最新の発表へたどれるよう更新日時を確認することが、古い不確定情報を確定した事実として広めないために役立ちます。受信者の対応も、その時点で判明した範囲に合わせて見直すことが大切です。

出典：環境省「環境省が関わるメールマガジンにおける配信先情報の漏えいの可能性について」（10月23日） https://www.env.go.jp/press/press_05784.html

まとめ

環境省関連の六つのメルマガで配信先情報が漏えいした可能性があり、外部配信サービスの調査が続いています。実際の流出は未確認で、受信者は対象名と公式案内を照合し、必要な催しの情報は主催者サイトでも確認することが大切です。