デジタル庁は10月22日、ホームページ運営の一部に使っていたウェブサイト制作サービスの運営会社、Studio株式会社が第三者の不正アクセスを受け、同庁のホームページの問い合わせフォームに寄せられた内容などが外部に漏えいした可能性があると発表した。対象となり得るのは、2021年5月から2023年3月までに送られた問い合わせが最大で計1万3323件と、同庁職員や委託事業の従事者のStudioアカウントの情報35件。同庁は、悪用などの二次被害は「確認されていません」としている。
問い合わせは5種類、最多は「ご意見・ご要望」の8833件
デジタル庁の発表によると、Studio社から「第三者が同社のクラウド環境に不正にアクセスをし、環境内のデータを外部から取得できる状態にしていた」との報告があったのは10月16日。対象には、同庁の「デジタル改革関連法案準備室」の利用分も含まれる。
漏えいした可能性がある問い合わせは、フォームの種類ごとに次のとおり。範囲は「現在精査中」で、いずれも最大の件数として示されている。
| 問い合わせの種類 | 件数（最大） | 主な項目 |
|---|---|---|
| 一般的なご意見・ご要望 | 8,833件 | 氏名、メールアドレス、問い合わせ内容 |
| 接種証明書アプリ | 3,661件 | 氏名、メールアドレス、問い合わせ内容 |
| ワークショップ等の参加関連 | 462件 | 氏名、メールアドレス、所属、電話番号等 |
| 採用 | 250件 | 氏名、メールアドレス、電話番号、問い合わせ内容 |
| マイナちゃんの着ぐるみの借用 | 117件 | 氏名、メールアドレス、所属、送付先住所、電話番号等 |
5種類を合わせると最大1万3323件になる。氏名やメールアドレスは任意の記入欄で、書かれていた場合に限って対象になる。このほか、同庁職員または同庁の委託事業に従事する人のStudioアカウントの氏名とメールアドレス35件も対象になり得る。
侵入は9月30日〜10月1日、発覚まで2週間近く
Studioは、プログラムを書かずに画面上の操作でウェブサイトを作り、公開まで行える「ノーコード」型のサービス。問い合わせフォームの設置や、記事を管理するCMSの機能を備え、同社はコーポレートサイトや採用サイト、自治体のサイトなどを用途に挙げている。
同社が10月16日に公開し、18日に更新した「第一報」によると、第三者が「Studioの一部機能の脆弱性」を悪用して同社のクラウド環境に不正にアクセスし、データを外部から取得できる状態にしていた。現時点で確認できている不正アクセスの期間は日本時間の9月30日から10月1日。同社が社内の調査でこれを確認したのは10月13日で、13日から14日にかけて脆弱性を修正し、侵入に使われた経路を塞いだ。外部から取得できる状態は、この対処まで続いていた。
同社は「実際に第三者に取得された事実は確認できておりません」としつつ、「取得されたものとみなして対応を進めております」と説明している。フォームの回答で対象になるのは、Studioに保存されていたもの。ゴミ箱に移しただけの回答も含まれ、9月30日より前に「完全に削除」した回答は含まれない。
暗号化の鍵も読み出され、全利用者が対象に
Studio社によると、流出した可能性があるのは「Studioにご登録いただいているすべてのお客様」の情報だ。アカウントのユーザー名、メールアドレス、ハッシュ化されたパスワードのほか、利用者がStudio上で管理するデザインやCMSの内容、フォームに送信された内容、外部サービスと連携するためのAPIキーやトークン、パスワード保護ページのパスワードなどが含まれる。
フォームの送信内容やAPIキーは暗号化して保存していたが、同社は「復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があります」としている。一方、パスワードは元の文字列を割り出しにくいハッシュ化の形で保存しており、平文では保存していなかった。それでも「可能性を完全には否定できない」として、利用者にパスワードの変更を求めている。
デジタル庁のように、Studioで作ったサイトにフォームを置き、市民や顧客から問い合わせを受けていた運営者は、送信者の個人情報も預けていたことになる。対象件数について同社は「精査のうえ続報でお知らせいたします」としており、10月26日時点で全体の件数は公表されていない。ほかにどの官公庁や企業が影響を受けたかも、同社は明らかにしていない。
デジタル庁は9月11日にも、同庁が運用する「ガバメントソリューションサービス（GSS）」への不正アクセスで、各府省庁の職員らの個人情報を含むファイルが漏えいした可能性を公表している（デジタル庁の政府共通システムに不正アクセス 職員ら24万6000件の個人情報が漏えいの可能性 VPNの欠陥突かれる）。今回は同庁が運用するシステムではなく、外部のサービスに預けていたデータが対象になった。
個人情報保護委への報告、Studioが「連名」で取りまとめ
個人情報保護委員会によると、不正の目的をもって行われたおそれがある行為による漏えい（そのおそれを含む）は、委員会への報告が義務づけられている。盗難など第三者による行為も含まれる。報告は、発覚したらまず速やかに行い、不正な目的によるおそれがある場合は発覚日から60日以内とされている。
Studioのフォームで個人情報を受け取っていたサイトの運営者も、報告の当事者になり得る。同社は10月17日、運営者に報告をいったん保留するよう求めたうえで、20日に、同委員会と協議した結果を案内した。運営者は自ら個別に報告するか、同社が取りまとめて運営者と同社の「連名」で報告するかを選べる。連名の方法で報告した場合は「本件事案に限り、速報の目安の期間を超過した場合でも報告遅延としては取り扱わない」とされた。ただし、連名報告に含まれるのは委員会への報告だけで、フォームを送信した本人への通知は運営者側が判断する。
同社は10月21日夜から22日未明にかけて緊急メンテナンスも実施した。当初は予防措置として公開サイトには影響しないと告知していたが、実際には「攻撃に使われうる通信」を止めるため公開サイト向けの機能も停止し、22時26分から翌4時5分までフォームが送信できない状態になっていた。
庁や会社を装う連絡に注意、パスワードの使い回しも見直しを
デジタル庁は、対象となり得る人に向けて、同庁や関係機関を装った不審なメール、電話、SMSに注意するよう呼びかけた。身に覚えのない連絡にあるリンクや添付ファイルを開かず、パスワードやクレジットカード情報を入力しないよう求めている。同庁がこうした情報をメールや電話で尋ねることはないという。問い合わせ先は、同庁の国民向けサービスグループ省庁統一ウェブサイト担当。
Studio社は利用者に対し、パスワードの変更に加え、他のサービスで同じパスワードを使っている場合はそちらも変更するよう「強くおすすめ」している。公開前のページを確認するための「ライブプレビュー」のURLの削除と再発行、API連携やWebhook通知を使う利用者にはキーや通知先の切り替えも求めた。同社は鍵を10月17日に新しいものへ切り替えたが、「不正アクセスの時点で取得された可能性のある情報を守ることはできない」としている。
原因の詳しい調査は外部の専門機関に依頼する方向で調整しており、対象の範囲と件数、二次被害の有無、原因と再発防止策は、確認が取れ次第、続報で知らせるとしている。