外務省に不正アクセス、氏名やメールアドレス約3600件漏えいの可能性　7月に検知

外務省は10月30日、省が運用する、外部とやり取りできるネットワークが不正アクセスを受け、そこで扱っていた個人情報を含むメールなどの一部が外部に漏えいした可能性があると発表した。漏えいした可能性があるのはメールアドレスや氏名など約3600件で、うち約900件は外務省員以外の人の情報だという。不正アクセスは7月27日に検知し、その時点で遮断した。機密性の高い情報を扱う省内の閉域ネットワークや、旅券などを扱う領事システムは対象になっていないとしている。

7月27日に検知、外部の専門事業者と調査

発表によると、外務省は7月27日、外部とやり取りできるネットワークへの不正アクセスを検知した。直ちに不正アクセスを遮断し、認証情報を無効にするなどの措置をとり、それ以降の不正アクセスを防いだという。その後、外部の専門事業者の協力を得て調べた結果、個人情報が外部に漏えいした可能性があることを確認した。

検知から公表までは95日あった。発表は、侵入の手口や攻撃者、どのメールがどの経路で持ち出されたのかには触れていない。省は「関係の皆様に多大な御迷惑と御心配をおかけし、誠に申し訳ありません」と陳謝した。

再発防止策としては、アクセス制御と認証方法の見直し、監視の強化、職員への情報セキュリティ教育の再徹底を挙げた。問い合わせは大臣官房情報システム総括課が受け付ける。

閉域網と領事システムは対象外、対象者に個別連絡

外務省のネットワークは2系統に分かれている。機密性の高い情報を外務省員の間だけでやり取りする閉域ネットワークと、省外とやり取りできるネットワークで、今回不正アクセスを受けたのは後者だ。

省は、閉域ネットワークではなかったものの、念のため漏えいした可能性のある情報の中身を確認し、機密性の高い情報が含まれていたことは確認されなかったと説明している。

旅券（パスポート）の申請や、海外渡航者が滞在先を登録する「たびレジ」の情報を扱う領事システムについても、今回のネットワークとは別に構築されており、不正アクセスの対象ではないとした。旅券やたびレジに登録した人の情報は、発表の範囲では今回の約3600件に含まれていない。

外務省は、漏えいした可能性がある個人情報の対象者を特定したうえで、個別に連絡するとしている。現時点で悪用などの二次被害は確認されていない。

ただ、漏えいした可能性があるメールアドレスや氏名が、なりすましメールやフィッシングメールに使われるおそれがあるとして、外務省や外務省員を装った不審なメール・電話・SMSに注意するよう呼びかけた。身に覚えのないメールのリンクや添付ファイルを開かないこと、パスワードなどの認証情報やクレジットカード情報を入力しないことを求めている。外務省がこれらの情報をメールや電話で尋ねることはないという。

漏えいの可能性がある約3600件のうち、約2700件は外務省員の情報にあたる。省外の約900件がどのような立場の人なのかは、発表には書かれていない。

行政機関には個人情報保護委員会への報告義務

国の行政機関で個人情報が漏えいした場合の手続きは、個人情報保護法が定めている。同法68条は、個人の権利や利益を害するおそれが大きい漏えいが起きたとき、行政機関の長に、個人情報保護委員会への報告と本人への通知を義務づけている。

どの事態が報告の対象になるかは同法の施行規則43条が決めている。不正の目的で行われたおそれのある行為による漏えいや、本人の数が100人を超える漏えいは、いずれも対象だ。施行規則44条は、事態を知った後「速やかに」報告したうえで、不正の目的による漏えいの場合は知った日から60日以内に、詳しい内容を改めて報告するよう求めている。

今回の外務省の発表は、個人情報保護委員会への報告の有無や時期には触れていない。

政府機関と企業で漏えいが相次ぐ

国の機関では9月にも同様の発表があった。デジタル庁は9月11日、各府省庁が使う共通の業務システム「ガバメントソリューションサービス（GSS）」が不正アクセスを受け、職員らの個人情報約24万6000件が漏えいした可能性があると発表した。6月25日に不審なアクセスを検知し、7月9日にネットワーク機器（VPN）の脆弱性を突かれた侵入と判明したという（経緯はデジタル庁の政府共通システムに不正アクセス　職員ら24万6000件の個人情報が漏えいの可能性　VPNの欠陥突かれる）。今回の外務省の発表は、GSSの件との関係には触れていない。

民間でも被害が続いている。JPCERTコーディネーションセンターは10月8日、9月前後から国内組織で不正アクセスによる個人情報の漏えい被害が相次いでいるとして注意喚起を出した（詳しくはJPCERT/CC、AI侵入試験ツールを悪用した攻撃を追加　相次ぐ不正アクセスの注意喚起）。個人情報保護委員会も10月7日に注意喚起を公表している。内閣官房国家サイバー統括室は10月9日付の文書で、大量の個人情報を扱う事業者などのシステムが侵入され、データが盗まれる事案を複数確認したとして、多要素認証の導入や、委託契約に不正アクセス時の報告義務を盛り込むことなどを求めた。厚生労働省は10月30日、この文書を所管の事業者などに改めて周知した。

日付	出来事
6月25日	デジタル庁がGSSへの不審なアクセスを検知
7月27日	外務省が省のネットワークへの不正アクセスを検知
9月11日	デジタル庁がGSSの約24万6000件の漏えいの可能性を発表
10月7日	個人情報保護委員会が大規模な漏えいを踏まえ注意喚起
10月8日	JPCERT/CCが国内組織への不正アクセスの相次ぐ被害で注意喚起
10月9日	国家サイバー統括室が対策の徹底を求める文書
10月30日	外務省が約3600件の漏えいの可能性を発表

出典: 外務省、デジタル庁、個人情報保護委員会、JPCERT/CC、内閣官房国家サイバー統括室（厚生労働省掲載）の各発表

国会でも対応を求める声が出ている。立憲民主党は10月30日、古川俊治デジタル大臣・サイバー安全保障担当大臣に、被害の実態把握や情報共有体制の強化など4項目の緊急要請を行った。同党の発表によると、古川氏は委託先を含むサプライチェーン全体の対策について、来年3月をめどにガイドラインをまとめる考えを示し、来週にも対策のパッケージをまとめる決意を述べたという。