総務省は10月16日、「フロンティアAI時代の通信事業におけるデータの保護・セキュリティの在り方に関する検討会」を開くと発表した。通信事業者で大規模なデータ漏えい事案が起きたことを踏まえ、高性能なAIの登場や、通信サービスのソフトウェア化・クラウド化といった環境の変化に合わせた「包括的かつ実効的な対策や制度の在り方」を検討する。第1回会合は10月22日に開き、2027年夏ごろをめどに取りまとめる予定だ。
事務局は総合通信基盤局電気通信事業部の利用環境課が務める。大学の研究者や弁護士、消費者団体の代表ら11人が構成員となり、通信業界の団体や関係省庁がオブザーバーとして加わる。
技術・体制・規制の3本柱
報道資料が示した「当面の検討事項案」は3つある。1つ目は「フロンティアAI時代において求められる技術面の対策の在り方」、2つ目は「新たな通信エコシステムを踏まえた体制面の対策の在り方」、3つ目は「包括的かつ実効的な対策を可能とする規制の在り方」だ。
フロンティアAIは、開発の最前線にある高性能なAIを指す言葉として使われている。報道資料はこの語の定義や、AIがどのような脅威をもたらすと見ているかまでは書いていない。ただ、検討の目的の中で、AIの登場を通信サービスのソフトウェア化・クラウド化と並ぶ「環境変化」の筆頭に挙げ、検討事項の1つ目に「技術面の対策」を置いた。
2つ目の「新たな通信エコシステム」は、通信サービスのソフトウェア化・クラウド化を受けた言い回しだ。かつて通信事業者は自前の専用設備でサービスを動かしていたが、いまは汎用のソフトウェアやクラウド基盤、外部の事業者が提供するシステムを組み合わせることが増えている。1社の中で完結しない分、誰がどこまで責任を持つのかという「体制」の問題が生じる。
3つ目は規制そのものの見直しに踏み込む項目である。通信事業者を縛る電気通信事業法は、第4条第1項で通信の秘密の保護を定め、漏えいがあった場合には総務省への報告を義務付けている。後述する近年の漏えい事案では、総務省はいずれも事案の後に報告を受け、文書による行政指導で再発防止を求めてきた。検討事項は、その規制の枠組み自体を「在り方」として問い直すものになっている。
検討会は10月22日の初会合のあと順次開かれ、2027年夏ごろをめどに取りまとめる。検討事項に「規制の在り方」が明記されており、通信事業者に新たな義務がかかるかどうかが焦点になる。取りまとめの中身次第で、制度の改正につながる可能性がある。
利用者にとっては、メールや通信の記録といった最も私的な情報を預ける先の守りがどう変わるのかが問われる議論となる。
構成員は11人、業界5団体と3省庁が参加
総務省が別紙で示した構成員（五十音順）は次の11人である。中央大学国際情報学部長の石井夏生利氏、京都大学経営管理大学院客員教授の上田亮子氏、早稲田大学理工学術院教授の内田真人氏、弁護士の加藤瑛子氏（森・濱田松本法律事務所外国法共同事業）、主婦連合会会長の河村真紀子氏、慶応大学XDignityセンター副代表の黒坂達也氏、東京大学大学院法学政治学研究科教授の宍戸常寿氏、国際社会経済研究所特別研究主幹の布施哲氏、東京科学大学工学院准教授の宮田純子氏、横浜国立大学大学院環境情報研究院教授の吉岡克成氏、慶応大学大学院法務研究科教授の渡井理佳子氏。
座長は別紙に記載がなく、第1回会合で決まるとみられる。法律、通信工学、セキュリティ、消費者保護と、専門の異なる顔ぶれをそろえた。
オブザーバーには、テレコムサービス協会、電気通信事業者協会（TCA）、日本インターネットプロバイダー協会（JAIPA）、日本ケーブルテレビ連盟（JCTA）、ICT-ISACの5団体が入る。行政からは内閣官房国家サイバー統括室、個人情報保護委員会事務局、経済産業省が加わる。プロバイダーやケーブルテレビの業界団体も含め、通信事業の担い手の団体が幅広く参加する。
762万人分のメールが閲覧可能に
総務省は報道資料で、設置の理由に「通信事業者における大規模なデータ漏えい事案の発生」を挙げたが、個別の事案名は記していない。今年夏に総務省が通信の秘密の漏えいで行政指導した事案に、KDDIのケースがある。
総務省の発表によると、KDDIが複数のインターネットサービスプロバイダー（プロバイダー）向けに提供するメールシステムで、2026年5月16日から6月17日にかけて外部からの不正アクセスがあった。利用者のメールアドレスやログイン用のパスワードなどが漏れ、パスワードを盗んだ第三者が約762万人分のメールボックスの中身を見られる状態になっていた。
総務省は6月24日、電気通信事業法第166条第1項に基づき、発生原因や利用者対応について7月6日までに報告するよう同社に求めた。報告を受け、7月29日に「厳重に注意する」との文書で行政指導した。
指導文書は、原因を、導入していたソフトウェアの脆弱性（プログラムの弱点）を突かれたことに「複数のセキュリティ上の問題点が重なった」ためとした。メールシステムには本来「多層的な防御態勢」が敷かれるべきなのに機能しなかったと指摘し、漏れたパスワードが暗号化などの措置をとらずに保存されていたことを「看過できない」とした。最初に気付いたプロバイダー1社から第一報を受けてから公表まで22日かかった点も「迅速な対応とは言い難い」と批判した。
そのうえで、多層防御の再検討を含む再発防止策の徹底と加速、初動対応や経営層への報告体制の点検を含む全社的な体制改善、利用者への情報提供の継続などを求めた。対応状況は8月31日までに報告させ、その後も指導の日から少なくとも1年間、四半期ごとに報告するよう求めている。
指導が続いた1年余り
通信の秘密の漏えいをめぐる行政指導は、KDDIの件の前にも続いていた。
| 指導日 | 相手 | 事案の概要 |
|---|---|---|
| 2025年7月18日 | インターネットイニシアティブ（IIJ） | 法人向けメールサービスへの不正侵入による情報流出 |
| 2025年8月19日 | 楽天モバイル | 利用者向けサイトのIDとパスワードが第三者に入手され、通信の秘密が閲覧可能に |
| 2026年7月29日 | KDDI | プロバイダー向けメールシステムへの不正アクセスで約762万人分が閲覧可能に |
IIJの件では、法人向け電子メールサービス「IIJセキュアMXサービス」で2024年8月3日から2025年4月17日にかけて不正侵入による流出が起きた。総務省は再発防止に加え、「業界全体の将来的なサイバーセキュリティ水準の向上」に向けた取り組みも求めた。
楽天モバイルの件では、同社が遅くとも2025年2月27日までに漏えいを把握していながら、総務省への第一報が6月17日になった。総務省は、遅滞なく漏えい報告書を出すよう定めた電気通信事業法第28条第1項第2号イへの違反と認定した。KDDIへの指導文書も、セキュリティ事案の脅威が増す中で「同様の事態が発生する可能性は否定できない」とし、業界横断の取り組みが望ましいと書いている。IIJへの指導でも業界全体の水準向上を求めており、個社への指導に業界全体への要請を添える形が続いていた。
漏えいは通信業界に限らない。総務省は10月9日、個人情報を大量に扱う事業者の情報システムが不正アクセスで侵入される事案が「相次いで確認されています」として、所管事業者と関係団体に注意喚起した。内閣官房国家サイバー統括室が出した注意喚起と同じ内容で、脆弱性への迅速な対応や多要素認証の強化などを、委託先を含めて徹底するよう求めている（大規模漏えい相次ぎ、国と専門機関が3日で注意喚起 委託先の点検や不要データの消去を要求）。スマートフォンアプリの解析を足がかりにサーバーが攻撃される手口も報告されている（相次ぐ情報漏えい、原因の一つは「アプリ解析からのサーバ攻撃」 NICTが特定）。