デジタル庁の問い合わせフォーム情報 最大約1.3万件が流出か 委託先Studioの不正アクセスで判明

デジタル庁の公表によると、問題が判明したのは10月16日、ホームページ運営の一部を委託していたクラウドサービス提供企業「Studio」から不正アクセスの報告を受けたことが発端である。影響の可能性があるのは、デジタル庁HPの問い合わせフォームに入力された情報で、最大約1万3,000件。対象期間は2021年5月から2023年3月で、意見・要望などを送信した人の氏名やメールアドレスなどが含まれるという。

Studioは、9月30日から10月1日にかけて自社クラウド環境への不正アクセスを確認し、顧客データやAPIキーなどが流出した可能性を10月20日に公表していた。今回のデジタル庁の公表は、この委託先被害の波及先として政府機関側で判明したものだ。古川デジタル大臣は「実際に漏えいがあったか否かは不明で、Studio社に対して報告を求めている」と述べている。

本件は、事業者単体の被害にとどまらないサプライチェーン経由の情報漏えいが政府機関にも及んだ点で重要だ。問い合わせフォームという一見たいしたことのない入口にも氏名・メールアドレスが蓄積しており、委託先・SaaS側の侵害がそのまま官公庁の情報開示・謝罪事案に発展した。近年は委託先やクラウドサービスを経由した侵害が企業・自治体で相次いでおり、発注者側のリスク管理(委託先の侵害通知を受けた後の影響範囲特定と速やかな公表)が問われている。

2021年5月から2023年3月にデジタル庁HPへ問い合わせをしたことがある人は、同庁の公表ページで最新情報を確認してほしい。氏名・メールアドレスの組み合わせは詐欺メールの宛先として悪用されやすく、官公庁をかたる不審なメールには注意が必要だ。