デジタル庁は10月22日、ホームページ運営の一部に使っていたウェブ制作サービス Studio のクラウド環境が第三者に不正アクセスされ、2021年5月から2023年3月までに同庁サイトの問い合わせフォームへ入力された情報が漏えいしたおそれがあると発表した。フォームごとの最大件数を足すと1万3,323件になる。
デジタル庁 発表 10月22日 (対象フォーム・最大件数・項目・注意喚起)デジタル庁
名前やメールアドレスを書いて送った人にとって、3年以上前の入力が今になって問われている。まず確かめたいのは、自分がその期間にデジタル庁へ何かを問い合わせたかどうかだ。
対象になりうるフォームと項目
デジタル庁の発表によると、対象は次の5種類のフォームで、項目は入力欄に任意で書いた場合に限られる。
- 一般的な意見・要望: 最大8,833件 (氏名、メールアドレス、問い合わせ内容)
- 接種証明書アプリに関する問い合わせ: 最大3,661件 (氏名、メールアドレス、問い合わせ内容)
- ワークショップなどの参加関連: 最大462件 (氏名、メールアドレス、所属、電話番号など)
- 採用に関する問い合わせ: 最大250件 (氏名、メールアドレス、電話番号、問い合わせ内容)
- マイナちゃんの着ぐるみの借用: 最大117件 (氏名、メールアドレス、所属、送付先住所、電話番号など)
件数はどれも「最大」で、重複があるかどうかは分からない。ほかに、Studio のアカウント情報として職員や委託事業の従事者35件の氏名とメールアドレスも含まれる。悪用などの二次被害は、現時点で確認されていないという。
不正アクセスを受けたのは、利用先のウェブ制作サービス
Studio は、プログラムを書かずにウェブサイトを作れる国内のサービスで、問い合わせフォームの機能も持つ。Studio の案内によると、第三者が一部機能の脆弱性を突き、9月30日から10月1日にかけて環境内のデータを外から取得できる状態にしていた。10月13日に社内調査で見つかり、13〜14日に修正したという。実際に取得された証拠は見つかっていないが、取得されたものとみなして対応している。
影響はデジタル庁に限らない。埼玉県も10月16日、さいたま緑の森博物館のイベント申込と問い合わせで集めた162件に漏えいの可能性があると公表した。Studio で作ったフォームを使っていたサイトは、自治体などにも広がっている。
Studio によると、対象になりうるのは Studio に保存されていたフォームの回答で、外部のフォームサービスへ直接送られた回答は含まれない。どのサイトのフォームが Studio 製だったかは、送った側からは見分けにくい。
入力したかもしれない人が、今できること
デジタル庁が求めているのは、同庁や関係機関を名乗る不審なメール・電話・SMS に注意し、身に覚えのない連絡のリンクや添付ファイルを開かず、パスワードやクレジットカード情報を入力しないことだ。同庁は、メールや電話でこうした情報を尋ねることはないと明記している。
流れ出たおそれがあるのは、名前と連絡先、そして自分が何を問い合わせたかだ。接種証明書アプリについて質問した、採用に応募しようとした、といった中身を知っている相手からの連絡は、本物らしく見えやすい。手口が具体的であるほど、一度立ち止まる価値がある。
一方で、できないこともある。デジタル庁の発表には、対象者へ個別に連絡するかどうかは書かれていない。範囲は「精査中」とされ、自分の入力が含まれていたかを本人が照会する手順も示されていない。思い当たる人が問い合わせるなら、発表に載っている同庁の省庁統一ウェブサイト担当の窓口になる。
次に確かめたいのは、デジタル庁の同じ発表ページで範囲の精査結果が示されるかどうかと、Studio のお知らせページで対象アカウント数や原因調査の結果がいつ公表されるかだ。
ことば
- 外部サービス — サイトの運営者が自前で作らず、外の会社から借りて使う仕組み。フォームの回答はその会社の環境に保存されることがあり、今回のように借り先で起きた事故が利用者の情報に及ぶ。
- 二次被害 — 漏れた情報を使って、なりすましの連絡や詐欺、不正ログインなどが起きること。漏えいそのものより後に、時間を置いて表に出ることがある。
数年前にどこかのサイトへ送った問い合わせを、あなたはいくつ思い出せるだろうか？
