デジタル庁がホームページ運営に利用していたStudio株式会社のクラウド環境に第三者が不正アクセスし、問い合わせ情報などが外部に漏えいした可能性があります。対象候補には、氏名やメールアドレス、問い合わせ内容のほか、住所や電話番号を含む情報もあります。デジタル庁は対象範囲を精査しており、現時点で二次被害を確認していません。
問い合わせ情報など最大1万3000件超が対象候補
対象候補は、2021年5月から2023年3月までにデジタル庁のフォームへ送信された情報と、Studioアカウント情報です。一般的な意見・要望は最大8,833件、接種証明書アプリに関する問い合わせは最大3,661件、採用に関する問い合わせは最大250件です。
マイナちゃんの着ぐるみ借用に関する問い合わせは最大117件、ワークショップなどへの参加に関する情報は最大462件が対象候補です。これらのフォームでは、氏名やメールアドレスのほか、問い合わせ内容、電話番号、所属、送付先住所などが入力されていた場合、それらも含まれます。
このほか、デジタル庁職員または委託事業従事者の氏名とメールアドレスを含むStudioアカウント情報35件も対象候補です。フォームによって氏名やメールアドレスが任意記入の場合があり、対象範囲はいずれも精査中です。
外部からデータを取得できる状態が発生
Studioは、一部機能の脆弱性を悪用され、クラウド環境内のデータを外部から取得できる状態が2026年10月14日まで続いたと説明しています。同社は9月30日から10月1日に不正アクセスがあったと確認し、10月13日に社内調査で把握しました。13日から14日に脆弱性を修正し、アクセス経路を遮断しました。
Studioは、第三者がデータを取得したものとみなして対応しています。漏えいの可能性がある情報には、アカウント情報、フォーム回答、公開前ページのライブプレビューURL、外部サービスのAPIキーなどの認証情報が含まれます。
Studioは認証情報と暗号化鍵を新しいものへ切り替え、保存済みデータの再暗号化を進めています。データの改ざんや削除は確認されていないとして、調査を続けています。デジタル庁は、対象範囲の確定や二次被害の調査結果を判明次第知らせる方針です。
サービスに保存されたフォーム回答が影響
StudioのようなWeb制作サービスでは、利用者がサイトを作成・運営し、フォーム回答や設定情報の一部はサービス上に保存されます。Studioでは、フォーム送信内容やAPI連携の認証情報などが漏えいした可能性があります。対象となるフォーム回答は、Studio上に保存されていたものです。
利用者が作成したサイトの問い合わせフォームを通じて運営者が受け取った情報も、影響を受ける場合があります。Smart相談室は、自社サイトのフォームから送信された689人分の情報が対象となる可能性を公表しました。同社が提供する別のクラウドサービスに保存されたデータは、対象に含まれないとしています。
Studio上のフォームに保存された氏名、会社名、連絡先、問い合わせ内容などが対象候補です。対象情報はフォームや入力内容によって異なり、Smart相談室は利用アカウントのパスワード変更などを進めています。サービス提供者側の環境にある情報と、利用企業が別に管理するデータでは、影響範囲が異なります。
漏えい情報を使った不審な連絡に注意
氏名やメールアドレスと問い合わせ内容が結び付いていると、過去の問い合わせに触れ、本物らしく見せる連絡に悪用されるおそれがあります。英国の国家サイバーセキュリティセンター（NCSC）は、標的型フィッシングでは、組織や従業員について得た情報を使い、受信者が信じやすいメッセージを作る手口があると説明しています。メールやSMSのリンクから偽サイトへ誘導し、パスワードなどを入力させる手口もあります。
フィッシング対策協議会は、差出人を装ったメールや偽サイトへの誘導に関する利用者向け対策を示しています。デジタル庁は、同庁や関係機関を装ったメール、電話、SMSに注意し、身に覚えのない連絡のリンクや添付ファイルを開かないよう呼びかけています。また、パスワードやクレジットカード情報をメールや電話で尋ねることはないとしています。
NCSCは、利用者がすべてのフィッシングを見分けることを前提とせず、技術的な防御や迅速な対応も組み合わせる考え方を示しています。
