デジタル庁1万3323件漏えいか　住所入りは着ぐるみの117件だけ

デジタル庁が10月22日、問い合わせフォームに送られた情報が最大1万3,323件漏れた可能性があると発表した。サイトの一部で使っていたウェブ制作サービス「Studio」が不正アクセスを受けたためだ。対象は2021年5月から2023年3月までに入力された内容で、悪用による二次被害はまだ確認されていないという。

内訳は、一般的なご意見・ご要望が最大8,833件、接種証明書アプリ関連が最大3,661件、ワークショップ等の参加関連が最大462件、採用に関する問い合わせが最大250件。そしていちばん少ない117件が「マイナちゃん着ぐるみ借用」だ。

住所が入っていたのは、着ぐるみの117件だけ

発表には、フォームごとに漏れた項目も書いてある。一般的なご意見・ご要望と接種証明書アプリ関連は、氏名・メールアドレス・問い合わせ内容の3つ。採用はそこに電話番号、ワークショップは所属と電話番号が加わる。住所が入っていたのは、着ぐるみの117件だけだ。

なぜ着ぐるみに住所が要るのか。現物を送るからだ。デジタル庁のページでは、マイナちゃんの着ぐるみを借りられるのは地方公共団体とされている。いまの申し込み先は、Studioではない別のフォームに変わっている。

暗号化はしてあった。鍵も一緒に読み出された

Studioの説明では、不正アクセスがあったのは9月30日から10月1日。社内で気づいたのが10月13日で、13日から14日に穴をふさいだ。フォームの送信内容は暗号化して保存していたが、復号鍵も同じ不正アクセスで読み出されたという。Studioは10月17日に鍵を新しいものへ替え、個人情報保護委員会への報告を進めているとしている。

では、自分が入っているかはどう確かめるのか。発表には個別に連絡するとは書かれておらず、問い合わせ先としてデジタル庁の省庁統一ウェブサイト担当の電話とメールが載っている。あわせてデジタル庁は、身に覚えのないリンクやファイルを開かないよう呼びかけている。

ネットの評判

Xの投稿を集めたまとめサイトでは、デジタル庁への批判が並んでいる。「こんなレベルで国民情報デジタル化とかウケル」「もうデジタル庁いらんやろ…」といった声だ。マイナンバーカードと結びつけて「本人確認マイナンバーカードだけとか言ってるとこ増えたけど、大丈夫？」と心配する書き込みもある。

分かっていないことも残る。同じ人の重複を除いた実際の人数は何人か、3年以上前の送信内容がなぜ残っていたのか、今後消すのかは、発表に書かれていない。Studioは脆弱性の詳しい調査を外部の専門機関に頼んでいて、次の情報はそこから出てきそうだ。