デジタル庁は10月22日、公式サイトの問い合わせフォームに2021年5月から2023年3月まで入力された情報など、最大1万3323件が、ノーコードWeb制作サービス「Studio」への不正アクセスの影響で漏えいした可能性があると発表した。
事案の詳細
デジタル庁によると、Studioの運営元から10月16日に報告を受け、事案が発覚した。第三者がStudioのクラウド環境に不正アクセスし、データを外部から取得できる状態にしていたという。
漏えいした可能性があるのは、2021年5月から2023年3月までの間に、デジタル庁の公式サイト上の問い合わせフォームへ入力された情報で、最大1万3323件に上る。内訳は、「一般的なご意見・ご要望」が最大8833件、新型コロナの接種証明書アプリに関する問い合わせが最大3661件、ワークショップなどへの参加関連が最大462件、採用に関する問い合わせが最大250件、マスコットキャラクター「マイナちゃん」の着ぐるみ借用に関する問い合わせが最大117件となっている。
対象項目は氏名、メールアドレス、問い合わせ内容など。窓口によっては所属、送付先住所、電話番号も含まれる。氏名とメールアドレスは、利用者が任意で記入した場合に限られる。
このほか、デジタル庁職員や委託事業の従事者の氏名・メールアドレスを含むStudioアカウント情報35件も、漏えいした可能性がある。実際に第三者に取得された事実は確認されていないが、漏えいの範囲は現在精査中だという。1万3323件は区分ごとの最大件数を合計したもので、確定した件数や実際の人数ではない。10月22日の発表時点で二次被害は確認されておらず、デジタル庁は同庁を装うメールや電話、SMSに注意するよう呼びかけている。デジタル庁がメールや電話でパスワードなどを尋ねることはないとしている。
影響と背景
Studioによると、9月30日から10月1日にかけて、同社サービスの一部機能の脆弱性を突いた不正アクセスがあった。10月13日に社内調査で発覚し、13日から14日にかけて脆弱性を修正して侵入経路を遮断した。暗号化して保存していたフォームの回答を復号するための鍵も読み出されていたことから、同社は取得された事実は確認できていないものの、取得されたものとみなして対応している。10月17日にはフォームの暗号化鍵と外部サービスのAPIキーを新しいものに切り替えた。影響は退会者を含む全ての登録顧客に及ぶ可能性があるとしている。
今回の事案は、デジタル庁が公式サイトの運営の一部に利用していた外部サービス「Studio」が不正アクセスを受けたことが発端となった。問い合わせフォームで扱われる情報には、氏名や連絡先、所属、住所、電話番号、相談内容などが含まれる可能性があるため、実際の取得状況や個別情報への影響について、引き続き確認が必要となる。
公的機関の公式サイトは、手続きに関する質問や意見、各種申込みを受け付ける重要な窓口だ。今回の事案は、外部のWeb制作・フォームサービスを利用する場合、サービス提供元のクラウド環境やアカウント管理が、自組織の情報保護にも直接影響することを示している。
対策・今後の展望
- Studioを利用している場合の確認：自社サイトのフォームで受け取った情報のほか、Studioに登録していた外部サービスのAPIキー、Googleスプレッドシート連携の認証情報、Webhook URLなども影響を受けた可能性がある。Studioの案内を確認し、連携先の認証情報を再発行する。
- 外部サービス利用の棚卸し：問い合わせフォーム、申込フォーム、制作環境など、個人や企業から情報を受け取る仕組みと保存先を洗い出し、委託先・利用サービス・保有データを一覧化する。
- 送信データの最小化：フォームの必須項目を見直し、利用目的に不要な氏名、住所、電話番号などを求めない。問い合わせ内容に機密情報を記載しないよう案内する。
- 権限とアカウントの点検：Studioなど外部サービスのアカウントを含め、担当者の権限を必要最小限にする。退職者・異動者のアカウント、共有アカウント、多要素認証の設定も確認する。
- 保存期間と削除手順の見直し：フォームデータの保存期間を定め、不要になった情報を確実に削除する。バックアップや連携先に残るデータも対象にする。
- インシデント時の連絡手順の整備：サービス提供元から障害や不正アクセスの通知を受けた場合の確認事項、影響範囲の特定、本人への連絡、公表の手順をあらかじめ定める。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIの診断やMDR支援の現場では、Webサイトが外部のフォーム、制作ツール、解析サービスなどに分散して運用され、入力データの保存先や閲覧可能な担当者を把握できていない例があります。設定変更や不要な権限の放置が、情報閲覧につながるリスクとして残りがちです。
【観点②：平易な解説】例えるなら、受付に置いた問い合わせ箱を外部業者が管理する部屋に移したまま、鍵の管理を任せきりにするようなものです。自社サイトであっても、裏側のサービスやアカウントが狙われると、預かった内容が第三者に取得される危険があります。
【観点③：今週中にできること】まず自社のWebフォームがどのサービスで動き、入力内容がどこに保存されるかを確認してください。次に、管理画面へアクセスできる人と権限を洗い出し、不要なアカウントを削除または停止します。最後に、フォームの必須項目と保存期間を見直し、提供元の障害・不正アクセス告知を受け取れる連絡先を整備してください。
参照: デジタル庁、公式サイトへの問い合わせ最大1万3000件漏えいか Web制作ツール「Studio」不正アクセスで
参照: Studio：2026年10月の不正アクセスに関するよくある質問／デジタル庁：Studio株式会社における不正アクセスによる個人情報の漏えいの可能性について