東京都小平市の公式ホームページが、10月7日朝から閲覧できない状態になっている。市は10月8日、ホームページの保守管理を受託している事業者が利用するクラウド基盤サービスが、第三者によるランサムウェア攻撃を受けたことが原因だと公表した。問い合わせフォームなどに入力された氏名、住所、電話番号、メールアドレスが漏えいしたおそれがあるとしている。
事案の詳細
市は10月7日午前8時47分、公式Xで、システムトラブルによりホームページが閲覧できなくなっていると告知した。翌8日午前8時30分には、原因が委託先の利用するクラウド基盤へのランサムウェア攻撃であると公表した。クラウド基盤の事業者は、被害の拡大を防ぐためにネットワークを遮断したという。市は、委託先やクラウド事業者の名称を明らかにしていない。
影響を受けているのは次のサイト・サービスである。
- 小平市公式ホームページ（メンテナンス案内が表示される状態）
- 小平市議会のホームページ（議会中継は別の視聴先を案内）
- 粗大ごみの事前申し込みページ（電話での申し込みを案内）
漏えいのおそれがあるのは、問い合わせフォームなどに入力された氏名、住所、電話番号、メールアドレスなど。市の発表時点では、実際の漏えいは確認されていない。市は被害状況を確認しており、公式Xで障害情報や代わりの問い合わせ手段（市役所代表電話など）を案内している。10月16日時点で、復旧の見通しは示されていない。
影響と背景
今回の特徴は、攻撃を受けたのが市のシステムそのものではなく、ホームページの保守を委託した事業者が使うクラウド基盤だった点にある。自治体や企業のWebサイトは、制作・保守を外部に委託し、その事業者がさらに外部のクラウドを利用する、という多層の構造になっていることが多い。発注者から直接見えない層で起きた事故でも、住民向けの情報発信や手続きが止まり、入力された個人情報の管理責任も問われる。
ホームページは、災害時や緊急時に住民が最初に確認する情報源でもある。今回、市は公式Xで情報発信を続けているが、サイトが長期間止まった場合の代替手段をあらかじめ決めておくことの重要性を示した事案といえる。委託先・外部サービスを経由した被害の構造は「一つの侵入が何十社にも波及する――サプライチェーン経由の情報漏洩が急増する理由」で解説している。
対策・今後の展望
- 住民の立場で：小平市のホームページの問い合わせフォームなどを利用したことがある場合は、市を名乗る不審なメールや電話に注意する。市からの正式な案内は、公式Xや代表電話で確認できる。
- 発注者（自治体・企業）の立場で：Webサイトの委託先が、どのクラウドやサーバーを使っているかを把握しておく。フォームで集めた個人情報がどこに、いつまで保存されているかも確認したい。
- 止まった時の代わりを用意する：公式SNSや簡易な代替ページなど、ホームページが使えない間の情報発信手段を事前に決め、担当者と手順を共有しておく。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが中小企業や団体の外部攻撃面を調べると、「ホームページは制作会社に任せているので、どこのサーバーで動いているか分からない」という回答が少なくありません。問い合わせフォームのデータが何年分もサーバーに残っていたり、委託先が契約終了後もアクセス権を持ち続けていたりする例もあります。
【平易な解説】自分の家の鍵はしっかり管理していても、合鍵を預けた管理会社の事務所が荒らされれば、家に被害が及ぶことがあります。今回は、市が直接管理していない「委託先が使っているクラウド」が狙われ、市のホームページが止まりました。
【今週中にできること】自社や団体のWebサイトについて、①どの委託先が保守しているか、②どのサーバー・クラウドで動いているか、③フォームで受け付けた個人情報がどこに保存され、何日で消えるか、の3点を委託先に確認してください。答えがすぐに返ってこない場合は、委託契約にセキュリティ事故時の報告義務と連絡体制を盛り込むことから始めましょう。