2025年7月、自治体向け電子申請システム「LoGoフォーム」への不正アクセス事件が発生し、399名の個人情報が漏洩した可能性があることが判明しました。現役CSIRTとして数多くのインシデント対応を経験してきた立場から、この事件の詳細と企業・個人が取るべき対策について解説します。
LoGoフォーム不正アクセス事件の概要
株式会社トラストバンクが提供する自治体向けノーコード電子申請システム「LoGoフォーム」で、7月10日未明から11日昼にかけて大規模な不正アクセスが発生しました。
攻撃の手口と規模
今回の攻撃は典型的なパスワードスプレー攻撃でした。攻撃者は多数のメールアドレスとパスワードの組み合わせを使用し、システムへのログインを試行。この手法は、一つのアカウントに対して何度もパスワードを試すブルートフォース攻撃とは異なり、アカウントロックを回避しながら多数のアカウントに対して攻撃を仕掛ける手法です。
フォレンジック調査の経験上、このような攻撃では事前に他のサービスから流出したメールアドレスとパスワードのリストが使用されることが多く、実際に同社は「同社から利用者のメールアドレス・パスワードが流出した形跡はない」と発表しています。
被害状況の詳細
- 影響人数：399名（7月12日午前11時5分時点）
- 漏洩可能性のある情報：氏名、住所、電話番号、生年月日、性別、メールアドレス
- 攻撃期間：7月10日未明〜11日昼
- 発覚・対応：7月11日午後9時50分頃から個別連絡開始
被害拡大の実態：複数自治体への影響
この事件の深刻さは、単一企業の問題に留まらず、LoGoフォームを利用する複数の自治体に被害が波及したことです。
各自治体の被害状況
- 東京都：111名の利用者情報漏洩の可能性
- 東京都大田区：1名の利用者情報漏洩の可能性
- 東京都中央区：5名の利用者情報漏洩の可能性
- 東京都昭島市：漏洩人数は公表されていないが被害確認
実際のインシデント対応現場では、このようなサプライチェーン攻撃による被害拡大をよく目にします。一つのサービス提供者がターゲットになることで、そのサービスを利用する全ての組織に影響が及ぶのです。
フォレンジック分析から見える攻撃の特徴
今回の事件をフォレンジックの観点から分析すると、以下の特徴が見えてきます。
1. 計画的な攻撃実行
約1日半にわたる継続的な攻撃は、自動化ツールを使用した組織的な犯行であることを示唆しています。個人のハッカーではなく、サイバー犯罪グループによる可能性が高いでしょう。
2. 認証突破後の情報収集
ログインに成功した後、攻撃者は利用者アカウント登録情報を閲覧していました。これは単なる侵入テストではなく、明確に個人情報の窃取を目的とした攻撃です。
3. 検知・対応の遅れ
攻撃開始から発覚・対応まで約2日間を要している点は、監視体制の不備を示しています。現代のサイバー攻撃では、初期段階での検知が被害の最小化に不可欠です。
企業が学ぶべき教訓と対策
この事件から、企業は以下の重要な教訓を学ぶべきです。
1. 認証システムの強化
パスワードのみの認証では不十分です。多要素認証（MFA）の導入は必須であり、特に機密情報を扱うシステムでは二要素認証以上の実装が求められます。
2. 異常検知システムの構築
大量のログイン試行を検知し、自動的に対処するシステムの導入が必要です。これにはWebサイト脆弱性診断サービス
のような専門的な脆弱性診断サービスの活用も有効です。
3. インシデント対応計画の策定
攻撃を受けた際の対応手順を事前に定め、定期的な訓練を実施することが重要です。今回のように発覚から対応まで時間がかかると、被害が拡大してしまいます。
個人ユーザーができる対策
企業側の対策だけでなく、個人ユーザーも自衛策を講じる必要があります。
1. パスワード管理の徹底
今回の攻撃では、他のサービスから流出したパスワードが使用された可能性があります。各サービスで異なる強固なパスワードを使用し、定期的な変更を心がけましょう。
2. セキュリティソフトの活用
個人情報の漏洩は、フィッシング攻撃やマルウェア感染のリスクを高めます。アンチウイルスソフト
の導入で、これらの脅威から身を守ることが重要です。
3. VPNの利用
公共Wi-Fiや不安定なネットワーク環境での申請システム利用時は、VPN
を使用して通信を暗号化し、中間者攻撃を防ぎましょう。
今後の課題と展望
この事件は、日本のデジタル行政推進における重要な課題を浮き彫りにしました。
自治体システムのセキュリティ強化
自治体が利用するシステムには、住民の重要な個人情報が集約されています。今回のような事件を防ぐためには、サービス提供者の選定基準にセキュリティ要件を厳格に盛り込む必要があります。
特に、クラウドサービスを活用する際は、セキュリティ認証（ISO27001、SOC2など）の取得状況や、定期的なペネトレーションテストの実施状況を確認することが重要です。
情報共有体制の構築
今回、複数の自治体が同じサービスの被害を受けました。このような事態では、迅速な情報共有により他の自治体の被害を最小化できる可能性があります。
CSIRTが推奨する緊急対策
LoGoフォームを利用していた方、または類似のサービスを利用している方は、以下の対策を即座に実施してください。
- パスワードの即座変更：LoGoフォームのパスワードを変更し、同じパスワードを使用している他のサービスも変更
- 不審なメール・電話への警戒：漏洩した個人情報を悪用したフィッシング攻撃に注意
- クレジットカード情報の監視：個人情報を悪用した不正利用がないか定期的に確認
- 身に覚えのない申請の確認：なりすましによる不正申請がないか関連自治体に確認
まとめ：サイバーセキュリティは全員の責任
LoGoフォーム不正アクセス事件は、現代のサイバー攻撃の巧妙さと、その影響の広範囲性を示す典型的な事例です。企業、自治体、個人それぞれが適切なセキュリティ対策を講じることで、このような被害を最小限に抑えることが可能です。
特に個人情報を扱うシステムを運用する組織は、今回の事件を教訓として、セキュリティ投資を惜しまない姿勢が求められます。Webサイト脆弱性診断サービス
による定期的な脆弱性診断や、アンチウイルスソフト
・VPN
を活用した多層防御の構築は、もはや選択肢ではなく必須要件と言えるでしょう。
サイバーセキュリティは一度対策を講じれば終わりではありません。常に進化する脅威に対応するため、継続的な改善と警戒が不可欠です。今回の事件を機に、あなたの組織、そして個人のセキュリティ対策を見直してみてはいかがでしょうか。
一次情報または関連リンク
ScanNetSecurity – LoGoフォーム不正アクセス事件報告
