2025年9月16日、国土交通省近畿地方整備局から衝撃的な発表がありました。同局のネットワークに不正アクセスがあり、ネットワークで接続されている内閣府沖縄総合事務局の職員約1,200人分の個人情報が漏えいした可能性があることが判明したのです。
政府機関への攻撃は決して他人事ではありません。現役CSIRTとして数多くのインシデント対応に携わってきた私が、今回の事案の詳細と、個人・企業が今すぐ取るべきセキュリティ対策について解説します。
事案の詳細：ネットワーク接続が仇となった
今回の事案で特に注目すべきは、攻撃対象となった近畿地方整備局のネットワークに接続されていた沖縄総合事務局にまで被害が及んだ点です。これは典型的な「ラテラルムーブメント」（横展開）攻撃の可能性を示唆しています。
漏えいした情報の内容
- 約1,200人分の職員の個人情報
- 氏名
- 公用メールアドレス
- ユーザーID
- 所属・役職名
一見すると「大したことない情報」に思えるかもしれませんが、これは大きな間違いです。フォレンジック分析の現場では、これらの情報が次の攻撃の足がかりに使われるケースを頻繁に目にします。
なぜ政府機関が狙われるのか？CSIRTの視点から
私がこれまで対応してきた政府機関向けのインシデントを振り返ると、攻撃者の目的は多岐にわたります：
1. 機密情報の窃取
政策情報や機密文書は、国際的な諜報活動の標的となります。今回は機密情報の漏えいは確認されていませんが、攻撃者の最終目標がそこにあった可能性は十分考えられます。
2. 踏み台としての利用
政府機関のネットワークは、他の重要インフラへの攻撃の出発点として悪用される可能性があります。信頼性の高い政府機関からの通信は、セキュリティチェックを通過しやすいからです。
3. 社会的インパクト
政府機関への攻撃が成功すると、社会全体への不安を煽ることができます。これが攻撃者にとっての「宣伝効果」となります。
個人情報が漏えいしたらどうなる？実際のケース
「職員の名前やメールアドレス程度なら大丈夫」と思っていませんか？実際のフォレンジック調査では、こうした情報が以下のように悪用されています：
ケース1：標的型フィッシング攻撃
ある中小企業では、漏えいした職員情報を基に、役職や所属部署を騙った精巧なフィッシングメールが送られてきました。「経理部長の田中です」といった具合に、実在する人物名を使った攻撃で、経理担当者が騙されて銀行の認証情報を盗まれるケースがありました。
ケース2：ソーシャルエンジニアリング
漏えいした職員情報を使って、電話で「○○部の△△です」と名乗り、パスワードの変更やシステムへのアクセス権限変更を依頼する攻撃も確認されています。
今すぐできるセキュリティ対策
政府機関でさえ攻撃を受ける現在、個人や中小企業はどのような対策を取るべきでしょうか？
個人でできる基本対策
1. 多層防御の実装
まず基本となるのがアンチウイルスソフト
の導入です。従来のシグネチャベース検知だけでなく、振る舞い検知機能を持つ製品を選ぶことが重要です。
2. ネットワーク通信の保護
テレワークや外出先でのインターネット利用時には、VPN
の利用が必須です。特に公衆Wi-Fiを使用する際は、通信が暗号化されていても中間者攻撃のリスクがあります。
企業が取るべき対策
1. 定期的な脆弱性診断
今回のような不正アクセスを防ぐには、システムの脆弱性を定期的にチェックすることが不可欠です。Webサイト脆弱性診断サービス
を利用して、Webアプリケーションの脆弱性を継続的に監視しましょう。
2. ネットワークセグメンテーション
今回の事案では、ネットワーク接続により被害が拡大しました。重要なシステムは適切にセグメント化し、万一の侵入時にも被害を最小限に抑える設計が重要です。
政府の対応と今後の課題
国土交通省は外部専門機関による調査を実施し、セキュリティの専門家や関係機関と連携して対策を講じているとしています。しかし、この対応には時間がかかることが予想されます。
フォレンジック調査の経験から言えることは、初動対応の速度が被害の拡大を左右するということです。今回の発表までに時間がかかったことを考えると、水面下ではかなり深刻な状況があった可能性があります。
まとめ：自分の身は自分で守る時代
政府機関でさえ攻撃を受ける現在、「うちは大丈夫」という考えは非常に危険です。特に中小企業や個人事業主は、限られたリソースで効果的なセキュリティ対策を実装する必要があります。
重要なのは、完璧なセキュリティを目指すのではなく、攻撃者にとって「割に合わない」レベルの防御を構築することです。基本的な対策をしっかりと実装し、定期的に見直しを行うことで、大部分の攻撃を防ぐことができます。
今回の事案を他人事と考えず、自社・自身のセキュリティ対策を見直す機会として活用してください。
