綾瀬市電子申請サービスで個人情報漏えい事件発生！不正アクセスの実態と対策を現役CSIRTが解説

2025年7月15日、綾瀬市が電子申請サービスへの不正アクセスにより、利用者6人の個人情報が漏えいした可能性があることを発表しました。現役CSIRTメンバーとして、この事件の詳細と、個人・企業が今すぐ取るべき対策について解説します。

事件の概要：トラストバンク社経由で発覚

今回の事件は以下の経緯で発覚しました：

この事件で注目すべきは、自治体が直接攻撃を受けたのではなく、外部委託先のトラストバンク社のシステムが標的になった点です。これは現在のサイバー攻撃の典型的な手口の一つです。

私がこれまでに担当した類似事件の分析から、このような電子申請サービスへの攻撃には以下のパターンが多く見られます：

Webアプリケーションの入力フォームに悪意のあるSQL文を挿入し、データベースから情報を抜き取る手法。実際に中小企業のWebサイトで発生した事例では、顧客情報約2,000件が流出し、損害賠償請求に発展したケースもあります。

管理者パスワードが脆弱な場合、自動化ツールを使って突破される事例が頻発しています。ある地方自治体では、パスワードが「admin123」という単純なものだったため、わずか数分で突破されました。

既知の脆弱性を悪用した攻撃。システムの更新が遅れがちな自治体や中小企業が標的になりやすく、被害が拡大する傾向があります。

このような事件に巻き込まれないため、また被害を最小限に抑えるため、以下の対策を強く推奨します：

個人のデバイスには必ずアンチウイルスソフトを導入しましょう。特に電子申請サービスを利用する際は、リアルタイムでの脅威検知機能が重要です。現在のサイバー攻撃は巧妙化しており、従来の無料ソフトでは対応しきれないケースが増加しています。

公共のWi-Fiを使用した電子申請は絶対に避けてください。自宅のインターネット接続でも、VPN を使用することで通信を暗号化し、第三者による盗聴を防ぐことができます。

電子申請サービスのパスワードは定期的に変更し、他のサービスと使い回しは避けましょう。パスワード管理ツールの活用も効果的です。

今回の事件のような外部委託先からの情報漏えいを防ぐには、以下の対策が不可欠です：

Webサイトやアプリケーションの脆弱性を定期的にチェックすることが重要です。Webサイト脆弱性診断サービスを利用することで、専門的な診断を受けることができ、潜在的な脅威を事前に発見できます。

外部委託先選定時は、以下の点を必ず確認しましょう：

万が一の事態に備え、事前に対応計画を策定しておくことが重要です。私が関わった事例では、対応計画があった組織は被害を30%以上削減できました。

今回の綾瀬市の事例は氷山の一角に過ぎません。デジタル化が進む中、電子申請サービスへの攻撃は今後も増加すると予測されます。

特に注意すべき点は：

今回の綾瀬市の事件は、デジタル社会におけるセキュリティの重要性を改めて浮き彫りにしました。個人レベルでのアンチウイルスソフトやVPN の活用から、企業レベルでのWebサイト脆弱性診断サービスまで、多層的な防御体制を築くことが不可欠です。

セキュリティ投資は「コスト」ではなく「投資」です。一度の情報漏えい事件で失う信頼やコストを考えれば、事前の対策は決して高くありません。

今回の事件を教訓として、個人・企業を問わず、より強固なセキュリティ体制の構築を進めていきましょう。