兵庫県で起きた二重のセキュリティインシデントの全貌
2025年10月、兵庫県で立て続けに2つの深刻なセキュリティインシデントが発生しました。一つは県が発行する電子マネーアプリ「はばタンPay+」での個人情報漏えい、もう一つは県の公式Xアカウントへの不正アクセス疑惑です。
現役のCSIRT（Computer Security Incident Response Team）メンバーとして多くのインシデント対応を経験してきた立場から、この事件の詳細と、私たちが学ぶべき教訓について解説します。
「はばタンPay+」で発生した個人情報漏えいの詳細
10月23日、兵庫県が運営する電子マネーアプリ「はばタンPay+」で「子育て応援枠（追加販売）」の申し込み受付を開始したところ、わずか90分後にシステムトラブルが発生しました。
漏えいした個人情報の内容：
- 氏名
- 住所
- 生年月日
- 性別
- 電話番号
- メールアドレス
- 本人確認資料の画像（マイナンバーカード、免許証、保険証など）
特に深刻なのは、申請者本人ではなく別人の申請情報が表示される事例が発生したことです。これは単なるデータ漏えいではなく、システム設計上の根本的な欠陥を示しています。
公式Xアカウントへの不正アクセス疑惑
さらに深刻なのは、兵庫県の公式Xアカウントでも不正アクセスの疑いが発覚したことです。9月18日に不適切なフォローの指摘があり、調査の結果、不明なIPアドレスからのログイン履歴が確認されました。
この問題で特に注目すべきは、不正アクセスの疑いがあるアカウントで個人情報漏えいの報告を行ったことです。SNS上では「信用できない」という批判が殺到し、県のセキュリティ認識に疑問の声が上がっています。
フォレンジック調査から見えた問題点
私がこれまで関わったフォレンジック調査の経験から、今回の事件には以下のような問題点があると分析できます：
1. システム設計の根本的欠陥
「はばタンPay+」で他人の情報が表示されるのは、セッション管理やアクセス制御の設計が不適切だった可能性が高いです。過去に私が調査したケースでも、類似の問題で大規模な個人情報漏えいが発生したことがあります。
2. 多層防御の不備
公式Xアカウントへの不正アクセスは、パスワードの脆弱性や二要素認証の未実装が原因と考えられます。実際、私が調査した中小企業のSNSアカウント乗っ取り事件でも、同様の問題が多く見られました。
3. インシデント対応の不適切さ
不正アクセスが疑われるアカウントで重要な報告を行うのは、セキュリティの基本原則に反しています。信頼性の確保されていない経路での情報発信は、さらなる混乱を招く結果となりました。
個人や中小企業が学ぶべき教訓
今回の事件から、個人や中小企業が学ぶべき重要な教訓があります。
アカウント管理の重要性
SNSアカウントの管理では、強固なパスワードの設定と定期的な変更、そして二要素認証の有効化が必須です。VPN
を活用することで、不正アクセスのリスクを大幅に軽減できます。
私が過去に調査した事例では、パスワードの使い回しが原因で、個人事業主のSNSアカウントが乗っ取られ、偽の投資詐欺の宣伝に悪用されたケースがありました。幸い、アンチウイルスソフト
が早期に不審な活動を検知し、被害を最小限に抑えることができました。
システム開発時のセキュリティ配慮
Webアプリケーションを開発する際は、設計段階からセキュリティを考慮することが重要です。特に個人情報を扱うシステムでは、Webサイト脆弱性診断サービス
を定期的に実施し、脆弱性を事前に発見・修正することが不可欠です。
今後の対策と予防法
個人レベルでの対策
- パスワード管理ツールの活用
- 二要素認証の有効化
- 定期的なログイン履歴の確認
- 信頼できるアンチウイルスソフト
の導入
企業レベルでの対策
- 定期的なセキュリティ教育の実施
- インシデント対応計画の策定
- 第三者によるWebサイト脆弱性診断サービス
の実施
- セキュアな通信環境の構築（VPN
の活用）
まとめ：信頼回復への道のり
今回の兵庫県の事件は、デジタル化が進む中でセキュリティ対策の重要性を改めて浮き彫りにしました。個人情報を扱うシステムでは、技術的な対策だけでなく、運用面でも厳格な管理が求められます。
私たち個人も、企業も、この事件を他人事と捉えずに、自身のセキュリティ対策を見直す機会にしていただきたいと思います。特に、SNSアカウントの管理や個人情報の取り扱いについては、今一度確認してみてください。
セキュリティは完璧な防御よりも、継続的な改善と適切な対応が重要です。今回のような事件から学び、より安全なデジタル社会の構築に向けて、一人ひとりができることから始めていきましょう。
