茨城県の個人情報漏洩事件から学ぶ！自治体システムのセキュリティ対策の落とし穴と個人でできる防御策

脅威ニュース

2025.06.26

最近、茨城県で発生した個人情報漏洩事件をご存知でしょうか？県の広聴情報共有化システムで、削除されるはずだった個人情報ファイルが公開サーバーに残り続け、最大264回もアクセスされていたという深刻な事案です。

今回の事件は、単なるヒューマンエラーの問題ではありません。現代のサイバー攻撃環境において、こうした「うっかりミス」がいかに危険な結果を招くかを如実に示した事例といえるでしょう。

事件の詳細と隠された危険性

2022年7月のサーバーOS更新作業中に、保守業者が一時ファイルの削除を忘れたことが今回の原因でした。その結果、86人分の氏名、53人分の住所、4人分の電話番号、2人分のメールアドレスが約3年間も公開状態に。

特に注目すべきは、茨城県が「高度な知識や技術を持つ方による自動化されたディレクトリー探索技術やツールを用いたアクセス」と説明している点です。これは明らかに、サイバー犯罪者による組織的な情報収集活動を示唆しています。

実際の現場では、こうした自動化ツールによる探索活動は24時間365日行われており、脆弱性が発見されれば即座に悪用される状況にあります。一般企業や個人のシステムも同様の攻撃にさらされているのが現実です。

同時期に発生したローツェ台湾法人の事件も深刻です。攻撃者はVPNから侵入し、仮想化環境のサーバーをランサムウェアで暗号化。幸い大量データの外部送信は確認されませんでしたが、情報流出の完全な特定は困難とされています。

この事例で重要なのは、VPN の脆弱性が攻撃の入り口となった点です。企業向けVPN でさえ適切な多段階認証が設定されていなければ、攻撃者にとって格好の標的となってしまいます。

フォレンジック調査の現場では、以下のような被害が頻繁に報告されています：

これらの事例に共通するのは、基本的なセキュリティ対策の不備です。多くの場合、信頼性の高いアンチウイルスソフトの導入や、安全なVPN の使用といった基本対策が不十分だったことが被害拡大の要因となっています。

現役CSIRTメンバーとして、個人や中小企業に強く推奨したい対策は以下の通りです：

まず最も重要なのは、信頼性の高いアンチウイルスソフトの導入です。単純なパターンマッチングではなく、行動分析やAI技術を活用した製品を選択することが重要です。

特にリモートワークが一般化した現在、VPN の使用は必須です。ただし、無料サービスではなく、ログ保持ポリシーが明確で、強固な暗号化技術を採用している有料サービスを選択しましょう。

茨城県の事例のように、「削除したつもり」のファイルが残っているケースは珍しくありません。定期的なシステムチェックと、不要ファイルの完全削除を徹底することが重要です。

今回の茨城県の事例は、公的機関でさえセキュリティインシデントを完全に防ぐことの困難さを示しています。しかし、だからこそ個人や中小企業こそ、基本的なセキュリティ対策を徹底する必要があるのです。

サイバー攻撃は「もしも」ではなく「いつ」起こるかの問題です。適切なアンチウイルスソフトとVPN の組み合わせ、そして継続的なセキュリティ意識の向上が、あなたの大切な情報資産を守る最も確実な方法といえるでしょう。