厚生労働省は2026年10月22日、同省の委託事業として運営されているウェブサイト「1FEdu（いちえふエデュ）」が第三者からサイバー攻撃を受け、個人情報が漏えいした、または漏えいした可能性があると発表した。6人分のメールアドレスとパスワードの漏えいが確認され、その認証情報を使った不正ログインも起きている。同じデータベースに保存されていた、東京電力福島第一原子力発電所の廃炉作業に関わる教育の受講者最大595人分の個人情報にも、漏えいの可能性があるとしている。サイトは現在停止している。
委託先が運営する教育サイトが攻撃を受けた
1FEduは、厚生労働省の委託事業「東電福島第一原発廃炉等作業における被ばく低減対策普及啓発事業」の一環で運営されているサイトである。この事業は、福島第一原発の廃炉作業での被ばくを減らすため、作業を指揮する立場の人などへの教育や、専門家チームによる個別事案への助言、好事例の収集・周知を行うものだ。事業を受託しているテクノヒル株式会社が、同省との委託契約に基づいてサイトを運営している。
厚生労働省によると、今回の事案はテクノヒルからの報告で明らかになった。攻撃の手口や侵入の時期、原因については公表されておらず、同省は、委託事業者に原因の早急な調査を指導していると説明している。
漏えいを確認したのは6人、可能性があるのは最大595人
現時点までの調査で漏えいが確認されたのは、6人分のメールアドレスとパスワードである。さらに、この認証情報を使った不正ログインも確認された。
これらの認証情報が保存されていたデータベースには、教育の受講者最大595人分（6人を含む）の個人情報が含まれており、これらの個人情報にも漏えいの可能性がある。対象となりうる項目は、氏名、ふりがな、年代、性別、所属組織・部署、役職、職種、メールアドレス、パスワード、電話番号、福島第一原発での経験年数、登録時に従事していた業務である。ただし、登録状況によって含まれる項目は異なるとしている。
同省は、被害拡大を防ぐためにサービスを停止して外部からのアクセスを遮断したほか、対象者には個別に連絡するとしている。同省は、現時点で個人情報の悪用や二次被害は確認されていないとしている。なお、漏えいした可能性のあるパスワードはシステムが機械的に付与するもので、利用者が自分で設定・変更できない仕様のため、ほかのサービスで使われている可能性は低いとの見方を示している。
「委託先のサイト」も組織の守る範囲に入る
今回の情報は、国の事業として集めた受講者の個人情報である。サイトを運営していたのは委託先でも、利用者から見れば国の事業であり、発表も厚生労働省が行った。業務を外部に委託しても、そこで扱う個人情報の管理責任までは手放せないことを示す事案といえる。
また、所属組織や役職、廃炉作業での経験年数といった情報は、それ自体が攻撃者にとって標的を絞る手がかりになる。受講者を名乗る相手や関係機関を装ったメールで、さらに情報を引き出そうとする手口に悪用される恐れもある。
委託先にシステムの運用を任せている組織は、契約の時点でセキュリティの要件を示すだけでなく、ログイン認証の強度や脆弱性（システムのセキュリティ上の弱点）への対応、侵入の兆しを監視する体制が実際に機能しているかを、定期的に確かめる仕組みを持っておきたい。
同じ手口に、自社は備えられていますか？