デジタル庁は2026年10月22日、ホームページの運営の一部に利用していたStudio株式会社が第三者から不正アクセスを受け、デジタル庁のホームページの問い合わせフォームに入力された個人情報などが外部に漏えいした可能性があると発表した。対象となり得るのは、2021年5月から2023年3月までに入力された問い合わせ内容など最大13,323件と、Studioのアカウント情報35件である。漏えいの範囲は現在精査中としている。
Studioのクラウド環境からデータを取得できる状態に
デジタル庁によると、Studio株式会社から10月16日に、第三者が同社のクラウド環境（インターネット経由で利用するサーバーなどの環境）に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認したとの報告があった。Studioは、プログラミングをせずにWebサイトを作成・公開できるサービスで、デジタル庁はホームページの運営の一部に使っていた。
漏えいの可能性がある情報
現時点で対象となり得る個人情報として、デジタル庁は次の内容を挙げている。
- 一般的な意見・要望の問い合わせ：最大8,833件（氏名、メールアドレス、問い合わせ内容）
- 採用に関する問い合わせ：最大250件（氏名、メールアドレス、電話番号、問い合わせ内容）
- 接種証明書アプリに関する問い合わせ：最大3,661件（氏名、メールアドレス、問い合わせ内容）
- マイナちゃんの着ぐるみの借用に関する問い合わせ：最大117件（氏名、メールアドレス、所属、送付先住所、電話番号など）
- ワークショップなどの参加関連：最大462件（氏名、メールアドレス、所属、電話番号など）
- Studioのアカウント情報：35件（デジタル庁職員またはデジタル庁の委託事業従事者の氏名、メールアドレス）
問い合わせフォームの氏名やメールアドレスなどは、任意で記入された場合に限られる。
デジタル庁は、現時点で漏えいした個人情報が悪用されるなどの二次被害は確認されていないとしたうえで、デジタル庁や関係機関を装った不審なメールや電話、SMSに注意するよう呼びかけている。デジタル庁がパスワードなどの認証情報やクレジットカード情報をメールや電話で尋ねることはないという。
数年前の入力データが残っていた
今回対象となった問い合わせは、いずれも2023年3月までに入力されたものである。Webサイト制作サービスのフォーム機能は手軽に使える一方、送信された内容がサービス側に蓄積され続けることがある。今回の件は、数年前に入力された問い合わせのデータが外部サービスの中に残っていたことを示している。
Studioへの不正アクセスでは、ほかにも利用企業や団体による個別の発表が続いている。Webサイト制作サービスや問い合わせフォームのサービスを使っている組織は、各フォームの送信内容について、保存先のサービスと保存が始まった時期を把握し、対応が済んだデータを定期的に削除する運用を検討したい。
同じ手口に、自社は備えられていますか？