日本デジタル庁は昨日、AIサイト構築プラットフォームStudioで構築した傘下の一部ウェブサイトがハッカーに侵入され、13323件のプライバシー情報が流出したと発表した。
流出したのは、国民が2021年5月から2023年3月の間にウェブフォームから送信した各種相談内容である。内訳を見ると、一般的な意見・提言が約8833件、ワクチン接種証明に関する相談が約3661件、ワークショップ活動情報が約462件、採用に関する相談が約250件、さらにマスコット「マイナちゃん」の着ぐるみ貸出に関する問い合わせも約117件あった。
さらに厄介なのは項目の中身だ。デジタル庁が確認したところ、送信者の氏名、メールアドレス、本文の内容がいずれも流出しており、一部の相談窓口では所属機関、宛先住所、電話番号にも及ぶ可能性があるという。流出したのはコメントだけでなく、特定の個人を特定できる多重の身元手がかりでもある。
二次被害はまだ確認されていない
良いニュースは、10月22日時点で、当局はこれらの情報が悪用されたり二次被害が発生したことは確認されていないことだ。ただしデジタル庁は警報を発している：本庁や関連機関を装った身元不明のメール、電話、SMSに警戒し、出所不明のリンクや添付ファイルを安易に開かず、パスワードやクレジットカード情報もむやみに入力しないこと。流出情報を悪用した標的型フィッシングが行われれば、リスクは「可能性」から「発生中」へと変わる。当局は特に、メールや電話でパスワードなどの認証情報を求めることは絶対にないと強調している。
AIサイト構築の利便性が、今回ばかりはセキュリティ上の弱点となってしまった。低ハードルのツールが公共部門の対外サービスを担うとき、その背後にあるデータと防護の責任は、明らかに「軽く」済ませるわけにはいかない。