Q.Studioの不正アクセスで影響を公表した組織はどこですか？自治体や上場企業、件数は？

一般的な民間サイトなら制作の手軽さやデザインの洗練さを最優先に選ぶこともできますが、自治体や公共機関のWebサイトでは選択の物差しが大きく異なります。実際の自治体サイトの事業者選定では、主に次の点が見られています。

• 調達の要件：自治体サイトの構築や再構築の実績、情報セキュリティや個人情報保護の認証を、参加資格や評価の対象にする案件がある
• 保守体制：公開後の運用・保守をどこまで任せるか、事業者がどんな体制で対応するか
• 更新の担い手：住民の見やすさに加え、情報を発信する職員が更新しやすいかどうかも目的に含まれる

認証や体制の条件は案件ごとに決まっていて、全自治体に共通する決まりではありません。要件の整理に迷う場合は、デジタル庁が公開している要件定義書の標準ひな形が手引きになります。第5章に、使いやすさやアクセシビリティなど非機能要件の記載例があります。

結局、今の見た目をそのまま再現できるかより、職員が日々の更新を自分でこなせるCMSを選んだほうが、あとで楽になるでしょう。

各組織が公表した件数をひとつずつ足していけば、今回の不正アクセスによる全体の被害規模を割り出せるのでしょうか。各社や自治体の発表した数値をそのまま合算しても、全体の被害人数や正確な総数にはなりません。理由は主に3つあります。

ひとつ目の理由は、公表されている数値の「単位」が組織によって全く異なる点です。同じ人物による複数回の投稿を含んだ「送信件数」を公表している組織もあれば、重複を整理した「実人数」を発表している組織もあります。例えばアパレルのヤマト インターナショナルは、ヤマト インターナショナルの公表内容において、父の日企画フォームの応募総数3,342件に対し、重複を除いた応募者数は1,424名と公表しました。

ふたつ目の理由は、発表された数字が「流出の可能性がある最大規模」を示したものであり、実際に外部へ流出したと確定した件数ではない点です。Studioは、第三者が実際に取得した事実は確認できていないとしています。

そして3つ目の理由は、Studio自身が機能ごとの影響件数について精査を続けている段階であることです。確定した件数は、お知らせのページで続報として出すとしています。断片的な数値を足し合わせるだけでは、実態と離れた数字になってしまいますね。

上場企業や県が次々と公表するなかで、うちだけ黙っていて大丈夫なのか。個人情報保護法では、漏えい事案の公表そのものは一律の義務ではありません。ただし、個人情報保護委員会のQ&Aでは、事案の内容に応じて公表するのが望ましいとされています。

これとは別に、本人への通知が必要です。個人情報保護委員会のガイドラインでは、不正アクセスによる漏えいのおそれがある事態は、対象者が1人であっても本人への通知が必要です。一方で、フォームの送信者が過去の利用者で連絡先が分からないなど、本人への個別連絡が極めて困難なケースも出てきます。そうした場合に認められているのが、本人の権利利益を守るための代替措置です。自社のWebサイトで事案の事実を告知したり、問い合わせ窓口を開設して案内したりすることが代替手段の具体例に挙げられます。

通知の要否や内容、方法は、運営者が法令やガイドラインと自社の利用状況を踏まえて決めるよう、Studioは案内しています。迷う場合は、弁護士などの専門家に相談するよう勧めていました。個人情報保護委員会の相談ダイヤルは、ガイドラインやQ&Aに沿って制度の質問に答えます。でも、自社の対応が適法か違法かの判断は引き受けていません。

あります。ライブハウス「TOKIO TOKYO」を運営するHYPEは、TOKIO TOKYOの告知ページで、2022年2月9日から2026年1月10日までに払い戻し受付フォームで送信された247件について、氏名やメールアドレス、公演名、チケット枚数、払い戻し金額、振込先の金融機関名・支店名・預金種別・口座番号・口座名義などが流出した可能性があると発表しました。247件はフォームの件数で、人数と同じとは限りませんね。

HYPEも、第三者が実際に取得したことは確認できていないとしています。そのうえで、取得されたものとみなして対応しています。同社は、金融機関の暗証番号やクレジットカード番号、本人確認書類の画像などはフォームで取得しておらず、Studioを利用していない外部の予約・チケット販売システムにも影響はないと明記しました。

HYPEは、口座情報の再登録を求める偽メールに注意するよう呼びかけています。自分が送った内容や、そのサイトでの対応を確かめたいときは、通知を受け取ったサイトの運営者に問い合わせます。