外務省の不正アクセスで約3600件に漏えいのおそれ｜旅券とたびレジは対象外

外務省は2026年10月30日、外部とのやり取りに使うネットワークで不正アクセスがあり、個人情報を含むメールなどの一部が漏えいした可能性があると公表しました。対象となり得る氏名やメールアドレスなどは約3,600件で、うち約900件は外務省員以外の人の情報です。同省は対象者を特定した上で個別に連絡するとしており、外務省や職員を装う不審な連絡に注意を求めています。

7月27日に検知し10月30日に公表

外務省の10月30日付報道発表によると、外務省が不正アクセスを検知したのは7月27日です。同省は直ちにアクセスを遮断し、認証情報を無効化するなどの措置を取り、それ以降の不正アクセスを防いだと説明しています。その後、外部の専門事業者の協力を得て調査し、個人情報が外部へ漏えいした可能性があることを確認しました。

7月27日は検知日であり、最初に侵入があった日として示されたものではありません。10月30日は公表日で、対象者への個別連絡が完了した日でもありません。公表文からは、侵入経路、使われた手法、調査対象となったメールの期間までは分かりません。約3,600件という数字も、外部に持ち出されたことが確定した人数としては扱えません。

旅券とたびレジの領事システムは対象外

外務省は、職員間で機密性の高い情報を扱う閉域ネットワークと、外部との連絡が可能なネットワークを分けています。今回アクセスを受けたと発表したのは後者です。同省は念のため内容も調べ、漏えいした可能性がある情報に機密性の高い情報が含まれていたことは確認されなかったとしています。

旅券やたびレジなどの情報を扱う領事システムについては、今回アクセスを受けたネットワークとは別に構築されており、対象外と明記されています。領事サービスの利用歴だけで個別連絡の対象と判断する根拠はありません。一方、約900件の省外の情報が具体的にどのやり取りに由来するのかは発表文に示されておらず、過去に外務省と連絡したという事情だけから、該当の有無を決めることもできません。

個別連絡を装うメールや電話は別の経路で確認する

外務省は、公表時点で個人情報の悪用などの二次被害を確認していないと説明しています。ただし今後のなりすましを警戒し、心当たりのないメールなどにあるリンクや添付ファイルを開かず、パスワードやクレジットカード情報などを入力しないよう呼びかけています。注意の対象にはメールのほか、電話やSMSも含まれます。同省は、メールや電話でこうした情報を尋ねることはないと明記しています。

本サイトからの提案は、個別連絡を名乗る通知を受けたら、その通知から離れて確かめることです。表示名や宛名が合っていても、本文中のリンク、返信先、折り返し番号に頼らず、外務省の公式サイトを別に開いて、発表ページに記載された問い合わせ窓口を確認してください。組織として以前から外務省とやり取りしている場合は、既知の連絡経路で確認し、受信した通知の指示に沿って新しい窓口へ連絡先を切り替える前に、担当部署へ照会します。

氏名やメールアドレスが含まれると、受信者に合わせた連絡を作られる可能性があります。たとえば、担当者の氏名を入れたメールで「確認のため再ログインしてほしい」と誘導されても、宛名が正しいことは送信元の確認にはなりません。仮に認証情報を入力してしまった場合は、通知のリンクへ戻らず、正規サービスの入口から資格情報を変更し、業務用のアカウントなら組織の窓口へ速やかに報告してください。これは二次被害を抑えるための一般的な初動の提案で、今回の発表で資格情報の漏えいが確認されたという意味ではありません。

運用担当者は通知の真正性と影響範囲を分けて管理する

外務省は、アクセス制御と認証方法の見直し、監視の強化、情報セキュリティ教育の再徹底を進めるとしています。公表されている遮断と認証情報の無効化は外務省が行った措置であり、取引先や利用者へ一律のパスワード変更を求める発表ではありません。

外務省と連絡する部署を持つ組織では、関連する通知をどこへ報告するかを決めておくと、各担当者が返信して確認を試みる必要がなくなります。報告を受ける側は、受信時刻や件名などの記録と、既知の経路で確認した事実を分けて残します。今回の事案で照会するときは「外部連絡用ネットワークの不正アクセスに関する個別通知か」を起点にすると、対象外と明示された領事システムに関する案内との混同を避けられます。