セキュリティ
約50年分のデータが流出、保護観察サービスの記録も被害に
昨年、英国の法的扶助局（Legal Aid Agency）に侵入したハッカーは、5年近く前までさかのぼる記録を盗み出していました。英政府が認めたもので、これにより、侵害の規模がこれまで考えられていたよりはるかに大きかったことが明らかになりました。
法的扶助局は水曜日、2025年4月の攻撃で盗まれた記録のうち約25万件が2007年より前のもので、中には1978年のものも含まれていると発表しました。同局は当初、盗まれたデータは2007年以降の法的扶助の申請、請求、支払いに関するものだと推計しており、今回判明した時期はそれよりはるかに過去にさかのぼります。
新たに特定された記録の大半は1990年代と2000年代のものです。1990年より前のものは「ごくわずか」にとどまります。それでも、攻撃者が侵入した時点で、政府のシステムにどれほど古い個人情報が保管されていたのかという、厄介な疑問が浮かび上がります。
盗まれたデータをめぐる驚きはこれだけではありません。司法省（MoJ）は、ハッカーが英国刑務所・保護観察局（HMPPS）の情報にもアクセスしていたことを確認しました。2010年から2017年に保護観察サービスの監督下にあった犯罪者について、氏名、生年月日、国籍、事件参照番号が含まれています。
政府によると、保護観察記録の対象となる犯罪者は比較的少数で、影響を受けたデータの99%超は2016年と2017年に監督下にあった人々に関するものです。政府は、盗まれた保護観察関連の情報に犯罪被害者に関するものは含まれていないと強調しました。
今回の新事実が明らかになったのは、法的扶助局が、犯罪者が機密性の高い個人情報を大量に閲覧・ダウンロードしたと公表した時から、およそ18カ月後のことです。
同局が侵入を最初に検知したのは2025年4月23日でしたが、被害の規模が把握されたのは5月16日でした。その後、政府はLAAのオンラインサービスを停止し、弁護士は請求の提出や案件の管理に必要なシステムにアクセスできず、苦慮することになりました。
混乱は数カ月に及びました。同局が12月にサービスを再開した後も混乱は続き、法的扶助の提供者は遅延や技術的な問題に悩まされました。
その後のフォレンジック調査により、データの窃取が当局の当初の想定よりはるかに過去にさかのぼることが判明しました。
侵害された情報は個人によって異なりますが、氏名、住所、生年月日、国民保険番号、金融情報、法的手続きに関する情報などが含まれる可能性があります。一部の記録には、刑事訴追、答弁、有罪判決、量刑の詳細も含まれています。
古い資料の中には、1978年から2012年にかけての法的扶助給付の審査に関する記録や、1981年から2004年にかけて「超高額事件制度（Very High Cost Cases）」で行われた支払いの記録があります。
政府は、過去の記録が存在するからといって、2007年より前に法的扶助を申請した全員の情報が盗まれたわけではないと注意を促しました。25万件という数字も、被害を受けた個人の確定人数ではないとしています。
窃取の範囲を特定するのにこれほど時間がかかった理由について、司法省は、攻撃者が複数の複雑なシステムに分散した情報を盗み出したためだと説明しました。その多くは非構造化されているか、断片的、あるいは不完全な状態だったといいます。
同局は「データを特定する能力が向上したことで、侵害された情報についてより完全な理解が得られました」と述べています。
政府は、盗まれた情報が公開されたり共有されたりした形跡はないとしています。ただ、個人情報が犯罪者の手に渡っているかもしれない人々にとって、これで安心できるわけではありません。
司法省によると、攻撃を受けて以降、認証とアクセス制御を強化し、セキュリティ監視を改善し、脆弱性に対処したほか、リスクの高い技術の廃止や隔離にも着手しました。レガシーシステムの近代化作業も進めています。
そもそもなぜ1970年代までさかのぼる記録にアクセスできる状態が続いていたのか。今回の最新発表は、この問いに答えていません。®
