ハッカーが英国の法律扶助記録を窃取、1978年までさかのぼる情報が流出

ハッカーが昨年のサイバー攻撃で、1978年までさかのぼる英国の法律扶助（リーガルエイド）記録を盗み出していたことが分かりました。数十年にわたり保管されてきた個人情報や事件情報が流出しています。

英政府の最新の発表によると、法律扶助庁（LAA）は、2025年に発生した情報漏えいで盗まれたデータの中に、2007年より前の記録が約25万件含まれていたことを確認しました。今回の発見により、攻撃で侵害された情報の全体像がより明確になっています。

対象の事件の多くは数年前に終結しています。しかし、そこに含まれる個人情報は、なりすましや標的を絞った詐欺を狙う犯罪者にとって、今でも悪用価値がある可能性があります。

盗まれたファイルに給付金の審査結果や刑事事件の詳細が含まれる

更新された内訳によると、確認された記録には、給付金の受給資格に関する審査結果や、高額な刑事事件に関連する支払い情報が含まれています。一部の記録には、氏名や国民保険番号（National Insurance number）のほか、事件番号や支払額も記載されていました。古い記録の大半は1990年代から2000年代のもので、1990年より前のものはごく一部にとどまります。

このほか、資産状況や裁判手続きに関する情報を含むファイルも被害に遭いました。刑事事件の書類には罪名や判決結果が記載されている場合があります。また、民事の申請書類には、法律扶助を自ら申請したことのないパートナーや家族の 個人情報が含まれていることもあります。

法律扶助の提供事業者についても、契約書や銀行口座情報などの事業関連情報が侵害されました。当局は、漏えいした情報の量は個人ごとに異なり、法律扶助の事件記録が丸ごと盗まれたケースはないと説明しています。また、記録の総数が、そのまま被害者の人数を示すわけではないとしています。

調査の過程で保護観察関連の記録も判明

調査担当者は、刑務所・保護観察庁（HM Prison and Probation Service）が管理する比較的少数の人物に関するファイルも発見しました。盗まれた情報には、氏名、生年月日、国籍、事件番号が含まれています。当局は、これらの記録が犯罪被害者に関するものではないことを確認しました。

同庁の 年次報告書によると、攻撃者は2025年4月に侵入が発覚する数カ月前から、同庁のシステムにアクセスしていました。その後の調査は、ファイルが断片的であったり不完全であったりするために難航しており、誰の情報が盗まれたのかを正確に特定するのは困難な状況です。 

議会に提出された大臣声明も、盗まれた情報が公開されたり共有されたりした形跡は確認されていないと明らかにしました。

攻撃を受け、法務省とLAAはアクセス制御を強化し、セキュリティ監視を改善しました。政府は復旧と近代化のために2億ポンドを割り当てており、老朽化したシステムの刷新も含まれます。さらに、旧式の技術に残る脆弱性への対処も、 インシデント対応策の一環に盛り込まれています。

古い法律扶助記録が標的型詐欺に悪用される恐れ

すでに終結した事件の情報であっても、他の識別情報と組み合わせれば、犯罪者が法律の専門家や政府職員になりすます手助けとなる可能性があります。 

当局は関連する詐欺被害を確認していませんが、過去の事件情報に関わる不審な要求には、元利用者や法律関係の組織も引き続き警戒する必要があります。

• 過去の法律扶助の利用者: 古い事件番号や事務弁護士（solicitor）の名前を挙げて突然かかってきた電話を、安易に信用してはいけません。犯罪者はこうした情報を 標的型フィッシングに利用し、さらなる情報を聞き出そうとする恐れがあります。応じる前に、同庁や法律事務所の公式の連絡先を通じて要求の真偽を確認してください。
• 事務弁護士と法律扶助の提供事業者: 流出した支払い情報は、銀行口座の変更や機密文書の開示を求める不正な依頼に悪用される可能性があります。通常と異なる指示は、確立された連絡経路で確認してください。また、見慣れた名前やアドレスを装う メールのなりすましを従業員が見抜けるようにしておくことも重要です。
• 法律関連記録を管理するセキュリティチーム: 過去の事件ファイルへのアクセス権を見直し、保管が必要な文書を確認します。アーカイブシステムからの不審なダウンロードを監視し、法定の保存期間を過ぎた情報は安全に削除してください。これらの保管庫も、稼働中のシステムだけに監督を限定せず、定期的な 情報漏えい対策の見直し対象に含めることが求められます。

大規模な法律関連アーカイブを維持する組織にとって、今回の事件は、特に老朽化したシステムに保存された過去の記録を保護することの重要性を浮き彫りにしました。セキュリティチームは、アクセス権限を定期的に見直し、不審な動きを監視し、法定の保存期間が許す場合には情報を安全に削除する必要があります。

個人にとっても、時間が経過したからといって、情報流出のリスクが消えるわけではありません。数十年前に法律扶助を受けた人が、古い事件や個人情報に言及する不審な連絡を受ける可能性は残ります。

今回の教訓は、機密情報が本来の役割を終えた後も、長く犯罪者にとって価値を持ち続けるという点です。情報を守るには、稼働中のシステムにとどまらず、保有し続けているデータ全体に目を向ける必要があります。

関連するサイバーセキュリティニュース: 広告インフラをスパイウェアの配布経路に変えたAdFectionキャンペーンで、少なくとも45台のアルジャジーラの端末が標的にされました。