英国警察のデータを保有する納入業者に繰り返し侵入、監査機関が指摘

英国王立警察・消防救助監察局（His Majesty’s Inspectorate of Constabulary and Fire & Rescue Services）が火曜日に公表した報告書によると、2021年以降、ハッカーが英国警察のデータを保有するサードパーティの納入業者に繰り返し侵入しています。

同監察局はイングランドとウェールズの警察、およびイングランドの消防サービスを監督する機関です。報告書によると、Police Digital Service（警察デジタルサービス）と全国警察長官評議会（National Police Chiefs’ Council）は、「警察の情報を保有していたサードパーティのICTサプライチェーンに影響を及ぼした複数のサイバー攻撃」に関する情報を共有していました。

ただし報告書は、こうしたサプライチェーン上のインシデントで攻撃が何件発生したのか、どの納入業者や警察組織が被害を受けたのか、データが盗まれたのかどうかを明らかにしていません。監察局は、公開にふさわしくないと判断した運用上の詳細を意図的に削除したとしています。

英国の内務省（Home Office）と全国警察長官評議会は、納入業者への攻撃で警察のデータが漏えいしたのかという質問に回答していません。

監察局によると、Police Digital Serviceは今年1〜3月に、警察活動に影響するサイバーセキュリティインシデントを252件記録しました。加えて、「ニアミス」も796件ありました。報告書は、ニアミスをデータやITシステムに有害な侵害が生じなかったインシデントと定義しています。

252件のうちデータ損失を伴ったものが何件あるのかは、報告書に記載がありません。内訳も示されておらず、マルウェア攻撃、不正アクセスの試み、警察職員による誤った情報開示などが含まれていたと述べるにとどまります。

報告書の別の箇所で監察局は、「警察組織や消防救助サービスがサイバー攻撃を受けた事例」を確認したと述べています。こうした攻撃は、運用システムへの被害やデータの漏えい、サービスの中断を引き起こしていました。

両分野の幹部は監察局に対し、「さらなる攻撃が発生する可能性は極めて高い」と語りました。

納入業者の実態は不透明

英国政府が2021年に設立したPolice Digital Serviceは、警察全体のサイバー脅威を監視する国家セキュリティオペレーションセンターを運用しています。同サービスは監察局に対し、納入業者のシステムに保管された警察データは、監視の及ばない場所にあるため、業界が直面する最大級のリスクの一つだと警告しました。

報告書によると、納入業者が被害者、保護対象者、インテリジェンス、捜査に関する情報を扱う場合、このリスクはとりわけ深刻です。

監察官らは、警察の納入業者との契約の大半に、継続的なサイバーセキュリティ保証が含まれていないことを突き止めました。納入業者にインシデントの速やかな報告義務があるのかどうか、職員が答えられないケースもありました。複数の組織では、納入業者が保有するシステムログを社内チームが日常的に確認できる状態になっていませんでした。

監察局は政府も批判しています。警察と消防サービスが、「国家リスク登録簿2025（National Risk Register 2025）」、1月に公表された政府サイバー行動計画（Government Cyber Action Plan）、そして現在も議会で審議中のサイバーセキュリティ・レジリエンス法案（Cyber Security and Resilience Bill）の対象外とされているためです。

監察官らが問いただした政府職員の誰も、この2分野が行動計画や法案から外れた理由を説明できなかったといいます。報告書は、両分野が公共の安全に果たす役割の重要性を踏まえると、この除外は懸念されると指摘しました。

報告書は集計対象の侵害の詳細を示していませんが、対象期間に発生したインシデントの一部は公になっています。2023年には、IDカード製造会社Digital IDがランサムウェア攻撃を受け、ロンドン警視庁の警察官と職員の情報が流出しました。また、グレーター・マンチェスター警察の警察官数千人の氏名と顔写真も盗まれました。

7月には、ウェスト・ヨークシャー警察が運営し、イングランドとウェールズのすべての警察が利用する参照サービス「Police National Legal Database」が、警察官と職員の連絡先をハッカーに盗まれたことを確認しました。同サービスによると、データベースには被害者、証人、犯罪者に関する機密情報は含まれていませんでした。

ウェールズのダイフェッド・ポウイス警察は9月、サイバー攻撃により一部の緊急性の低い業務システムが中断し、職員の情報が漏えいした可能性があると公表しました。

海外でも被害が出ています。オランダ警察は、2024年に発生した警察官の連絡先の流出について、国家の支援を受けた攻撃者による可能性が高いとして非難しました。米国では、FBIが今年、ハッカーがサードパーティ経由で通信傍受データを保有するネットワークに侵入したと明らかにしました。捜査当局は、この侵入に中国が関与したと疑っていると報じられています。

英国王立警察監察官のミシェル・スキア（Michelle Skeer）氏は、「警察組織や消防救助サービスに対するサイバー脅威は深刻で、急速に拡大しています。大規模なサイバー攻撃は、仮定の話ではありません」と述べました。