大阪市は、外部の技術委託先で発生したデータ侵害により、オンライン行政サービス基盤に関連する100万件を超えるメールアドレスが流出したと発表しました。
日本で3番目に大きい都市である大阪市の発表によると、攻撃者は、行政サービス基盤の保守を請け負うTKCが利用していたメール配信サービス「Arara」に不正アクセスしました。
市によると、2026年7月から10月31日までの間に市のシステムからメールを受信した人は、メールアドレスが漏えいした可能性があります。市は、約280万人の市民に対し、市を装った不審なメールに注意するよう呼びかけました。メールに記載されたURLや添付ファイルは開かないよう求めています。
今回の大阪市の事案は、大阪府が食料支援事業の参加者の情報に関する独自のデータ侵害を公表した数日後に明らかになりました。
Araraへの攻撃は、日本国内の多数の大企業や行政機関に連鎖的な影響を及ぼしています。Araraの発表によると、11月2日のサイバー攻撃で、TKCやゲーム大手のセガなどを含む約400の顧客から、7700万件のメールアドレスが流出しました。
Araraはまた、攻撃者が同社のメール配信サービスを悪用し、クレジットカード会社や金融機関を装った悪意あるメールを数百万通送信したと説明しています。
「総力を挙げて対処しよう」
日本では、ここ数か月にわたり、重要な企業や機関へのサイバー攻撃が相次いでいます。日本航空、ソニーネットワークコミュニケーションズ、ゲーム会社のカプコンなどが被害に遭いました。
先週、高市早苗首相はサイバーセキュリティに関する閣僚会議を開き、緊急対策パッケージを発表しました。サイバー防御でのAI活用の拡大、情報収集の強化、攻撃的なサイバー対処、データ侵害の被害者への支援拡充などが柱です。
この取り組みには約6200万ドルの緊急予算が充てられました。企業には、サイバー攻撃をより迅速に政府機関へ報告するよう求めています。
高市首相は「この瞬間にも、不正アクセスや情報漏えいが続いており、国民の日常生活や事業活動に大きな影響を及ぼしている」と述べたうえで、「政府の総力を挙げて、日本のサイバー攻撃への対処能力全体を強化しよう」と呼びかけました。
日本のコンピュータセキュリティインシデント対応チーム（CSIRT）であるJPCERT/CCは3週間前に調査結果を公表しました。それによると、攻撃者が国内で攻撃を仕掛ける前に、AIを使って既知の脆弱性をスキャンしている形跡が確認されています。
日本の通信大手NTTのチーフ・サイバーセキュリティ・ストラテジストである松原実穂子氏はRecorded Future Newsの取材に対し、最近のデータでは日本のシステムへのサイバー攻撃が7月から増え始め、10月にかけて急増したと語りました。
松原氏によると、今年報告されたインシデント全体の58%が10月に発生しました。今年これまでに盗まれた個人データは約3億8000万件に上ります。
松原氏は、日本人の個人情報が大量にダークウェブで取引されており、一部のデータはすでに不正な証券取引に使われていると指摘しました。さらに、資金力のある執拗な攻撃者が、日本の国民の社会経済活動や個人の嗜好を網羅したデータベースを構築しかねないと警告しています。
松原氏は、以前に防衛省や政府のその他のサイバーセキュリティ関連の委員会に携わっていました。最近の侵害の急増は、重大なサイバー攻撃の際に政府がより強力な措置を取れるようにする新たなサイバーセキュリティ関連法が施行された後に起きたと指摘しています。
「多くの国が、日本がどのようなサイバー攻撃に対し、どれほどの速さと強度で対応するのかを知りたがっているはずです」と、松原氏は述べました。
松原氏は、最近の侵害にはClaudeやArtexのようなAIツールが関与しているとみられると付け加えました。これらのツールは、サイバー犯罪者によるバグの発見と悪用を助けます。ただし、今回の一連の侵害のすべてがAIによるものとは言えないとも主張しました。
松原氏は、先週発表された政府の施策で最も重要なのは、サイバーセキュリティが「個々の組織だけに任せておけるものではない」と認めた点だと述べました。
「セキュリティ評価やインシデント対応、復旧支援といった政府の支援は、いざという時に大きな違いを生みます」と松原氏は語ります。「ただし、今回の資金拠出は一貫した長期的な取り組みの第一歩であるべきで、現在の攻撃の波に対するその場しのぎの対策と見なしてはなりません」
翻訳元: https://therecord.media/city-of-osaka-japan-email-data-breach
