ケンジントン・アンド・チェルシー評議会は、先週のサイバー障害の最中に同評議会のシステムからデータがひそかに抜き取られていたことを認め、今回の障害が単なるITの大失態ではなく、正真正銘のデータ侵害であったことを確認した。
ロイヤル・バラ・オブ・ケンジントン・アンド・チェルシー（RBKC）は、先週、ITシステムをダウンさせたサイバーセキュリティインシデントが発生したと認めていたが、更新された声明の中で、「当評議会のシステム上で、一部のデータがコピーされ、その後持ち出されたことを示す証拠を入手した」と述べた。
当局は、どのような種類のデータが盗まれたのか、どれほどの量が持ち出されたのか、攻撃者がどのくらいの期間アクセスしていたのか、また、その情報が住民、職員、パートナー組織、あるいは内部業務のいずれに関するものなのかについては明らかにしていない。RBKCは、コピーされたデータに「住民、顧客、サービス利用者の個人情報や金融情報が含まれているかどうか」を確認しているとしつつも、今回のインシデントは「過去のデータ」のみに影響したと考えていると付け加えた。
それでも評議会は、住民やサービス利用者に対し、「電話、メール、テキストメッセージを受け取った際には、いつも以上に注意を払う」よう呼びかけている。また、区から何かを購入したことがある人──「例えば駐車許可証」──は、自身の銀行口座やカード情報を再確認し、不審な動きがないか注意深く見守るよう求めている。
この評価の「格上げ」は、先週の当初の立場からの転換を意味する。当初、区は内部システムに影響を与えた未特定の「インシデント」があったとしか認めていなかった。The Registerが当時報じたように、ケンジントン・アンド・チェルシーは、ハマースミス・アンド・フラムおよびウェストミンスターと並び、3つのロンドン区の一つとして、共有IT環境全体で主要サービスをオフラインに追い込んだ障害の影響を受けた。職員は手作業のプロセスに戻らざるを得ず、住民向けシステムは断続的に停止し、当局はインフラの一部を隔離した後、外部の調査員を招き入れた。
RBKCは、システムとサービスのオンライン復旧を続けているとしながらも、一部のサービスでは依然として遅延や利用制限が発生する可能性があると警告し、復旧作業が続く間、「少なくとも2週間は大きな混乱」が続くことを住民に覚悟するよう求めた。
3つのロンドン区を標的としたこのサイバー攻撃の背後に誰がいるのかは、いまだ判明していない。事件は、国家サイバーセキュリティセンター（NCSC）とロンドン警視庁によって調査中だ。いずれの主要なランサムウェアグループも、まだこのインシデントへの関与を名乗り出てはいないが、RBKCは、盗まれたデータが公の場に出回る「可能性」があると述べている。
RBKCがデータが盗まれた（失礼、「コピーされた」）と認めたことは、3区が共有するIT環境がいかに複雑に絡み合っているかを浮き彫りにしている。長年にわたり、ケンジントン・アンド・チェルシー、ハマースミス・アンド・フラム、ウェストミンスターは、財務システム、案件管理ツール、住宅関連プラットフォーム、ライセンスソフトウェア、その他さまざまなレガシーサービスを、一つの巨大なデジタル基盤に統合してきた。これにより日常業務は容易になったが、その一方で、1つの評議会が攻撃を受けると、すぐに3区すべてに波及し、どんなサイバーインシデントも、封じ込めと復旧がはるかに厄介な混乱へと変貌してしまう。
ウェストミンスター市評議会は、依然として「継続的な技術的問題」に直面していると認めており、「すべてのシステムを可能な限り早くオンラインに戻すため、迅速かつ効果的な対応」を進めていると述べている。
火曜日に公開された更新声明の中で、ハマースミス・アンド・フラム評議会は、現時点では自区のシステムが侵害された「証拠はない」と述べた。同評議会はさらに、「隣接区で発生したサイバーセキュリティインシデントを受けて、当区では一連の強化されたセキュリティ対策を継続して実施するとともに、すべてのシステムとサービスへの影響を慎重に調査している」と付け加えた。
住民や事業者にとって、RBKCの今回の更新に具体的な情報が欠けていることは、間違いなく不満の種となるだろう。評議会は通常、賃貸借記録、ソーシャルケアの記録、各種許認可申請、支払い情報、そして支援を必要とする住民とのやり取りなど、機密性の高い情報を保有している──まさに、自治体を狙ったサイバー攻撃の際に高い価値を持つ標的となる種類の情報である。
ケンジントン・アンド・チェルシーが、何が盗まれたのか、誰が影響を受けたのか、攻撃者がどれほど長く内部に潜んでいたのかを説明できるようになるまで、この区のサービスに依存するロンドン市民は、評議会自身もまだ把握していない状況の説明を、ただ待ち続けるしかない。®
翻訳元: https://go.theregister.com/feed/www.theregister.com/2025/12/02/london_councils_data_breach/
