13万世帯の水道情報が流出恐れ——東京都の再委託先でランサムウェア被害

東京都の水道局関連の調査業務を委託された民間企業がサイバー攻撃の標的となり、都内最大13万世帯の個人情報が漏えいした可能性があることが明らかになりました。この事案は、自治体業務の委託先における情報セキュリティ体制の課題を浮き彫りにしています。

ランサムウェア攻撃で13万世帯分の水道情報が危険に

東京都水道局は3月6日、水使用実態の調査を委託した株式会社クロス・マーケティングの協力会社「シード・プランニング」（東京）がサイバー攻撃を受け、都内の最大13万世帯の水道使用者名や住所などが漏えいした恐れがあると発表しました。

攻撃は3月2日に発生し、身代金要求型ウイルス「ランサムウェア」により同社の端末の一部のファイルが暗号化される被害が確認されました。同社は直ちに全ネットワークを遮断し被害拡大を防止する緊急措置を講じました。同社はスマートメーターを設置している水道利用者を対象としたアンケート調査のため、東京都水道局から13万世帯分の情報を提供されていたとのことです。

漏えいした可能性がある情報は、水道使用者名、住所のほか、使用水量やお客さま番号も含まれています。攻撃発生から4日後の6日、協力会社から報告を受けたクロス・マーケティングを通じて東京都水道局に連絡があったことも明らかになっています。この間、協力会社は感染経路の遮断・封じ込め作業を優先して対応していたとのことです。

委託・再委託の複層構造が生む情報管理リスク

今回の事案で注目すべきは、被害を受けたのが直接の委託先ではなく「再委託」事業者だった点です。自治体から民間企業への業務委託は一般的ですが、その委託先がさらに別の企業に再委託するケースでは、情報管理の責任範囲や報告体制が複雑になりがちです。

一般的にランサムウェア攻撃では、攻撃者がシステム内のファイルを暗号化して使用不能にし、復旧と引き換えに身代金を要求します。近年では暗号化と同時にデータを窃取し、支払いに応じなければ情報を公開すると脅迫する「二重恐喝」の手口も増加しています。

報告遅延が示すインシデント対応体制の課題

攻撃発生から都への報告まで4日間を要したことは、委託先における緊急時対応体制の不備を示唆しています。サイバー攻撃による個人情報漏えいの可能性がある場合、迅速な報告と対応が被害拡大防止の鍵となります。

東京都は委託先に原因究明を求めるとともに、詳しい被害状況の調査を開始したと発表しています。今後は実際の情報漏えいの有無、攻撃手法の詳細、再発防止策の策定などが焦点となります。

自治体業務のデジタル化に求められる新たな安全基準

この事案は、自治体が保有する大量の個人情報を扱う委託業務において、より厳格なセキュリティ基準と監督体制が必要であることを示しています。特に水道、電気、ガスなどのライフライン関連の情報は、市民生活に直結するセンシティブな情報であり、その取り扱いには特別な注意が求められます。