国策としての「サイバー防御」とは何か ― 相次ぐ情報流出と新たな利権の芽を問う
本年(2026年)9月の末から10月にかけて、我が国ではかつて無い規模で、各企業が集めた利用顧客個人情報が抜き取られる事件が相次いでいます。
9月28日、タイムズカーを運営する会社は、退会者などを含む約660万件のアカウント情報が第三者に取得されたと発表し、翌29日には、運転免許証などの本人確認書類の画像が流出したアカウントが約160万件にのぼると公表しました。同じ9月29日にはヤマト運輸が「クロネコ代金後払いサービス」への不正アクセスを発表し、10月16日には約526万件の情報が持ち出されたとする調査結果を公表しております。10月5日には焼肉きんぐ公式アプリで約1,078万件、8日にはローソンのローソンIDで約215万件、9日にはskyticketで約1,464万件の顧客情報の流出がそれぞれ公表され、カラオケの第一興商も、委託先への不正アクセスにより約872万件の利用者情報が漏えいしたおそれがあると明らかにしました。さらに10月26日には楽天グループが、「楽天トラベル」の海外ホテル予約サイトなどへの不正アクセスにより、最大約260万件の氏名やメールアドレス、電話番号が流出し、そのうち最大約3万6,000件にはクレジットカードの下4桁や有効期限などの支払情報が含まれていたと発表されており、わずか一月余りの間に、合わせて数千万件という国民の氏名・住所・電話番号・メールアドレスなどが、外部へ持ち出されました。
とりわけ重大なのが、GMOインターネットの「お名前.com デスクトップクラウド」への不正アクセスであり、同社は、10月20日に一部顧客のサーバー環境で第三者による不正なプログラムの設置を確認し、影響の可能性があるサーバーは2万6,739件にのぼると公表しました。さらに同社は、本サービスのシステムに「セキュリティ上の問題がある」ことを把握しながら、サービス低下を懸念した結果、顧客情報が外部に持ち出された事実を認めています。10月24日の第4報では、身に覚えのない取引の報告が利用者から寄せられていること、攻撃者とみられる者から金銭の要求や追加攻撃の予告を受けていることを明らかにし、政府に対して能動的サイバー防御の措置を要請するに至ったのです。
しかし、そのセキュリティ上の問題とは一体何であったのか、どこから侵入し、なぜ二万台を超えるサーバーにまで被害が広がったのか、同社はいまだ具体的な内容を明らかにしておりません。利用者ごとのサーバーのセキュリティ管理は正しく行われていたのか、全てのサーバーに通じる共通の管理者権限の有無やデータ更新を管理する仕組みは十分であったのか。我が国のネット社会の基盤を担う大手企業であるからこそ、その原因を究明し対応対策を包み隠さず国民に説明する責任があると考えます。
そして、これらの事件が続いたのは、いわゆる「能動的サイバー防御法」の本体である「サイバー対処能力強化法」、正式には「重要電子計算機に対する不正な行為による被害の防止に関する法律」が施行された本年(2026年)10月1日の、まさに前後であり、この法律によって基幹インフラを担う企業に重要な電子計算機の届出とサイバー攻撃の報告が義務付けられ、官民で情報を共有する協議会が設けられ、攻撃に使われるサーバーへのアクセス・無害化の措置も始まりました。国を外敵の攻撃から守る仕組みはどのような形であっても主権国家として当然備えるべきものであり、我々もこれを否定はしませんが、我々が問いたいのはその先であり、「能動的」「受動的」の一般の国民には馴染みのない理解できない言葉での説明はやめ、この法制度に対する届出や報告の義務、セキュリティの基準を満たすために、企業は新たに高度なセキュリティ部門の設置や人材確保といった負担を背負うことになります。国民から取れる税や社会保障費が限界に近づく中で、目に見えない形の「情報」や「サイバー空間」を名目に、新しく外郭団体や関係機関、法人が作られ、会員と会費が集められ、そこへ元官僚が天下るという構図が生まれないと誰が言い切れるでしょうか。
国民の情報は国家の財産と考え、国や国民の生命、財産をを守るための法律が、一部の権力者の為の利権となってはなりません。 政府は相次ぐ情報流出事件の原因と責任を明らかにする共にサイバー攻撃を仕掛ける犯人を検挙し、この法律の下で関わる関連団体や委託先企業の人事情報の透明性を国民に公開するべきなのです。そして全ての個人情報を扱う企業は、国の制度を待つまでもなく、自らの責任で国民の情報を守る体制を整えるべきではないでしょうか。我々はこの問題を、これからも厳しく監視、情報発信してまいります。