デジタル庁なのに個人情報漏えい？マイナンバーは無事か調べてみた
「自分の情報は自分で守る」
古川俊治デジタル相が2026年10月6日の記者会見で、民間の会社で情報漏えいが相次ぐなか、国民に向けて口にした言葉です。
その古川デジタル相が担当するデジタル庁が、10月22日の夜、ホームページの問い合わせフォームに入力された個人情報が漏れた可能性があると発表しました。
件数は、最大で1万3千件あまり。
ネットでは、あの言葉をそのまま返すような投稿が、あきれ半分で広がっています。
自分の情報を自分で守れなかったデジタル庁 いや、何やってんの？
→デジタル庁、問い合わせフォーム入力情報1万件超が漏洩か
→10月7日、デジタル庁は不正アクセスによる個人情報流出を防ぐための注意喚起を行った。…— TotalNewsWorld (@turningpointjpn) 2026年10月22日
デジタル庁なのに、という呆れとあわせて気になるのが、マイナンバーは大丈夫なのか、ということ。
ただ、漏れたかもしれない問い合わせは、どれも何年も前のものでした。
いちばん古いものは2021年5月、デジタル庁がまだ発足していなかったころの問い合わせです。
今回は、マイナンバーは無事なのか、何が漏れたのか、そしてなぜそんな昔の問い合わせまで漏れたのかを調べてみました。
1万3千件の中に入っていたもの
国の役所から漏れたと聞くと、真っ先に頭に浮かぶのはマイナンバーのことではないでしょうか。
ネットにも「国が国民の情報守れんて笑い話にもならんわ！」という声が並んでいました。
デジタル庁の発表に並んでいる対象は、ホームページにあった問い合わせフォームの中身です。
- 一般的な意見や要望 最大8,833件
- 接種証明書アプリについての問い合わせ 最大3,661件
- ワークショップなどへの参加の申し込み 最大462件
- 採用についての問い合わせ 最大250件
- マイナちゃんの着ぐるみを借りたいという問い合わせ 最大117件
接種証明書アプリというのは、新型コロナのワクチンを打ったことをスマホで示すためのアプリのこと。
中身は、名前とメールアドレス、それに問い合わせた文章そのもの。
採用やワークショップの分には電話番号が、着ぐるみの分には所属や送り先の住所も含まれているとのこと。
ただし名前やメールアドレスは、書く欄が任意だったため、書いた人の分だけが対象だそうです。
裏を返せば、2021年5月から2023年3月までのあいだに、デジタル庁のホームページから問い合わせや申し込みをした覚えがなければ、今回の対象には入っていません。
このほか、デジタル庁の職員や委託先で働く人の名前とメールアドレスも入っていました。
発表された項目の中に、マイナンバーやマイナポータルの中身は入っていません。
ただし、まだ「漏れた」と確定したわけでもない段階。
外から取り出せる状態になっていたことは分かっているものの、実際に誰かが持ち出したかどうかは確認できていないんです。
それでも、サービスを提供していた会社の側は、取られたものとみなして対応を進めている、と説明しています。
フォームの中身は、暗号化して保存されていました。
ところが、元に戻すための鍵まで同じ不正アクセスで読み出されたため、内容を知られた可能性がある、とも書かれています。
問い合わせフォームは、困ったときに頼る窓口。
デジタル庁、問い合わせフォーム入力情報1万件超が漏洩か
「基本的な対策を徹底することで多くの被害は防げる」
おい💢どこがだよ。困って問い合わせしてるのにそこ漏洩って💦 pic.twitter.com/0Pwim8MDYa
— ぴらりん (@pipipirarinaoki) 2026年10月22日
そこに書いた文章ごと外へ出たかもしれないと思うと、やはり落ち着かないですよね。
ひとまずマイナンバーは無事でしたが、デジタル庁なのに、と呆れてしまう話は、発表の遅さと、漏れた中身の古さにもありました。
埼玉県は報告を受けた日の夜に発表していた
では、どこから漏れたのでしょうか。
入り込まれたのは、デジタル庁がホームページの一部を作るのに使っていた「Studio」という、ウェブサイト作成サービスの会社でした。
専門の知識がなくても画面の上でホームページを組み立てられる国産のサービスで、問い合わせフォームもその中で作れるようになっています。
Studio株式会社の発表によると、流れはこうです。
- 2026年9月30日から10月1日 第三者が不正にアクセス
- 10月13日 社内の調査で気づく
- 10月14日まで 穴をふさぐ
- 10月16日 お詫びとお知らせを公開
しかも、外からデータを取り出せる状態は、穴をふさぐまで続いていたといいます。
そして対象は、Studioに登録しているすべての利用者だそうです。
同じサービスを使っていた会社や役所が、まとめて巻き込まれた形。
使っていた側の人たちのあいだでは、Studioの対応への厳しい声も出ていました。
Studioの不正アクセスによる情報流出の件で、Studio社への厳しい意見や、解約を検討する声もちらほら見かけます。⁰方山もStudio社の初動対応には「おいおいおい」と思ったうちの1人です。…
— 方山れいこ (@denkiry) 2026年10月18日
その中には、Studioから知らせを受けたその日のうちに動いた役所もあります。
埼玉県は、県の施設「さいたま緑の森博物館」のイベント申し込みと問い合わせの162件について、知らせを受けた10月16日の夜9時に発表していました。
千葉県は10月20日に発表し、その日までに、対象になるかもしれない人へ不審なメールに気をつけるよう知らせたそうです。
デジタル庁も、Studioから報告を受けたのは同じ10月16日でした。
ところが、デジタル庁が発表したのは、それよりずっと後。
古川デジタル相は、発表の翌日の会見で、「実際にデータ侵害があったかは現在不明で、報告を求めている。状況を確認する必要があり、すぐに公表できなかった」と説明しています。
確認に時間がかかる事情は、たしかにあるのでしょう。
ただ、知らせを受けたその日に発表した県がある以上、国の役所の発表がそれより後になったことは、どうしても目に入ってしまいます。
しかもデジタル庁の発表文には、対象の人へ個別に連絡するかどうかが書かれていません。
完全に削除していれば対象外だった問い合わせ
漏れたかもしれない問い合わせは、2021年5月から2023年3月までに入力されたものです。
発表文には、デジタル庁だけでなく「デジタル改革関連法案準備室」の分も含む、とわざわざ断り書きが。
デジタル庁の発足は2021年9月なので、その前の準備の段階で受けた問い合わせまで含まれていました。
逆に、2023年4月より後に送られた問い合わせは、今回の対象に入っていません。
では、なぜ何年も前の分まで漏れたのでしょうか。
Studioのお知らせには、対象になる回答の線引きが書かれていました。
【重要】不正アクセスによる情報流出に関するお詫びとお願い
弊社が利用するクラウド環境に第三者による不正アクセスがあり、お客様の情報が外部に流出した可能性があります。
お客様ならびに関係する皆様に多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。…— Studio | Web制作を、ノーコードで。 (@StudioDesign) 2026年10月16日
対象になるのは「Studioに保存されていた回答」で、ゴミ箱に移しただけの回答も含まれるそうです。
いっぽうで、2026年9月30日より前に「完全に削除」した回答は含まれない、とはっきり書かれています。
Googleフォームなど外のサービスを埋め込んで受け付けていた分も、対象外とのこと。
3年以上前の問い合わせが今回の対象に入ったのは、9月30日の時点でもStudioの中に保存されたままだったためです。
攻撃を防げなかったことばかりに目が行きますが、この件にはもう一つの顔があります。
何年も前の問い合わせが、預けた先に消されずに残っていたんです。
なぜ残していたのかは、発表文には書かれていません。
役所の文書には、公文書管理法で保存の期間が決められているものもあるので、残っていたこと自体が間違いだったとまで言い切るのは早いでしょう。
それでも送った側からすれば、自分の問い合わせがいまもどこかに残っているとは、なかなか思わないものですよね。
10月7日に国が企業へ求めていた消去
大臣の呼びかけの翌日のこと。
個人情報保護委員会は、企業に向けた注意を出していました。
そこには「不要となった個人データの消去」という項目が立てられています。
法律の条文を引いたうえで、使い終わった個人データは、すぐに消すよう努めなければならない、という中身です。
さらに「こうした対応が徹底されず、漏えい等事案がより深刻化するといった事例にも接しています」という一文まで。
法律で保存の期間が決められている場合は別だとことわりつつ、とっておいている個人データが本当に必要なのか、根拠と一緒に確かめるよう念を押す内容でした。
同じ注意の中には、クラウドサービスを使っていた会社が、預けた先の扱いを確かめていなかった例も載っています。
企業に向けたこの条文は「消すよう努めなければならない」という書き方です。
では、役所はどうなのでしょうか。
国の役所に向けた条文は、もっと強い言い方。
個人情報保護法の第61条2項には、行政機関は、決めた目的に必要な範囲を超えて「個人情報を保有してはならない」と書かれています。
企業には「努めて」、役所には「してはならない」。
今回の件がこの一行に当たるのかどうかは、デジタル庁が残していた理由を説明しないかぎり、外からは決められません。
警察で長く捜査をしてきた人も、国の足元を問う投稿をしています。
デジタル庁は情報を守る前に、情報がどこへ行ったか調査中。警察は情報を守る立場で、自分たちの情報が流出した可能性。国民にセキュリティーを説くなら、まず自分たちの足元を点検したらどうだ🤔最大の問題は、不正アクセスを受けた事実だけではないだろ。国が委託先の情報管理をどこまで監督していた…
— 佐藤誠(元警視庁捜査第一課) (@Makoto_OB) 2026年10月23日
デジタル庁は時事通信の取材に対し、「結果的に管理体制に不十分な面があったことから、今後、さらなる改善に努めていく」とコメントしたそうです。
問い合わせた人に残された1つの対策
では、昔デジタル庁に問い合わせた覚えのある人は、何をすればいいのでしょうか。
ネットでは、大臣の言葉をもじってこんな投稿まで出ています。
デジタル庁『自分の情報は自分で守れ！オレはお前らの情報を漏らす！」
デジタル庁、ホームページの問い合わせフォームに入力された内容など最大1万3000件余りが外部に流出 pic.twitter.com/GvMg6eoOKy— NewsNews.Today (@newsnews_today) 2026年10月23日
大臣の言葉と今回の漏えいが並べば、笑い話にされても仕方ありませんが、問い合わせた側にとっては、笑ってばかりもいられません。
古川デジタル相が会見で頼んだ対策は、3つありました。
- パスワードの使い回しをやめる
- 多要素認証を使う
- 不審なメールやSMSに気をつける
ところが、問い合わせフォームにパスワードを入れた人はいません。
漏れたかもしれないのは名前とメールアドレスと文章なので、1つ目と2つ目は、今回の件では出番がないんです。
残るのは、不審な連絡に気をつけることだけ。
しかも、問い合わせた文章まで外に出ているかもしれない以上、偽の連絡はそれらしく作れてしまいます。
もし「以前お問い合わせいただいた件で」と始まる連絡が届いても、そこにあるリンクは開かないでください。
デジタル庁は発表文の中で、パスワードやクレジットカードの番号をメールや電話で聞くことはない、と書いています。
確かめたいときは、自分で開いたデジタル庁の公式サイトから。
古川デジタル相自身も会見で、リンクを開かずに「必ず公式ウェブサイトや公式のアプリからアクセスを」と頼んでいました。
Studioも、この件に便乗して自分たちを装ったメールが送られるおそれがあるとして、注意を呼びかけているところ。
心配な人は、発表文の末尾にあるデジタル庁の窓口へメールで問い合わせることもできます。
「自分の情報は自分で守る」と言われても、預けた先に残っている問い合わせまでは、送った側の手は届きません。
守り方を国民に頼んだその同じ月に、3年以上前の問い合わせが預けた先から漏れたかもしれないというのは、やはり納得しにくいですよね。
この記事で参考にした情報
- デジタル庁「Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について」（2026年10月22日）
- Studio株式会社「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日公開・18日更新）
- デジタル庁「古川大臣記者会見（令和8年10月6日）」
- 時事通信（2026年10月6日・10月23日配信）
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
- 個人情報の保護に関する法律 第22条・第61条
- 埼玉県（2026年10月16日）・千葉県（2026年10月20日）の発表
