サイバー攻撃に無防備な日本

──このままでは「手書き」と「現金」に戻るしかないのでは

このところ、毎日のようにサイバー攻撃のニュースが飛び込んできます。 大企業、鉄道、物流、大学、行政機関。業種も規模も関係ありません。ある日突然、何者かにコンピューターシステムを乗っ取られ、業務が停止し、何十万人、何百万人もの個人情報が流出します。

まるで日本という国全体が、世界中のハッカーたちの草刈り場になっているような印象すら受けます。 もちろん、サイバー攻撃は日本だけで起きているわけではありません。しかし、最近の日本における被害の広がり方を見ると、もはや「一部の企業のセキュリティ対策が甘かった」という説明では済まされないところまで来ているのではないでしょうか。

直近の被害を振り返ってみましょう。 9月28日、駐車場やカーシェアリングサービスを展開するパーク24が、タイムズカーに関係するシステムへの不正アクセスを公表しました。最大約660万件の会員情報が漏洩した可能性があり、その後、運転免許証や住民票の写しなど、本人確認書類の画像約160万件の流出も判明したと報じられています。

これは、単なるメールアドレスの流出とは次元が違います。運転免許証には、氏名、住所、生年月日、顔写真などが記載されています。こうした情報が犯罪者の手に渡れば、なりすましや不正契約などに悪用される恐れがあります。しかも、パスワードと違って、生年月日や過去の住所は簡単に変更できません。一度流出した情報を完全に取り戻すことは、事実上不可能なのです。

10月に入ってからも被害は続きました。大阪公立大学では、ランサムウェアとみられる攻撃によって学内システムに障害が発生し、授業を約1週間休講する事態となりました。学生や関係者など約13万人の個人情報が流出した恐れも報じられています。 10月7日には、IDCフロンティアが提供するクラウドサービスへのランサムウェア攻撃が公表され、契約する495の企業や自治体に影響が及びました。

10月9日にはJR東日本のメール配信サービスに関する情報漏洩問題も明らかになり、えきねっと会員約167万件、大人の休日倶楽部会員約39万件が対象となる可能性が指摘されました。 ほかにも、シチズン時計、旅行大手HIS、物流関係企業、コンビニエンスストア関連サービスなど、被害を公表した企業や組織の名前を挙げればきりがありません。 そして現在進行形のGMO証券です。

重要なのは、こうした事件のすべてが同じ手口で起きているわけではないということ。ランサムウェアによる業務停止もあれば、不正アクセスによる情報窃取もあり、委託先のシステムが侵入されるケースもあります。つまり、自社がいくら注意していても、外部の委託業者やクラウドサービスが破られれば、被害に巻き込まれる可能性があるのです。 もはや「わが社は大丈夫」と胸を張れる経営者が、どれだけいるでしょうか。

そして、僕が何より情けないと思ったのは、デジタル庁自身が個人情報漏洩の可能性を公表したこと。 9月11日、デジタル庁は、政府機関が利用する「ガバメントソリューションサービス（GSS）」への不正アクセスにより、個人情報を含むファイルの一部が外部に漏洩した可能性があると発表しました。6月25日に保守運用担当者のアカウントを利用した大量のファイルへのアクセスを検知し、調査していたということです。

ただし、対象は政府機関の職員や業務関係者に関する情報であり、一般国民の個人情報は含まれていないと説明。ホントかなあ。信じられない。国会議員はもっと追及するべき。 デジタル庁とは、そもそも何のために設立された役所だったのでしょうか。

2021年、行政の縦割りを打破し、デジタル社会を実現する司令塔として誕生した組織です。マイナンバーカードの普及を進め、行政手続きのオンライン化を推進し、国民の生活をより便利にすると説明してきました。 ところが、その司令塔が、自ら管理するシステムへの不正アクセスを許してしまったわけだから、ショームナイ。

国民に対して「デジタル化は便利です」「安全です」「安心して情報を預けてください」と呼びかけてマイナンバーカードを作らせた政府には、一般企業以上に重い説明責任があるはずです。

なぜ侵入されたのか。どのような情報が危険にさらされたのか。再発防止策は十分なのか。そして、万一情報が悪用された場合、誰がどこまで責任を負うのか。これもまた、ワクチン問題と相似形。「安全」と言って国民を扇動し、それが安全でないとわかっても誰も責任を負わないんだからね。

しかも10月6日、デジタル大臣は記者会見で、国民に対してパスワードの使い回しをやめること、多要素認証を利用すること、不審なメールに注意することなどを呼びかけました。 おいおいおい......この超高齢化社会で、そんなことで犯罪が防げると思うなよ、と言いたい。

政府や企業がデータを集中管理する仕組みをつくっておきながら、被害が発生すると「皆さんも気をつけてください」では、責任の所在が逆転しているだろう。 なぜ今、日本がこれほど狙われているのでしょうか。 第一に、サイバー犯罪が巨大なビジネスになっていること。

代表的なのが「ランサムウェア」と呼ばれる身代金要求型の攻撃です。企業のシステムに侵入し、データを暗号化して使えなくします。復旧したければ金を払えと脅迫し、さらに盗み出した情報を公開すると脅します。

近年は攻撃用のソフトウェアや侵入手段まで犯罪者同士で売買され、専門知識の乏しい者でも攻撃に参加できる仕組みが広がっています。 第二に、日本企業のデジタル基盤が抱える構造的な弱さ。 古いシステムを継ぎ足しながら使い続け、管理を外部業者に任せ、社内に十分な専門人材を置かない。

こうした問題は以前から指摘されてきました。経営者にとって、サイバーセキュリティへの投資は利益に直結しにくく、後回しにされがちだったのです。 第三に、技術大国・日本には、犯罪者にとって価値の高い情報が大量に存在すること。盗み出した情報を売ることもできれば、業務停止による損失を恐れる企業に身代金を要求することもできます。取引先や委託先を踏み台にして、大企業へ侵入することも可能です。

警察庁によれば、2026年上半期の国内のランサムウェア被害報告は123件と、半期として過去最多となりました。もはや個々の企業の努力だけで解決できる問題ではありません。国家の経済安全保障そのものに関わる事態なのです。 そして、僕が最も心配しているのが医療情報。 政府は医療DXを推進し、電子カルテの普及や医療情報の共有を進めています。

患者が別の病院にかかっても、必要な診療情報を確認できます。重複検査や薬の飲み合わせによる事故を減らせます。救急医療でも、既往歴や服薬情報が分かれば迅速な判断につながります。電子カルテの利点は確かに大きいものです。 しかし、その情報が犯罪者に盗まれたらどうなるのでしょうか。

病歴、検査結果、服薬歴、精神疾患の治療歴、感染症の情報、遺伝性疾患、妊娠や不妊治療に関する記録。こうした情報は、単なる住所や電話番号とは違います。誰しも、他人に知られたくない病気があります。性病など、家族にさえ打ち明けていない治療歴があります。 職場には伏せている健康上の事情もあります。それらが本人の意思に反して流出し、インターネット上にさらされるとしたら、どれほど恐ろしいことでしょう。

ワクチン接種歴もそう。医療情報は、個人情報の中でも最も慎重に扱われるべきものの一つです。 実際、10月6日には旭化成セラピューティクスが、医療従事者向け情報提供サイトへの不正アクセスにより、会員データベース内の個人情報が不正に閲覧、取得された可能性を発表しました。これは患者の電子カルテ情報が流出した事件ではありません。

しかし、医療関連の情報システムも決して攻撃と無縁ではないことを示しています。 電子カルテが攻撃を受けた場合、情報漏洩だけでは済みません。診療記録が参照できない、検査結果が確認できない、処方が滞る。最悪の場合、患者の生命に関わります。

すべての医療情報を一カ所に集めればよいという単純な話でもありません。必要な情報だけを必要な医療者が確認できる仕組み、厳格なアクセス管理、暗号化、監査記録、そしてシステムが停止しても診療を継続できる体制が不可欠です。

患者自身が、自分の情報を誰がどのような目的で利用するのか、理解し、納得できる制度でなければなりません。 ここで思い出すのが、台湾のオードリー・タン氏のこと。

台湾でデジタル担当閣僚を務めたタン氏は、プログラマーとしての高い専門性を持ち、行政の透明性や市民参加を重視するデジタル政策を推進してきました。 タン氏の優れた点は、単にコンピューターに詳しいことではありません。技術を国民に押しつけるのではなく、技術によって国民の信頼をどう獲得するかを考えてきたことです。

では、なぜ日本では、こうした専門性と理念を兼ね備えた人物をデジタル政策のトップに据えることができないのだろう？ 日本のデジタル庁にも優秀な技術者や専門家はいるはず。大臣自らプログラムを書けなければならないという話でもない。

しかし、デジタル政策を担う大臣が、技術の本質や危険性をどこまで理解し、専門家の意見を政策に反映できているのかは、厳しく問われるべきでしょう。 日本では大臣の人選が、その道のスペシャリストよりも、政党内の力学や当選回数で左右されてしまう。それで、簗前大臣みたいな、とんでもない人間がやすやすと大臣になってしまう。

政治家のパワーバランスが優先され、技術的な知見が重視されない。それが、日本の政治の最大の欠陥だと思う。コロナ政策が失敗だらけのとき、だから僕は、本気で半年、いや、３ヵ月でもいいから厚労大臣をやらせてもらえないかなと思ったのもこの点にあります。 さて、ここまでサイバー攻撃の現状を見てくると、我々は、「手書き」と「現金」に戻るしかないのではないか、と本気で思えてきます。

便利になればなるほど、我々は目に見えないネットワークに生活を依存させています。そのネットワークが破られたとき、社会全体が機能不全に陥る危険性を抱えているのです。だからといって、すべてを紙に戻せばよいとは思いません。紙のカルテにも紛失や盗難の危険がありますし、現金にも盗難や管理の負担があります。

デジタル技術を捨てることが解決策ではありません。しかし、デジタルしか選べない社会にしてしまうことは、もっと危険ではないでしょうか。 デジタル化とは、本来、人間を幸せにするための手段だったはずです。それがいつの間にか、デジタル化すること自体が目的になってしまいました。

政府には、マイナンバーカードの普及率や電子カルテの導入率を誇る前に、国民の情報をどこまで守れるのかを示してほしいと思います。

どんどん日本は、国民から、いや、世界からの信頼を今、失いつつあることを憂う２０２６年の秋です。

PS)

グンと寒くなりました。

風邪を引かないようにね。

風邪かな？と思ったら無理に食べずに寝てね。

できれば、アレを飲んで。