沖縄総合事務局でFileZen不正アクセス、個人情報1万5091人分の漏洩可能性

「政府機関でなぜFileZenの被害が繰り返されているのか？」
「ファイル転送サービスを使うときに気をつけることは？」

チップス

ボス、沖縄総合事務局でまた個人情報が漏れたみたいでしゅ。FileZenの事件は前にもあった気がするでしゅ。

ボス

そう、2021年の内閣府の事案を思い出すな。同種のサービスが繰り返し標的になっている事実を、組織は直視する必要があるだろう。

政府機関がファイル共有サーバー経由で大規模な個人情報漏洩を出した、注目度の高いインシデントです。
本記事では、沖縄総合事務局が公表したFileZen不正アクセス事件の概要から、組織として取るべき再発防止策までを順を追って解説します。

政府機関だけでなく民間企業でも広く使われているサービスだけに、自社の利用状況を点検するきっかけにしていただける内容です。
最後まで読めば、なにを優先すべきか見えてくるはずです。

事件の概要

まずは公表された事実関係を、漏洩対象の内訳とあわせて整理します。

公表内容と検知タイミング

沖縄総合事務局は2026年4月28〜29日に、同局が利用していた大容量ファイル転送サービス「FileZen」のサーバーに不正アクセスを受けた事実を公表しました。
不正アクセス自体は2026年1月に検知され、ただちに当該サーバーの利用を停止したと説明されています。
同規模の個人情報漏洩は同事務局として初めてで、警察と連携して原因究明にあたっています。

漏洩した情報の内訳

漏洩の恐れがあるのは、羽地大川土地改良区の土地原簿で4930人分、セミナー参加者名簿で8549人分など多岐にわたります。
外部講師の経歴書3人分には、学歴や生年月日が含まれていた点も見逃せません。
港湾関係の定時総会資料695人分も含まれ、行政手続きの幅広い情報がひとつのサーバーに集約されていた実態が見えてきます。

チップス

セミナーの参加者名簿が一番多いんでしゅね……写真も流出した可能性があるって、こわすぎるでしゅ。

原因と教訓

FileZen系の事案がなぜ繰り返されるのか、その背景と教訓を見ていきます。

繰り返される標的の構図

FileZenは2021年に内閣府でも不正アクセスを受けた経緯があり、政府機関や自治体で長く採用されてきたサービスです。
標的にされやすい背景には、外部公開のWebインターフェースから多くの組織が機微情報を授受している、という構造があります。
同種のSaaSやアプライアンスでも、利用継続中なら脆弱性情報を継続的に追跡することが欠かせません。

取り組むべき再発防止策

第一に、ファイル転送サーバーには保存期間を明確に定め、用済みのデータは速やかに削除する運用が必要です。
第二に、IPS/WAFや多要素認証で外部公開面を多層化し、脆弱性公開時には即時パッチが適用できる体制を整えます。
そして第三に、漏洩を前提にしたインシデントレスポンス手順をリハーサルしておくことが、被害発覚から公表までの時間を短縮する鍵です。

ボス

政府の事案だからといって他人事にせず、自社のファイル授受がどこにどれだけ蓄積しているのかを棚卸しすることが先決だな。

まとめ

沖縄総合事務局のFileZen事案は、政府機関での再発という観点からも国内の運用慣行を見直すきっかけになります。
機微情報を扱うサービスは、便利さと裏腹にひとたび侵入されれば被害規模が大きくなります。
自社で同種のサービスを使っている場合は、まず保存データの棚卸しと、脆弱性情報の継続監視から始めましょう。
引用元:琉球朝日放送 – 沖縄総合事務局 個人情報漏洩