デジタル庁の情報漏洩｜Studioのフォーム最大13,323件の範囲と不審メールへの備え 2026

デジタル庁は2026年10月22日、ホームページの運営の一部に使っていたStudio株式会社のサービスが第三者から不正アクセスを受け、個人情報が外部に漏えいした可能性があると発表しました。対象となり得るのは、2021年5月から2023年3月までにデジタル庁のホームページの問い合わせフォームに入力された内容で、内訳の合計は最大13,323件（氏名、メールアドレス、問い合わせ内容など）と、職員や委託事業の従事者のStudioアカウントの情報35件です。この時期にフォームを使った人がまずすることは、デジタル庁や関係機関を名乗るメール、電話、SMSのリンクや添付ファイルを開かないこと、パスワードやクレジットカード番号を入力しないこと、心当たりがあれば発表に載っている窓口にメールで確かめることの3つです。

この記事では、2026年10月23日時点でデジタル庁とStudio株式会社が出している公式の発表だけを根拠に、分かっていることと、まだ精査中のことを分けて整理します。2026年9月に公表された「ガバメントソリューションサービス（GSS）」への不正アクセスとは別の事案なので、その違いも途中で説明します。

2026年10月23日時点で分かっていること

まず、発表の要点を並べます。

• 発表した組織：デジタル庁（デジタル改革関連法案準備室の時期を含む）
• 対象のサービス：デジタル庁のホームページ運営の一部に使っていた、Studio株式会社のWebサイト制作サービス「Studio」
• 何が起きたか：第三者がStudio株式会社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていた
• デジタル庁が報告を受けた日：2026年10月16日
• 発表日：2026年10月22日
• 対象となり得る件数：問い合わせフォームの内容が5種類で最大13,323件、Studioアカウントの情報が35件
• 二次被害：現時点で、漏えいした個人情報が悪用されるなどの二次被害は確認されていない
• 範囲：漏えいした可能性がある個人情報の範囲は「現在精査中」

ここで大事なのは、「漏えいした」と確定した発表ではないことです。デジタル庁の発表の題は「漏えいの可能性について」で、本文も「漏えいした可能性があることが判明」「対象となり得る個人情報」という言い方をしています。件数もすべて「最大」が付いています。フォームの名前やメールアドレスは任意で書く欄だったものが多く、実際に何人分の名前が入っているかは、精査が終わるまで分かりません。

Studioは、コードを書かずにWebサイトを作れるサービスです。今回の不正アクセスでは、Studioでフォームを運用していた多くの組織が、それぞれ利用者に向けた発表を出しています。デジタル庁の発表もその1つです。

2026年10月23日の朝の時点で、デジタル庁のプレスルームの一覧に、この件の続報や訂正は出ていません。発表は10月22日の1本だけです。

公表の経緯：Studioからの報告と10月22日の発表

時系列を、デジタル庁とStudio株式会社の発表から組み立てると次のようになります。

日付	出来事	出典
2026年9月30日から10月1日	第三者による不正アクセス（Studio株式会社が現時点で確認できている期間）	Studio株式会社
2026年10月13日	Studio株式会社が社内の調査で不正アクセスを確認	Studio株式会社
2026年10月13日から14日	脆弱性を修正し、不正アクセスに使われた経路を塞ぐ。外部から取得できる状態を解消	Studio株式会社
2026年10月16日	Studio株式会社が第一報を公開。デジタル庁に同社から報告	両者
2026年10月17日	Studio株式会社がフォームの利用者向けに、個人情報保護委員会への報告についての案内を公開	Studio株式会社
2026年10月22日	デジタル庁が「Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について」を公表	デジタル庁

デジタル庁の発表は、Studio株式会社からの報告の内容をこう書いています。

Studio 株式会社から、第三者が同社のクラウド環境に不正にアクセスをし、環境内のデータを外部から取得できる状態にしていたことを確認した旨の報告が、令和8年（2026年）10 月16日にありました。 出典: digital.go.jp

デジタル庁が報告を受けたのは10月16日で、発表はその6日後の10月22日です。発表の時点で、フォームごとの件数と項目までは示されていますが、範囲は「現在精査中」とされています。今後、精査の結果として件数が変わったり、対象者への連絡の方法が示されたりする可能性があります。

対象かもしれない人は、数日おきにデジタル庁のプレスルームの一覧を見ておくと、続報に気づけます。件数と項目は、ニュースの見出しではなくデジタル庁の発表そのもので確かめてください。

漏えいした可能性がある項目と件数

デジタル庁の発表に載っている対象を、フォームごとに表にします。問い合わせフォームの対象期間は、令和3年（2021年）5月から令和5年（2023年）3月までの間です。

フォームの種類	件数（最大）	対象となり得る項目	任意記入の注記
一般的なご意見・ご要望	8,833件	氏名、メールアドレス、問合せ内容	氏名、メールアドレスは任意で記入した場合に限る
採用に関するお問合せ	250件	氏名、メールアドレス、電話番号、問合せ内容	氏名、メールアドレス等は任意で記入した場合に限る
接種証明書アプリに関するお問合せ	3,661件	氏名、メールアドレス、問合せ内容	氏名、メールアドレス等は任意で記入した場合に限る
マイナちゃんの着ぐるみの借用に関するお問合せ	117件	氏名、メールアドレス、所属、送付先住所、電話番号等	氏名、メールアドレス等は任意で記入した場合に限る
ワークショップ等その他の参加関連	462件	氏名、メールアドレス、所属、電話番号等	注記なし
Studioアカウントの情報	35件	デジタル庁職員またはデジタル庁の委託事業従事者の氏名、メールアドレス	なし

5種類のフォームを足すと最大13,323件になります。数が最も多いのは「一般的なご意見・ご要望」の8,833件で、次が「接種証明書アプリに関するお問合せ」の3,661件です。接種証明書アプリとは、新型コロナウイルスのワクチン接種の証明書をスマートフォンで表示するためのアプリのことで、2021年から2022年ごろに問い合わせが多かった時期と、対象期間が重なります。

項目を見ると、住所が含まれるのは「マイナちゃんの着ぐるみの借用」の送付先住所だけです。マイナちゃんはマイナンバーカードの広報に使われているキャラクターで、着ぐるみを借りたいイベントの主催者などが、送り先の住所を書いていたと考えられます。電話番号が含まれるのは、採用、着ぐるみの借用、ワークショップ等の3種類です。

一方で、「含まれない」と明記された項目は、デジタル庁の発表にはありません。マイナンバー、口座番号、クレジットカード番号について、今回の発表は含まれるとも含まれないとも書いていません。ただし、フォームの項目として並んでいるのは上の表のとおりで、これらの番号を入れる欄は挙がっていません。問い合わせ内容の欄に自分で番号を書き込んだ場合は、その文章ごと対象になり得るので、何を書いたかを思い出しておくと安心です。

Studio株式会社の発表には、フォームのデータについて、対象にならないものの説明があります。これはStudioのフォーム全般についての説明で、デジタル庁のフォームに限った説明ではありません。

• 「フォームの結果をStudioに保存」を無効にしていた間に送信された回答は含まれない
• 2026年9月30日より前に「完全に削除」した回答は含まれない
• 添付されたファイルはファイル名のみが対象で、ファイルの中身は含まれない
• 外部サービス（Googleフォームなど）のフォームを埋め込んでいる場合、回答はStudioを経由しないため含まれない

逆に、ゴミ箱に移しただけの回答や、テスト送信した回答は対象に含まれると書かれています。

原因について発表されていること

原因について、デジタル庁の発表に書かれているのは「第三者が同社のクラウド環境に不正にアクセスをし、環境内のデータを外部から取得できる状態にしていた」という、Studio株式会社からの報告の内容だけです。デジタル庁自身のシステムが攻撃を受けたという発表ではありません。

Studio株式会社の第一報は、もう少し詳しく書いています。

第三者がStudioの一部機能の脆弱性を悪用して弊社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたことを確認いたしました。 出典: studio.design

脆弱性とは、ソフトウェアの作りの上の弱点のことで、本来は入れない場所に入り込む足がかりになるものです。Studio株式会社は、この状態が2026年10月14日に同社が対処するまで続いていたこと、実際に第三者に取得された事実は確認できていないものの、取得されたものとみなして対応を進めていることを発表しています。脆弱性はすでに修正し、不正アクセスに使われた経路も塞いだとしています。

どの機能のどんな弱点だったか、誰が攻撃したかは発表されていません。原因の詳しい調査は、外部の専門機関に依頼する方向で調整中とされています。つまり、2026年10月23日時点では「原因の詳細は調査中と発表」という段階です。

もう1つ押さえておきたいのは、Studio株式会社が、フォームに送信された内容を暗号化して保存していたものについても、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があると書いていることです。暗号化とは、データを鍵が無いと読めない形に変えておくことですが、鍵も一緒に取られてしまうと守りにならない、という意味です。デジタル庁のフォームの内容が暗号化されていたかどうかは、デジタル庁の発表には書かれていません。

デジタル庁とStudioの対応

デジタル庁の発表に書かれている対応と、書かれていないことを分けます。

発表に書かれていること。

• 漏えいした可能性がある個人情報の範囲を精査している
• 現時点で、二次被害は確認されていない
• デジタル庁や関係機関を装った不審なメール、電話、SMSへの注意を呼びかけている
• デジタル庁からパスワードなどの認証情報、クレジットカード情報などをメールや電話で尋ねることはない、と明記している
• 問い合わせ先として、国民向けサービスグループ省庁統一ウェブサイト担当のメールアドレスを示している

発表に書かれていないこと。

• 対象者一人ひとりへの個別の連絡を行うかどうか
• 専用の電話窓口
• 補償やお詫びの品などの扱い
• 個人情報保護委員会への報告の有無

書かれていないことは、行わないという意味ではありません。精査が終わったあとに追加の案内が出る可能性はあるので、それまでは自分で守りを固めておくのが現実的です。

Studio株式会社のほうは、次の対応を発表しています。

• 脆弱性を修正し、不正アクセスに使われた経路を塞いだ
• 決済やログインに使うものを含め、同社が使っていた認証情報を新しいものに切り替えた
• フォームの送信内容などを暗号化する鍵を2026年10月17日に新しい鍵へ切り替えた
• データの改ざんや削除は、現時点で確認されていない
• 個人情報保護委員会への報告をはじめ、関係機関への対応を進めている
• 対象の範囲と件数、二次被害の有無、原因の調査結果と再発防止策は、確認が取れ次第続報で知らせる

Studio株式会社は、フォームから情報を送信した人には、送信先のサイトの運営者から案内がある場合があるとも書いています。デジタル庁のフォームを使った人にとっての「送信先のサイトの運営者」は、デジタル庁です。

9月に公表されたGSSの件とは別の事案

「デジタル庁 情報漏洩」で調べると、2026年9月11日に公表された別の事案の記事が多く出てきます。こちらはStudioとは関係がなく、デジタル庁が運用する「ガバメントソリューションサービス（GSS）」への不正アクセスです。GSSとは、各府省庁の職員が使う業務用のパソコンやネットワークをまとめて提供する、政府の共通の仕事の環境のことです。

2つの事案の違いを表にします。

項目	2026年9月11日公表（GSS）	2026年10月22日公表（Studio）
不正アクセスを受けたところ	デジタル庁が運用するGSS（VPN機器の脆弱性を利用した侵入）	Studio株式会社のクラウド環境
件数	約24.6万件	フォームの内容が最大13,323件、Studioアカウントの情報が35件
対象の人	GSS利用機関の職員、業務に携わった公務員等、業務に携わった事業者と個人	デジタル庁のホームページのフォームに入力した人など
一般の人の情報	一般の国民の個人情報は含まれないと発表	フォームに入力した一般の人が含まれ得る
含まれないと明記された項目	マイナンバー、金融機関口座情報、年金番号等	明記なし
窓口	専用フリーダイヤル 0120-360-036 ほか	省庁統一ウェブサイト担当のメール

GSSの件の発表では、漏えいした可能性がある個人情報の属性として、氏名が約23.6万件、メールアドレスが約23.1万件などと示され、デジタル庁が対象者を特定して順次個別に連絡するとされています。詳しくはデジタル庁のGSSの件の発表で確かめられます。

一般の人がデジタル庁の問い合わせフォームを使ったことがある場合に関係するのは、10月22日に公表された今回のStudioの件のほうです。逆に、官公庁の仕事を受けている事業者や個人で、GSSを使う機関とWeb会議やメールのやり取りがあった人は、9月の件の対象になり得ます。

自分が対象かを確かめる方法

今回の対象かどうかは、次の4つで見当を付けられます。

1. 2021年5月から2023年3月までの間に、デジタル庁のホームページの問い合わせフォームを使ったか
2. 使ったのは、ご意見・ご要望、採用、接種証明書アプリ、マイナちゃんの着ぐるみの借用、ワークショップ等の参加のどれか
3. フォームに氏名やメールアドレスを書いたか（任意の欄だったものが多い）
4. 問い合わせ内容の欄に、自分の事情や番号を書き込んだか

手がかりになるのは、自分のメールの受信箱です。「デジタル庁」「digital.go.jp」「お問い合わせ」などの語で2021年から2023年のメールを検索してみてください。申し込みや問い合わせのメールが残っていれば、対象の時期に使ったかどうかが分かります。

メールアドレスを書かずに送った場合や、名前を書かずに意見だけを送った場合は、個人を特定できる情報が含まれていない可能性があります。ただし、問い合わせ内容の欄に自分の名前や勤め先を書いた場合は、その文章が対象になり得ます。

記憶がはっきりしない場合は、発表に載っている窓口にメールで問い合わせる方法があります。その際、送るのは「いつごろ、どのフォームを使ったか」程度にとどめ、パスワードやカード番号などは書かないでください。デジタル庁は認証情報やクレジットカード情報をメールや電話で尋ねないと発表しているので、返信でそうした情報を求められたら、それは本物の返信ではないと考えてよいでしょう。

自分のメールアドレスが過去の別の漏えいに含まれていないかを、まとめて調べておくのも役に立ちます。登録したメールアドレスが既知の漏えいデータに含まれているかを無料で調べる方法と、結果の読み方はHave I Been Pwnedで漏えいを調べる方法で解説しています。

届きやすい偽メール・SMS・電話と見分け方

今回、対象になり得る情報の中心は氏名とメールアドレスです。こうした情報が漏れたときに起きやすいのは、本物らしく見せかけた連絡で、さらに別の情報を聞き出そうとする手口です。デジタル庁の発表も、デジタル庁や関係機関を装った不審なメール、電話、SMSへの注意を呼びかけています。

この件に便乗した連絡として考えられるのは、次のような形です。

• 「デジタル庁ホームページの個人情報漏えいについて」「お詫びと確認のお願い」という件名で、本人確認のためのリンクに誘うメール
• 「接種証明書アプリ」「マイナンバーカード」「マイナポータル」などの言葉を使い、ログインや再登録を求めるメールやSMS
• 「補償の手続きのため口座を確認したい」と電話で聞いてくる連絡
• 問い合わせのときに書いた内容に触れて、本物の担当者のように装う返信

見分けるときの基本は、次の3つです。

1. 連絡の中のリンクを押さない。公式の情報は、自分でブラウザのブックマークや検索からデジタル庁のサイトを開いて確かめる
2. パスワード、認証コード、カード番号、口座番号は、どの連絡で聞かれても入力しない。デジタル庁はこれらをメールや電話で尋ねないと発表している
3. 急がせる文面ほど疑う。「本日中に」「24時間以内に」と期限を切る連絡は、考える時間を奪うための典型的な書き方

差出人のアドレスが「digital.go.jp」で終わっていても、それだけで本物とは言い切れません。表示される差出人の名前やアドレスは偽装できることがあり、よく似た綴りのドメインが使われることもあります。迷ったら開かずに削除し、気になる場合は自分でデジタル庁のサイトを開いて、同じ内容の案内が出ているかを確かめます。

偽メールの典型的な見た目や、組織で訓練として見分け方を学ぶ方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで取り上げています。

電話番号が含まれ得るのは、採用、着ぐるみの借用、ワークショップ等のフォームを使った人です。SMSは電話番号だけで届くので、この3種類を使った人は、宅配の不在通知や料金の未払いを装うSMSにも、いつも以上に注意してください。

対象かもしれない人がすること

漏れた可能性がある項目に合わせて、やることを分けます。全部をやる必要はなく、自分が書いた項目に関係するものだけで構いません。

メールアドレスを書いた人

• 迷惑メールの振り分けが働いているかを確かめる。メールソフトの迷惑メールフォルダを時々開き、本物の連絡が紛れ込んでいないかも見ておく
• そのメールアドレスで登録しているサービスのうち、同じパスワードを使い回しているものがあれば、別々のパスワードに変える。今回の発表にパスワードは挙がっていないが、メールアドレスを手がかりに、使い回しのパスワードを試す不正ログインが起きることがある
• 大事なサービス（メール、ネット銀行、買い物のサイト）では二段階認証を設定する。二段階認証とは、パスワードに加えて、スマートフォンに届く番号や認証アプリの番号を入れないとログインできないようにする仕組みのこと

二段階認証の種類と、設定するときの考え方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で詳しく説明しています。会社向けの記事ですが、認証アプリとSMSの違いなど、個人の設定にもそのまま使える内容です。

電話番号を書いた人

• 知らない番号からの電話で、デジタル庁や役所を名乗られても、その場で個人情報を答えない。いったん切って、自分で調べた代表番号にかけ直す
• SMSのリンクを押さない。特に、アプリのインストールを求めるものは開かない

送付先住所を書いた人（着ぐるみの借用）

• 役所や団体を名乗る郵便物で、振り込みや書類の返送を求めるものが届いたら、書かれている連絡先ではなく、自分で調べた連絡先に確かめる

住所が漏れたかもしれないときに起きやすいことと、その後の備えは、住所が漏れたときにすることにまとめています。

Studioのアカウントを持っている人

今回、デジタル庁の職員と委託事業の従事者のStudioアカウント35件も対象になり得るとされています。これとは別に、Studio株式会社は、Studioに登録しているすべての利用者について、アカウントの情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）が流出した可能性があると発表しています。ハッシュ化とは、パスワードをそのままではなく、元に戻しにくい別の文字列に変えて保存することです。

Studioにメールアドレスとパスワードでログインしている人は、Studio株式会社の案内に従って、Studioのパスワードを変えてください。同じパスワードを他のサービスでも使っている場合は、そちらも変えるよう強く勧められています。GoogleログインやFacebookログインだけで使っていて、Studioのパスワードを設定していない人は、この変更は不要とされています。

開いてしまった、入力してしまったときの動き方

偽のメールのリンクを開いてしまっても、何も入力していなければ、多くの場合は画面を閉じれば済みます。慌てて別の操作をするより、まず落ち着いて、何をしたかを書き留めます。

何かを入力してしまった場合は、入力したものに合わせて動きます。

1. パスワードを入力した：そのサービスにすぐ正規の画面からログインし、パスワードを変える。同じパスワードを使っている他のサービスも変える。二段階認証を設定していなければ、この機会に設定する
2. クレジットカード番号を入力した：カードの裏面にある電話番号からカード会社に連絡し、利用の停止や再発行を相談する。明細に心当たりのない請求が無いかを、しばらく続けて見る
3. 口座番号や暗証番号を伝えた：取引している銀行の、通帳やキャッシュカードに載っている窓口に連絡する
4. お金を払ってしまった、払うよう迫られている：消費者ホットライン188に電話する。188は、近くの消費生活センターなどの相談窓口につないでくれる番号で、相談は無料（通話料はかかる）

消費者ホットラインの仕組みは、消費者庁の消費者ホットラインのページで確かめられます。

問い合わせ窓口

デジタル庁の発表に載っている窓口は、次のとおりです。

• 窓口：デジタル庁 国民向けサービスグループ 省庁統一ウェブサイト担当
• 連絡方法：メール（アドレスは発表のページに、迷惑メール防止のため「@」を「atmark」と置き換えた形で載っている。送るときは半角の「@」に直す）

この件専用の電話番号と受付時間は、発表には載っていません。電話で確かめたい場合も、まずは発表のページを自分で開き、メールでの問い合わせから始めるのが確実です。

Studio株式会社にも、不正アクセスに関する問い合わせ窓口があります。Studioにログインできる人は、画面のヘルプアイコンからサポートセンターを開いて「不正アクセスに関するお問い合わせ」を選び、ログインできない人やアカウントを持っていない人は、同社の不正アクセスに関するお問い合わせ窓口のフォームから送ります。どちらも24時間受け付けで、平日10時から18時に順次回答すると案内されています。

Studioでサイトを作っている在宅ワーカーが確かめること

ここからは、在宅で仕事をする人のうち、Studioを仕事で使っている人に向けた話です。Studioはノーコードでサイトを作れるため、個人のWebデザイナーやフリーランスの制作者が、取引先のコーポレートサイトや採用サイト、イベントの申し込みページを作るときによく使われています。デジタル庁の件は、そうした制作物で起きうることの1つの例でもあります。

Studio株式会社の第一報では、すべての利用者について、デザインエディタやCMSの内容、フォームに送信された内容、ライブプレビューのURL、各種の認証情報が流出した可能性があるとされています。仕事で使っている人が確かめることを並べます。

1. Studioのパスワードを変える（メールアドレスとパスワードでログインしている場合）
2. 発行しているライブプレビューのURLを削除し、必要なら新しく発行する。ライブプレビューとは、公開前のページを取引先に見せるための確認用URLのこと
3. API連携に外部サービスのAPIキーやトークンを登録していれば、キーを切り替える
4. パスワード保護ページを使っていれば、そのパスワードを変える
5. フォームの回答をGoogleスプレッドシートに連携していれば、Studio株式会社の案内に沿って連携をし直す
6. 10月16日以降にStudio株式会社から届いた個別のメールを読み、どのプロジェクトが対象かを確かめる

自分のアカウントの中に取引先のプロジェクトがある場合や、取引先のアカウントに招かれて作業している場合は、上の対応を自分だけで済ませず、取引先の担当者と分担を決めてください。誰がオーナーで、誰がフォームの回答を受け取っているかで、やるべき人が変わります。

取引先の情報を預かる立場として考えること

フォームで集めた個人情報について、個人情報保護委員会への報告や、本人への通知が必要になるかどうかを判断するのは、その情報を扱う事業者です。Studio株式会社は、フォームを通じてサイトの利用者の個人情報を取得している利用者に対し、利用者自身が個人情報取扱事業者として、個人情報保護委員会への報告や本人への通知が必要となる場合があると案内しています。個人情報取扱事業者とは、個人情報をまとめて事業に使っている会社や個人のことで、規模の大小は問われません。

個人情報保護委員会の漏えい等報告のページでは、報告が義務になる場合として、要配慮個人情報が含まれるもの、財産的被害のおそれがあるもの、不正の目的で行われたおそれがあるもの、本人の数が1,000人を超えるもの（民間事業者の場合）などが挙げられています。不正アクセスによる漏えいは「不正の目的をもって行われたおそれ」の例として載っていて、こちらは人数にかかわらず対象になり得ます。報告の期限は、発覚したらまず速やかに、不正な目的で行われたおそれがある場合は発覚日から60日以内とされています。

発覚したら、まずは速やかに報告してください。 不正な目的で行われたおそれがある場合は、発覚日から、60日以内 出典: ppc.go.jp

今回の件について、Studio株式会社は2026年10月20日の続報で、個人情報保護委員会と協議した結果、利用者が自分で個別に報告するか、同社が取りまとめて利用者と同社の連名で報告するかを選べることになったと発表しています。連名での報告は委員会への報告だけが対象で、サイトの利用者本人への通知は含まないとも書かれています。

在宅で制作を受けている人が考えたいのは、次の3点です。

• 取引先のサイトをStudioで作り、フォームを設置しているなら、取引先にこの件を知らせる。取引先がStudio株式会社からのメールに気づいていない場合もある
• 報告や通知が必要かどうかの判断は、情報を扱う事業者である取引先が行うのが基本。制作者が代わりに判断して「報告は不要です」と言い切らない
• 自分自身がフォームで依頼者の情報を集めている場合（自分の事業のサイトで問い合わせを受けている場合など）は、自分が事業者として判断する立場になる

どれに当たるか分からないときは、個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849）に相談できます。法律の扱いは事情によって変わるので、個別の判断は委員会や専門家に確かめてください。

運営者の視点：委託先で起きた漏えいから考えること

今回の件は、デジタル庁自身のシステムではなく、ホームページの運営に使っていた外部のサービスで起きた不正アクセスです。同じ時期に、Studioでフォームを運用していた自治体や企業が相次いで発表を出していて、1つのサービスの弱点が、そのサービスを使う多くの組織と、そこにフォームを送った利用者に広がることがよく分かる事案になっています。

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの編集部として、在宅で仕事を受ける人に伝えたいのは、自分も誰かの「外部のサービス」や「委託先」になりうるという点です。依頼者と受け手が直接やり取りする手数料0%の取引では手取りが厚くなる一方で、預かった情報の扱いも本人に任されます。どのツールに何を保存しているか、仕事が終わったデータを削除しているか、取引先に聞かれたらすぐ答えられる状態にしておくことが、次の依頼につながる信頼になります。セキュリティの知識を活かせる仕事の広がりはAI・マーケティング・セキュリティのお仕事で紹介しています。

運営を続けてきた中で見えている傾向として、長く取引が続く受け手ほど、使っているツールと保存場所を自分から取引先に伝えています。「フォームの回答はこのサービスに保存され、月末に書き出して削除します」と一言添えるだけで、今回のような発表が出たときに、取引先も自分も、何を確かめればよいかがすぐに分かります。ネットワークの基礎から仕組みを学び直したい人には、CCNA（シスコ技術者認定）のような資格も、取引先に説明するときの裏付けになります。

よくある質問

Q. デジタル庁の問い合わせフォームを使った人は全員が対象ですか？

対象となり得るのは、2021年5月から2023年3月までにデジタル庁のホームページのフォーム（ご意見・ご要望、採用、接種証明書アプリ、着ぐるみの借用、ワークショップ等の参加）に入力した内容です。件数はいずれも最大の数で、氏名やメールアドレスは任意の欄だったものが多く、範囲はデジタル庁が精査中と発表しています。

Q. デジタル庁から個別の連絡は来ますか？

2026年10月23日時点の発表には、対象者への個別の連絡についての記載はありません。精査が終わったあとに案内が出る可能性はあるため、デジタル庁のプレスルームで続報を確かめてください。連絡を名乗るメールでリンクに誘われても、開かずに自分で公式サイトを開いて確かめるのが安全です。

Q. 9月に公表された約24.6万件の件と同じですか？

別の事案です。9月11日の公表はデジタル庁が運用するGSSへの不正アクセスで、対象は職員や業務に携わった事業者などで、一般の国民の個人情報は含まれないと発表されています。10月22日の公表はStudio株式会社のクラウド環境への不正アクセスで、ホームページのフォームに入力した一般の人も対象になり得ます。

Q. パスワードは変えたほうがよいですか？

今回デジタル庁が挙げた項目にパスワードは含まれていません。ただし、メールアドレスをもとに使い回しのパスワードを試す不正ログインが起きることがあるため、同じパスワードを複数のサービスで使っているなら、別々のものに変えて二段階認証を設定しておくと安心です。Studioのアカウントを持っている人は、同社の案内に従ってパスワードを変えてください。