2026年10月22日
行政サービスのデジタル化が進む一方で、その安全性をどのように確保するのかが大きな課題となっています。
防災情報配信サービスを提供するアルカディアへの不正アクセスによって、全国の自治体で防災メールの配信停止や個人情報漏洩などの問題が発生しました。
影響が報告された自治体などは少なくとも195団体にのぼります。
さらに、総務省の調査では、業務委託先に対して契約後の指導や監査を実施している市区町村は49%にとどまっています。
つまり、行政のデジタル化が進んでも、それを支える民間事業者の安全管理を十分に確認できていない自治体が少なくないのです。
今回は、自治体DXの構造的な問題と、個人情報漏洩が私たちの生活や財産に及ぼす影響、そして今後必要となる対策について考えます。
自治体DXの進展と外部委託への依存
自治体DXとは、デジタル技術を活用して行政サービスを効率化し、住民の利便性を高める取り組みです。
住民票の取得、税金の納付、各種申請、防災情報の配信など、幅広い行政サービスでデジタル化が進んでいます。
しかし、多くの自治体には高度な情報システムを独自に開発し、運用するだけの専門人材が十分に存在していません。
そのため、民間企業が提供するクラウドサービスや情報システムへの依存が強まっています。
今回、不正アクセスを受けたアルカディアの防災情報配信サービスは、800以上の自治体で利用されていました。
複数の自治体が同じシステムを利用すれば、開発費用や運用費用を抑えられるメリットがあります。
一方で、特定の事業者に障害が発生すると、その影響が全国に広がる危険性もあります。
行政DXの効率化とシステムの集中リスクは、表裏一体の関係にあるのです。
委託先の監査を実施する市区町村は49%
今回の問題で特に注目すべきなのは、自治体による委託先の管理体制です。
総務省の2025年度調査によると、個人情報の漏洩防止策を契約などで義務付けている自治体は、都道府県で96%、市区町村で92%に達しています。
ところが、契約後に委託事業者への指導や監査を実施している割合は、都道府県で64%、市区町村では49%にとどまっています。
契約時に安全管理を約束させても、その後の実施状況を確認していない自治体が相当数存在することになります。
情報セキュリティーは、契約書に規定を設けるだけでは確保できません。
実際にどのようなアクセス制限を設けているのか、システムの脆弱性を修正しているのか、事故発生時の対応体制が整っているのかを継続的に確認する必要があります。
特に小規模自治体では、専門人材や予算の制約から、十分な監査を実施することが難しいという問題があります。
今後は、都道府県による共同監査や複数自治体による共同調達など、自治体の規模に左右されない管理体制の整備が求められます。
防災情報の停止は住民の生命に直結する
一般的な民間サービスであれば、システム障害によって一時的に利用できなくなっても、代替手段で対応できる場合があります。
しかし、防災情報は事情が異なります。
大雨や地震などの災害時に、避難指示や河川の増水情報が住民に届かなければ、生命に危険が及ぶ可能性があります。
今回の不正アクセスでは、防災メールだけでなく、ダムの放流通知や自治体職員の参集システムにも影響が生じました。
これは単なる情報漏洩問題ではなく、行政サービスの継続性に関わる問題です。
自治体には、防災メールが停止した場合でも、防災行政無線、公式ホームページ、緊急速報メールなど、複数の手段で住民に情報を届ける仕組みが必要です。
また、住民自身も特定の情報配信サービスだけに依存しないことが重要になります。
デジタル化を進めるほど、システムが利用できなくなった場合の対応を事前に準備しておく必要があるのです。
個人情報漏洩は金融犯罪につながる
個人情報の漏洩による影響は、迷惑メールが増える程度にとどまりません。
メールアドレスや電話番号が流出すると、実在する企業や行政機関を装ったフィッシング詐欺に悪用される可能性があります。
さらに、氏名、住所、生年月日、運転免許証の画像などが流出した場合には、本人になりすました金融取引や各種契約への悪用が懸念されます。
カーシェアサービスのタイムズカーへの不正アクセスでは、運転免許証画像などの流出が問題となりました。
運転免許証は、金融機関の本人確認やクレジットカードの申し込みなどにも利用されます。
そのため、免許証画像の流出は、単なるプライバシーの問題ではなく、金融資産を守るという観点からも注意が必要です。
ただし、個人情報が流出したからといって、直ちに不正な借り入れや契約が成立するわけではありません。
重要なのは、漏洩した情報の種類を確認し、想定される悪用に応じて対策を講じることです。
パスワードの使い回しが被害を拡大させる
警視庁は2026年10月21日、個人情報漏洩を悪用した犯罪への注意点を公表しました。
特に重要なのが、パスワードの管理です。
あるサービスからIDとパスワードが流出した場合、同じ組み合わせを利用している別のサービスにも不正ログインされる危険性があります。
例えば、通販サイトと金融機関で同じパスワードを使用している場合、通販サイトから流出した認証情報が金融機関への攻撃に利用される可能性があります。
対策としては、サービスごとに異なるパスワードを設定することが基本です。
加えて、多要素認証を利用することが重要になります。
多要素認証とは、パスワードだけでなく、認証アプリや生体認証など、異なる種類の認証要素を組み合わせて本人確認を行う仕組みです。
ただし、多要素認証を設定していても、偽サイトへの誘導などによって認証情報を盗まれる可能性は残ります。
不審なメールやSMSに記載されたリンクを安易に開かず、公式アプリや正規のホームページから確認する習慣が必要です。
運転免許証の再交付だけでは防げない
運転免許証の画像が流出した場合、再交付を受ければ安全になると考える人もいるでしょう。
しかし、再交付によって変更できる情報には限界があります。
運転免許証番号の末尾の数字や顔写真は変更されても、氏名、生年月日、住所などの基本情報が変更されるわけではありません。
したがって、再交付だけで個人情報の悪用を完全に防止できるわけではありません。
むしろ重要なのは、金融機関や信用情報機関の仕組みを理解し、不審な契約や借り入れの兆候を早期に把握することです。
信用情報機関には、本人の申し出に基づき、本人確認書類の紛失や盗難などに関する情報を登録する制度があります。
ただし、登録できる事情や利用条件は機関によって異なり、情報登録によって不正契約を必ず防げるわけではありません。
また、登録情報が金融機関の審査でどのように利用されるかも確認しておく必要があります。
個人情報の漏洩対策では、書類の再発行だけでなく、金融取引の継続的な確認が重要になります。
企業にも求められる委託先管理の強化
今回の問題は自治体だけに限った話ではありません。
企業も会計、人事、給与計算、顧客管理、クラウドサービスなど、多くの業務を外部に委託しています。
例えば、給与計算を外部委託している企業では、従業員の氏名、住所、給与額、銀行口座情報などを委託先が取り扱う場合があります。
委託先がサイバー攻撃を受ければ、自社のシステムが直接攻撃されていなくても、重要な個人情報が漏洩する可能性があります。
個人情報保護法では、個人データの取扱いを委託する場合、委託元には委託先に対する必要かつ適切な監督が求められています。
したがって、業務を委託したからといって、委託元の管理責任がなくなるわけではありません。
企業としては、委託先の選定段階だけでなく、契約後の安全管理状況についても継続的に確認することが重要です。
具体的には、アクセス権限の管理、システム更新の状況、再委託先の管理、事故発生時の報告体制などを確認する必要があります。
これは情報システム部門だけの問題ではなく、経営管理や内部統制の重要な課題といえます。
DXの評価基準を効率性から安全性へ広げる
行政DXや企業DXでは、業務時間の短縮や人件費の削減が成果として注目されがちです。
しかし、効率性だけを追求すると、システム障害やサイバー攻撃に対する備えが後回しになる危険性があります。
例えば、複数の自治体が同じクラウドサービスを利用すれば、費用を削減できる一方、障害が発生した場合の影響範囲は拡大します。
そのため、DXの成果を評価する際には、コスト削減だけでなく、情報漏洩リスク、システムの復旧能力、代替手段の確保なども考慮する必要があります。
また、委託先の監査についても、実施率だけでなく、監査の内容や指摘事項の改善状況を確認することが重要です。
形式的に監査を実施していても、重大な脆弱性が放置されていれば、安全性が確保されているとはいえません。
デジタル化の成熟度は、導入したシステムの数ではなく、安全かつ継続的に行政サービスを提供できる能力によって評価されるべきでしょう。
結論
自治体DXは、人口減少や職員不足が進む日本にとって欠かせない取り組みです。
しかし、デジタル化によって行政サービスが便利になる一方で、外部委託先への依存が高まり、サイバー攻撃の影響が広範囲に及ぶという新たなリスクも生まれています。
今回のアルカディアへの不正アクセスは、その問題を明確に示しました。
特に、市区町村の委託先監査実施率が49%にとどまる現状は、改善すべき重要な課題です。
行政には、委託先を含めた安全管理体制の強化と、システム障害時にも住民サービスを継続できる仕組みが求められます。
企業にも、外部委託先の管理を内部統制の一環として位置づける姿勢が必要です。
そして、私たち個人も、パスワードの使い回しを避け、多要素認証を利用し、不審な連絡や金融取引に注意する必要があります。
これからのDXに求められるのは、便利さや効率性だけではありません。
行政、企業、個人がそれぞれの立場で情報を守り、万一の障害にも対応できる仕組みを整えることが重要です。
デジタル社会の信頼は、技術の高度さだけではなく、その技術を適切に管理し続ける仕組みによって支えられるのです。
参考
日本経済新聞 2026年10月 自治体DX、半数が委託先監査せず 不正アクセス問題で管理に重み
日本経済新聞 2026年10月22日 個人情報漏洩したら…パスワード変更や多要素認証を 警視庁が対策公表
総務省 2025年度 地方公共団体における情報セキュリティー対策に関する調査
警視庁 2026年10月21日 個人情報漏洩を悪用した犯罪への注意喚起