米TechCrunchは、米国土安全保障省（DHS）の職員4万人以上に関する個人識別情報がハッカーによって入手され、その後オンライン上に公開されたと報じました。対象には、米税関・国境警備局（CBP）や移民・関税執行局（ICE）の職員も含まれるとされ、政府機関における人事データの保護体制が改めて問われています。
ハッカーが、国土安全保障省の職員4万人以上に関する個人識別情報を入手し、その情報はその後オンライン上に公開された。
盗まれた人事データには、CBPおよびICEの職員に関する情報も含まれていた。
政府機関の「人事データ」は、なぜ狙われるのか
今回の報道で特に注目すべき点は、流出したとされる情報が「職員の個人識別情報」、つまり人事・職員管理に関わるデータであることです。サイバー攻撃というと、機密文書や軍事情報、顧客データの流出が注目されがちですが、職員データも極めて価値の高い標的です。
氏名、所属、役職、連絡先、場合によっては住所や識別番号などが含まれていれば、攻撃者はそれを使ってフィッシング詐欺、なりすまし、脅迫、標的型攻撃を仕掛けることができます。特にCBPやICEのように国境管理や移民執行に関わる機関の職員情報は、政治的・社会的な対立の文脈でも悪用されるリスクがあります。
これは単なる「個人情報漏えい」ではなく、職員本人の安全、組織の運用、国家安全保障にまで波及し得る問題です。日本でも中央省庁、自治体、警察、入管関連機関、防衛関連企業などは、同様のリスクを抱えています。
日本企業・官公庁にも共通する「内部データ保護」の課題
日本では個人情報保護法への対応が進んできた一方で、従業員情報や職員情報の管理は、顧客情報ほど厳密に監視されていないケースもあります。人事システム、給与管理、勤怠管理、採用管理、社内ディレクトリなどには、大量の個人データが集約されています。
近年はクラウド型の人事労務SaaSを導入する企業も増えており、利便性は大きく向上しました。しかし、アクセス権限の設定ミス、多要素認証の未導入、退職者アカウントの放置、委託先管理の不備などがあれば、攻撃者にとって格好の侵入口になります。
「顧客情報だけ守ればよい」はもう通用しない
多くの企業では、顧客データベースや決済情報には厳しいセキュリティ対策を講じています。一方で、従業員名簿や組織図、社内連絡先、採用応募者情報などは、比較的広い範囲の社員がアクセスできる状態になっていることもあります。
しかし、攻撃者から見れば、これらの情報は標的型メールを作るための素材になります。たとえば「人事部の実在する担当者名」「上司と部下の関係」「部署異動の履歴」が分かれば、極めて自然な文面の詐欺メールを作成できます。生成AIの普及により、こうしたなりすましメールの精度はさらに高まっています。
今後求められるのは「漏えい前提」の職員データ防衛
今回のように、いったん情報がオンライン上に公開されてしまうと、完全に回収することはほぼ不可能です。そのため企業や官公庁は、「漏えいを防ぐ」だけでなく、「漏えいした場合に被害を最小化する」前提で体制を整える必要があります。
具体的には、職員データへのアクセス権限を最小限にすること、多要素認証を必須化すること、機密性の高い人事データを暗号化すること、ログ監視を強化することが重要です。また、万が一流出した場合に備え、職員への通知手順、なりすまし対策、相談窓口、二次被害の監視体制を整えておくべきです。
日本でも「人」に紐づく情報が最大の攻撃対象になる
サイバーセキュリティの世界では、ネットワークやシステムの防御だけでなく、「人」を狙う攻撃がますます増えています。職員データの流出は、その後の標的型攻撃や内部侵入の足がかりになり得ます。
今回の米国土安全保障省関連の報道は、日本の組織にとっても他人事ではありません。特に公共性の高い機関、重要インフラ企業、防衛・宇宙・半導体・金融などの分野では、従業員情報そのものが機密資産であるという認識が必要です。
個人情報保護は、もはや顧客対応や法令遵守のためだけのテーマではありません。組織の信頼、安全保障、事業継続を守るための中核的な経営課題になっています。
