沖縄総合事務局『FileZen』脆弱性突かれ、個人情報1万5,091人分流出——政府機関の公開ファイル転送サーバ
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年1月に不正アクセス発生 |
| 対象組織・業界 | 内閣府 沖縄総合事務局（政府機関／地方支分部局） |
| 攻撃手法 | ファイル転送サービス「FileZen」のサーバの脆弱性を悪用した不正アクセス |
| 情報源 | Security NEXT（2026年5月7日） |
内閣府の沖縄総合事務局が利用していたファイル転送サービス「FileZen」のサーバが脆弱性を突く不正アクセスを受け、個人情報あわせて1万5,091人分が流出したと2026年5月7日に公表されました。内訳は、氏名・住所4,930人分、氏名・メールアドレス695人分、氏名117人分、氏名577人分。対象データは土地改良区資料、港湾関係資料、フェリー旅客キャンセル払戻明細表など、行政業務で扱われた文書群です。
- 2026年1月: FileZenサーバへの不正アクセスが発生
- 2026年5月7日: 事案の公表
Security NEXTの報道によれば、利用しているファイル転送サービス「FileZen」のサーバが、脆弱性を突く不正アクセスを受けたとされています。具体的なCVE番号・脆弱性の内容・パッチ適用状況などの詳細は現時点で公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、公表元が明示したものではありません。
- 公開ファイル転送サーバの既知脆弱性が悪用された可能性: FileZenは組織間ファイル授受のために外部からアクセスされるサーバであり、脆弱性が公開されると即座に攻撃対象になる典型的な露出資産です
- 1月侵害の公表が5月にずれた背景: 影響を受けたデータの範囲・件数の確定に時間を要した可能性、または捜査・報告手続の進行を待った可能性が考えられます
- 対象データが「業務で使われていたファイル群」に分散している点: 単一のデータベースへの侵害ではなく、業務ごとにアップロードされていた複数種類の文書が一つのサーバに集約されていた構造が、影響の広さの要因となっている可能性が考えられます
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 公開ファイル転送サーバは「常に攻撃対象」として運用する: FileZenなどのファイル転送サービスは、外部から到達可能な公開資産です。CVE公開直後の探索を前提に、パッチ適用のスピード・アクセス元制限・多要素認証・利用範囲の最小化を組み合わせる必要があります。
2. 「業務で使ったファイルを消さないまま置いておく」運用の見直し: ファイル転送サーバは本来「授受のための一時的な保管場所」ですが、実運用では過去のやり取りがそのまま蓄積されがちです。土地改良区資料・港湾関係資料・払戻明細表等、業種の異なる複数の文書が同じサーバに置かれていた構造は、単一侵害での影響拡大を招きます。保管期間ポリシーと定期削除のジョブ設計が必要です。
3. 政府機関としての説明責任と、監督当局への報告フロー: 政府機関の侵害は、市民・関係団体・監督当局への説明責任が民間より重い性質を持ちます。1月侵害から5月公表までの間、影響範囲確定・関係機関との調整・通知準備がどう進められたかは、行政機関のインシデント対応事例として今後も参考になります。
ヤグラの視点 — 攻撃面の拡張、公開ファイル転送サーバという「常に見えていた入口」
Section titled “ヤグラの視点 — 攻撃面の拡張、公開ファイル転送サーバという「常に見えていた入口」”FileZenのようなファイル転送サーバは、業務のために外部に公開する必要がある一方、攻撃者から見れば「常に見えている入口」です。脆弱性が公開された瞬間、あるいはそれ以前のゼロデイの段階から、公開サーバは無差別に探索を受けます。「無限に見つかる脆弱性を全部潰す」のは不可能である一方、「本当に攻撃者が到達できる公開資産に、脆弱性が残っていないか」は絞り込める問題です。境界機器・VPN・ファイル転送サーバ・公開ポータル——これらの露出資産に対するCVEの適用状況を継続監視し、パッチ以外の遮断（アクセス元制限・分離・WAF）でも即座に手当てできる運用が、行政機関・民間問わず標準になっていく必要があります。1万5,091人分の個人情報が対象となった本件は、単なる脆弱性管理の失敗ではなく、「公開資産に対する攻撃面の可視化」の不在を示す事例として読み解けます。
到達可能性を軸に本当に危険な脆弱性を絞り込み、攻撃経路を可視化する考え方は、脆弱性を全件対応するのではなく、攻撃者が実際に到達できるごく一部に集中するというアプローチにつながります。境界機器・VPN・ファイル転送サーバのように「常に外から見えている」資産から優先的に着手するのが実務的な順序です。
FileZen脆弱性の具体的な特定（CVE等）、対象者への通知進捗、他の政府機関での同種被害の有無を注視し、判明次第本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-05-07 | 第一報を公開 |