外務省のネットワークに不正アクセス、メール等の個人情報約3,600件が漏えいした可能性 検知は7月27日、公表は10月30日

事案の概要データ

図解：この事故の構造

何が起きたのか

外務省は2026年10月30日、同省が運用するネットワークへの不正アクセスにより、個人情報が漏えいした可能性があることを公表しました。

公表文によれば、2026年7月27日に「外部とのやり取りが可能なネットワーク」への不正アクセスを検知。直ちに不正アクセスの遮断と認証情報の無効化等を実施し、それ以降の不正アクセスは防止したとしています。

その後、外部専門事業者の協力を得て調査を進めた結果、同ネットワーク上で取り扱っていた個人情報を含むメール等の一部が漏えいした可能性があることが分かりました。

漏えいした可能性があるのは、メールアドレスや氏名など約3,600件。このうち約900件は外務省員以外の方の情報です。

機密性の高い情報については、「念のため内容の確認作業を行った結果、漏えいした可能性のある情報にそうした機密性の高い情報が含まれていたことは確認されませんでした」としています。

ネットワークを2系統に分けていたことが、被害の範囲を決めた

この公表文でいちばん読む価値があるのは、注記として書かれた次の一文です。

「外務省においては、機密性の高い情報のやり取りを外務省員間でのみ行う閉域ネットワークと、外部とのやり取りが可能なネットワークの2系統があり、今回不正アクセスが確認されたのは後者に当たります」

さらに「旅券、たびレジ等の情報を扱う領事システムは、今回不正アクセスを受けたネットワークとは別に構築されており、今回の不正アクセスの対象とはなっておりません」とも書かれています。

つまり外務省は、①外部とメールをやりとりするネットワーク／②機密情報だけを扱う閉域ネットワーク／③旅券やたびレジの個人情報を扱う領事システムの3つを、別々に作っていました。入られたのは①です。

もし全部が1つのネットワークに載っていたら、今回の被害は「メール約3,600件」では済みませんでした。旅券の情報は、1件でも漏れれば比べものにならない重さを持ちます。

ネットワークを分けておくことは、被害が起きるかどうかではなく、被害がどこまで広がるかを決めます。 攻撃を100%止めることはできません。だから「入られたときに、どこで止まるか」を先に設計しておく、という考え方です。

中小企業でこれをそのまま真似するのは現実的ではありません。しかし、同じ考え方は小さい規模でも使えます。

たとえば、こうです。「社外とメールをやりとりするパソコン」と「顧客名簿や決算書を置いているパソコン」を、同じものにしない。顧客名簿は共有フォルダの奥に置き、アクセスできる人を2〜3人に絞る。クラウド会計やクラウド給与は、全社員が入れる社内ファイルサーバーとは別の場所で管理する。

やることは「分ける」だけです。費用はほとんどかかりません。かかるのは、どこに何を置くかを決める手間だけです。

検知は7月27日、公表は10月30日——95日をどう読むか

検知から公表まで、95日かかっています。この間の事情について、公表文に説明はありません。

ただ、公表文の書き方から、この95日に何があったかは読み取れます。

まず遮断した。 検知後「直ちに不正アクセスの遮断や認証情報の無効化等の措置を実施し、以降の不正アクセスを防止いたしました」。つまり7月27日の時点で、攻撃そのものは止めています。

次に調べた。 「外部専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることを確認しました」。漏えいの可能性が分かったのは、調査の後です。

さらに内容を確認した。 「念のため内容の確認作業を行った結果」機密性の高い情報が含まれていないことを確認しています。メールの中身を1通ずつ見る作業です。約3,600件分あります。

つまり95日は、「隠していた期間」ではなく「数えていた期間」だった可能性が高い。メールの漏えいは、件数を数えるのが難しい事故です。誰のメールアドレスが、どのメールに、何通入っていたか。これを調べ切らないと「約3,600件」という数字は出せません。

一方で、この95日の間、対象になった約900人の外務省外の関係者は、自分の情報が漏れた可能性を知らずに過ごしていたことになります。「正確になるまで待つ」ことと「早く知らせる」ことは、しばしば両立しません。

中小企業が同じ立場に立ったとき、取れる現実的な方針は「件数が固まる前でも、起きたことだけは先に出す」です。「不正アクセスがありました。対象と件数は調査中です。分かり次第お知らせします」の3行でかまいません。この3行があるかないかで、後から「隠していた」と言われるかどうかが変わります。

約3,600件のうち約900件は、外務省の職員ではない人の情報

公表文は、件数の内訳を1行だけ書いています。「約3,600件（うち外務省以外の方のものが約900件）」。

この約900件が、今回いちばん影響を受ける人たちです。外務省の職員なら省内で連絡が回りますが、省外の人は公表文を読まなければ気づけません。

ここで思い出してほしいのは、メールの宛先欄には、自分の情報だけでなく相手の情報も入っているという事実です。自社のメールが漏れたとき、漏れるのは自社の情報だけではありません。取引先の担当者名、メールアドレス、やりとりの内容、添付ファイル。すべて相手のものです。

だからメールアカウントの乗っ取りは、「自社が被害者」で終わらない事故になります。自社が、取引先にとっての漏えい元になるからです。

対策の順番はシンプルです。①メールアカウントに多要素認証をかける。②退職者のアカウントを止める。③添付ファイルを「メールに付ける」のをやめて、期限つきの共有リンクに変える。 ①は今日できます。Microsoft 365でもGoogle Workspaceでも、管理画面から全員に強制できます。

外務省は再発防止策として「アクセス制御や認証方法の見直し、監視の強化、情報セキュリティ教育の再徹底」を挙げています。認証方法の見直しが先、教育が最後という並び順も、そのまま参考になります。人を鍛えるより、仕組みで塞ぐほうが速いからです。

時系列で見る経過

• 2026年7月27日外部とのやり取りが可能なネットワークへの不正アクセスを検知。直ちに遮断と認証情報の無効化等を実施
• （検知後）外部専門事業者の協力を得て調査。個人情報が外部に漏えいした可能性があることを確認
• （調査の中で）念のため内容の確認作業を実施し、機密性の高い情報が含まれていないことを確認
• 2026年10月30日報道発表「不正アクセスによる個人情報の漏えいの可能性について」。メールアドレスや氏名など約3,600件（うち外務省以外の方の情報 約900件）
• 今後漏えいした可能性がある個人情報の対象者を特定の上、個別に連絡

中小企業が学ぶべきポイント

1. ネットワークを分けておくことは、被害が起きるかどうかではなく、被害がどこまで広がるかを決める。
2. 外務省は外部メール用・機密用の閉域・領事システムを別に構築していた。入られたのは外部メール用だけだった。
3. 中小企業でも「社外とメールをやりとりする場所」と「顧客名簿を置く場所」は分けられる。費用はほぼかからない。
4. メールの漏えいは件数を数えるのが難しい。だから公表が遅れやすい。
5. 件数が固まる前でも「不正アクセスがあった・対象と件数は調査中」の3行は出せる。
6. メールの中には相手の情報も入っている。自社の事故が、取引先にとっての漏えい元になる。
7. 対策の順番は、認証（多要素認証）が先、教育は最後。仕組みで塞ぐほうが速い。
8. 退職者のメールアカウントを止めているか、今日確認する。

出典・参考

• 不正アクセスによる個人情報の漏えいの可能性について（外務省・2026年10月30日）
• 外務省のネットワークで侵害 - 個人情報流出の可能性（Security NEXT）