厚労省の委託事業のサイト「1FEdu」に攻撃 受講者最大595人分に漏えいの恐れ

確認できた漏えいは6人、可能性があるのは最大595人です。厚生労働省は2026年10月22日、委託事業で使っているWebサイト「1FEdu(いちえふエデュ)」が第三者のサイバー攻撃を受け、個人情報が漏えいしたと発表しました。1FEduは、東京電力福島第一原子力発電所(1F)の廃炉などの作業に関わる人に、被ばくを減らす対策を教えるためのサイトです。

サイトを運営しているのは、事業を受託したテクノヒル株式会社です。漏えいを確認した6人は、メールアドレスとパスワードが漏れていて、その認証情報を使った不正ログインもありました。

6人は確認済み、595人は可能性

厚生労働省は、受託者のテクノヒルから報告を受けて発表しました。対象の事業は「東電福島第一原発廃炉等作業における被ばく低減対策普及啓発事業」です。

6人分は「漏えいを確認した」もので、595人分は「漏えいした可能性がある」ものです。6人のメールアドレスとパスワードが保存されていたデータベースに、受講者全体の情報も入っていたため、595人分にも可能性があるとしています。

パスワードの使い回しの心配は小さい、名簿の悪用には注意

発表によると、1FEduのパスワードはシステムが機械的に付与するもので、利用者が自分で設定したり変更したりはできない仕様です。厚生労働省は、ほかのサービスで同じパスワードが使われている可能性は低いとしています。漏れたパスワードで、ほかのサービスに入られる心配は小さいといえます。

一方で、氏名、所属組織、所属部署、役職、メールアドレスがそろった名簿は、偽のメールを送る相手を選ぶのに使いやすい情報です(当社の見立て)。厚生労働省も、なりすましやフィッシング詐欺のメールに悪用される可能性があるとして、不審なメールは添付ファイルやURLを開かず、メールごと削除するよう呼びかけています。

受講者は、福島第一原発の廃炉などの作業に関わる人です。勤め先は、作業を担う元請けや協力企業が多いとみられます(当社の見立て)。発表は、受講者の所属先の内訳を明らかにしていません。

国の委託事業で、受託者が運営するサイトから漏れた

今回は、国が委託した事業で、受託した会社が運営するサイトから情報が漏れました。発表したのは委託元の厚生労働省です。今後、委託事業者などへの指導を徹底するとしています。

国の事業の運営を任された会社のシステムから情報が漏れた例は、10月にもう1件あります。国の補助事業「住宅省エネ2024キャンペーン」の事務局が、10月20日に公表した件です。申請のシステムに外部から不正な操作があり、登録事業者の情報が漏えいした可能性があります(住宅省エネ2024キャンペーンの事務局に不正操作 事業者2万3918人分漏えいか)。

テクノヒルは、放射線測定器と化学物質管理の事業を営む会社です。10月26日の時点で、同社のWebサイトに今回の件のお知らせは見当たりません(当社調べ)。

まだ分からないこと

• 攻撃を受けた日時と、気づいた日。
• 攻撃の手口と、侵入経路。
• 不正ログインされた6人のアカウントで、何を見られたり操作されたりしたか。
• パスワードをどんな形で保存していたか。
• 595人のうち、項目ごとの件数。
• 1FEduを再開する時期。

影響する人・会社、しない人・会社

• 影響する: 1FEduで被ばく低減対策の教育を受けた人です。最大595人分の氏名や所属、メールアドレスなどが漏えいした可能性があり、6人は漏えいが確認されています。
• 影響する: 受講者が勤める会社です。社員の所属部署や役職、社用のメールアドレスで登録していれば、会社あての偽のメールに使われることがありえます(当社の見立て)。
• 影響する: 1FEduの教材や情報を使っていた会社や人です。サービスが止まっていて、再開の時期は書かれていません。
• 影響しない: 1FEduに登録していない人です。発表が対象にしているのは、1FEduの受講者の情報だけです。
• 影響しない: ほかのサービスのアカウントです。1FEduのパスワードはシステムが付与したもので、利用者が自分で決めたものではありません。

会社・情シスが今日やること

1. 受講した社員がいるか、安全衛生の担当に聞きます。 福島第一原発の作業に社員を出している会社は、放射線管理や安全衛生の担当者に、1FEduに登録した社員がいるか、社用のメールアドレスで登録したかを確認してもらいます。
2. 該当する社員には、個別の連絡を待つよう伝えます。 厚生労働省は、対象者に個別に連絡するとしています。届いた連絡は、メールの中のURLからではなく、厚生労働省のWebサイトの発表と照らして確かめるよう伝えます。
3. 偽のメールへの注意を、関係する部署に出します。 厚生労働省やテクノヒル、1FEduを名乗るメール、被ばく低減の講習や廃炉の作業を話題にしたメールは、添付ファイルとURLを開かないよう呼びかけます。現場の作業指揮者や安全衛生の担当が、特に狙われやすい相手です(当社の見立て)。
4. 委託を受けて運営しているサイトを点検します。 国や自治体、取引先から受託して、受講者や申請者の情報を預かるサイトを運営しているなら、ログインに多要素認証があるか、パスワードをどう保存しているか、使わなくなった受講者の情報を消しているかを見直します。
5. 委託元への報告の手順を決めておきます。 今回は、受託者からの報告を受けて、委託元の厚生労働省が発表しました。自社が受託する側なら、事故のときに誰が、いつまでに、委託元のどの窓口へ報告するかを、契約書と合わせて確認します(当社の見立て)。