英国司法省傘下のLegal Aid Agency（LAA、法律扶助庁）は2026年10月14日、2025年に発覚したサイバー攻撃について、流出データの追加調査結果を公表しました。従来、主な影響対象は2007年以降の法律扶助関連記録と説明していましたが、実際には2007年より前の記録が約25万件含まれ、最も古い確認済みの記録は1978年に遡るとしています。司法省傘下のHM Prison and Probation Service（HMPPS、刑務所・保護観察サービス）に関連する保護観察対象者の情報も、持ち出されたデータに含まれていました。
英国法律扶助庁へのサイバー攻撃・2026年10月続報のサマリー
- 公表日：2026年10月14日。LAAとサラ・サックマン法務担当閣外相が調査の更新内容を発表
- インシデント：2025年4月23日にLAAのオンラインシステムへのサイバー攻撃を検知。5月16日には大規模な個人情報の持ち出しを把握
- 新たに確認した対象：2007年より前の記録約25万件。これは「25万人」の被害を意味する数値ではない
- 最古の記録：1978年。古い記録の大半は1990年代から2000年代に作成されたもの
- 新たに判明した情報区分：HMPPSが扱う保護観察情報。氏名、生年月日、国籍、事件の参照番号などが含まれる
- 保護観察情報の範囲：2010～2017年に保護観察を受けていた一部の対象者の記録で、その99%超は2016～2017年の対象者に関連
- 英国政府は、窃取された情報が第三者に公開・共有されたことを示す情報はないと説明
- 政府は認証・アクセス管理、監視の強化、旧式システムの隔離・廃止を進めている
| 項目 | 公表内容 |
|---|---|
| 被害組織 | 英国Legal Aid Agency（LAA、法律扶助庁） |
| 所管 | 英国司法省（Ministry of Justice） |
| 攻撃検知 | 2025年4月23日 |
| 情報の持ち出し判明 | 2025年5月16日 |
| 続報公表 | 2026年10月14日 |
| 流出を確認した古い記録 | 2007年より前の約25万件、最古は1978年 |
| 新たな影響区分 | 保護観察関連情報を含むHMPPSのデータ |
| 外部公開の確認 | 公開・共有されたことを示す情報はないと政府が説明 |
2007年以前の約25万記録が流出、最古は1978年
LAAは2025年5月の初報で、2010年以降に法律扶助を利用した人の情報が影響を受けた可能性を示していました。その後、同年7月31日に影響期間を2007年まで遡って修正。今回の10月14日の発表では、さらに古い記録の存在が明らかになりました。
新たに判明した約25万件は、2007年より前に作成された記録の件数です。同一人物について複数の記録が存在する可能性があるため、そのまま被害者数として集計することはできません。英国政府も、2007年より前に法律扶助を利用したすべての人が影響を受けたわけではないと説明しています。
流出した法律扶助関連データの大部分は、2007年1月から2025年5月16日までの申請、請求、支払い、または当該期間に進行していた案件に関するものです。古い記録の大半は1990年代と2000年代に属し、1990年より前のものはごく一部でした。
氏名や財務情報に加え、保護観察対象者の情報も流出
英国政府の公表では、法律扶助の申請・受給者について、記録に応じて氏名、住所、生年月日、国民保険番号（National Insurance number）、事件番号、法律扶助の種類、請求・支払いに関する情報などが含まれるとされています。案件によっては、本人やパートナーの資産、銀行口座、収入の審査、刑事事件に関する情報、部分的に伏せられた決済カード情報も対象です。
また、法廷に関わった裁判官、弁護士、検察側代理人、法廷速記者の名前や、民事事件の相手方の情報も含まれていました。全ての利用者について、こうした情報の全種類が流出したという意味ではありません。
今回の追加調査で、LAA以外のデータとしてHMPPSの保護観察関連情報も持ち出されていたことが確認されました。政府によると、対象は2010～2017年に保護観察当局の管理下にあった一部の人々で、情報には氏名、生年月日、国籍、事件の参照番号などが含まれます。該当データの99%超は2016～2017年に管理下にあった人々に関係しており、政府はこの情報に犯罪被害者のデータは含まれないとしています。
断片的なデータの分析が難航、情報流出後も影響範囲を再評価
サックマン閣外相は議会への声明で、攻撃者がLAAのITシステムにある脆弱性を悪用して個人情報を保管するシステムへ侵入し、データを複製して外部へ持ち出したと説明しました。個別の脆弱性の識別番号や、攻撃に使われた具体的な技術的手順は示していません。
当局によると、窃取されたデータには構造化されていないものや断片的・不完全なものが多く、内容と対象者の特定に時間を要しています。2025年当時の説明と今回の内容が異なるのは、その後の解析によってデータの範囲と種類を詳しく把握できるようになったためとしています。
政府は2026年10月14日時点で、流出データが公表・共有されたことを示す情報は把握していないとしています。これは攻撃者によるデータの窃取自体が否定されたという意味ではありません。
英国政府、認証・監視強化と旧式システムの刷新を進める
英国司法省とLAAは事件後、認証とアクセス制御の強化、セキュリティ監視の改善、脆弱性への対処、リスクの高い旧式システムの廃止または隔離を進めています。政府は、システムの変革・復旧とレガシー環境の近代化に向け、2億ポンドの予算を確保したことも議会への声明で明らかにしました。
引き続き英国国家犯罪対策庁（NCA）、国家サイバーセキュリティセンター（NCSC）、個人情報保護当局などと対応を進めています。
同庁は関係者に対し、不審なメールや電話への警戒、個人・財務情報を求める相手の身元確認、パスワードの使い回し防止を呼びかけています。過去に法律扶助や保護観察制度を利用したという事実のみで、個人の情報が流出したと判断することはできません。
情報システム部門への示唆：保存年限とデータの所在を見直す
今回の事例では、攻撃発覚から約1年半を経ても、持ち出されたデータの内容と年代に関する評価が更新されました。組織が把握するデータの保存期間と、実際にシステム内に残っている記録の期間が一致しているか、バックアップや移行済みデータを含めて点検する必要があります。
特に旧式の業務システムでは、過去の申請・支払データが現在の運用に不要となった後も残存する場合があります。個人情報を扱う部門と情シス部門で、保存年限、削除・匿名化の実施状況、保管先、アクセス権限を照合することが検討対象になります。
出典
- Legal Aid Agency cyber security incident data update October 2026 – Legal Aid Agency / GOV.UK（2026年10月14日）
- Legal Aid Agency Cyber-Security Incident: Data Update – UK Parliament / Written Ministerial Statement（2026年10月14日）
- Legal Aid Agency data breach – Legal Aid Agency / Ministry of Justice（2025年5月19日、同年7月31日更新）
- Legal Aid Agency cyber security incident – GOV.UK（対応・問い合わせ窓口）
関連記事
サイバー攻撃集団 ロックビット(LockBit)とは？
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
モバイルファクトリーがSuishow 株式会社の現代表取締役へ訴訟提起 背景に「NauNau」のセキュリティ管理問題か？
国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に
北海道大学が不正アクセスで約2.3万の個人情報が流出した事を発表
ベネッセ 個人情報流出事件で地裁から賠償命令 3338人に計1100万円
WelcomeHRを運営するワークスタイルテックが約15万人の個人情報漏洩を発表
福島県郡山市の委託先社員がマイナンバーカードの個人情報を私的に利用
