【10/30】外務省に不正アクセス、個人情報3600件漏えいか｜機密・旅券情報は対象外

外務省は2026年10月30日、外部とやり取りできる同省のネットワークが不正アクセスを受け、メールアドレスや氏名など約3,600件の個人情報が漏えいした可能性があると発表しました。このうち約900件は外務省員以外の人の情報です。不正アクセスを検知したのは3か月前の7月27日でした。

外務省は、機密性の高い情報を扱う閉域ネットワークや、旅券（パスポート）・たびレジの情報を扱う領事システムは今回の対象ではないと説明しています。この記事では、外務省の発表文と報道をもとに、何が漏れて何が漏れていないのか、検知から公表までの経緯、対象になった人が気をつけること、2021年の流出事案との違いを整理します。

外務省の不正アクセスとは？個人情報は何件漏れた？

外務省の外部向けネットワークに不正アクセスがあり、約3,600件（うち省外の人の約900件）の個人情報が漏れた可能性がある事案です。

外務省の報道発表「不正アクセスによる個人情報の漏えいの可能性について」（2026年10月30日）によると、外務省が運用する「外部とのやり取りが可能なネットワーク」に不正アクセスがあり、このネットワーク上で扱っていた個人情報を含むメールなどの一部が外に漏れた可能性があることが分かりました。外務省は発表文の中で、関係者に迷惑と心配をかけたとして謝罪しています。

時事通信も同日、外務省が約3,600件の個人情報の漏えいの可能性を発表し、外務省員以外の情報が約900件含まれ、機密性の高い情報は含まれていないと伝えました。テレビ朝日、共同通信、朝日新聞、読売新聞、日本経済新聞も同じ件数で報じています。どの報道も「漏えいした可能性」という表現で、漏えいが確定したとは書いていません。

発表の数字を表にまとめます。

件数は「人数」ではなく「件」で示されています。件数と人数が一致するかは公表されていません。外務省は対象者を特定して個別に連絡するとしています。

何が漏れて、何が漏れていない？機密情報や旅券は？

漏れた可能性があるのは外部向けネットワーク上のメール等です。機密情報の閉域網と旅券・たびレジのシステムは対象外です。

外務省によると、同省には2系統のネットワークがあります。機密性の高い情報を外務省員の間だけでやり取りする「閉域ネットワーク」と、省外の人ともやり取りできる「外部とのやり取りが可能なネットワーク」です。今回不正アクセスを受けたのは後者です。

外務省は、念のため漏えいした可能性のある情報の中身も確認し、機密性の高い情報が含まれていたことは確認されなかったとしています。

パスポートやたびレジの情報は大丈夫？

外務省は、旅券やたびレジの情報を扱う領事システムは別に構築されており、今回の不正アクセスの対象ではないと説明しています。

パスポートの申請情報や、海外渡航のときに登録する「たびレジ」の情報は、領事システムで扱われています。外務省の発表文は、このシステムが今回不正アクセスを受けたネットワークとは別に作られていると明記しています。海外旅行や出張でたびレジに登録した人の情報が、今回の件で漏れたと外務省が発表しているわけではありません。

3つのシステムの関係を図にまとめます。

赤い枠が今回不正アクセスを受けたネットワークで、残りの2つは外務省が対象外と説明しているシステムです。

7月27日の検知から10月30日の公表まで何があった？

7月27日に不正アクセスを検知してすぐ遮断し、外部の専門事業者と調べた結果、漏えいの可能性を確認して公表しました。

外務省の発表文によると、7月27日に外部向けネットワークへの不正アクセスを検知し、直ちにアクセスの遮断や認証情報（IDやパスワードなど）の無効化といった措置を取り、それ以降の不正アクセスを防いだとしています。その後、外部の専門事業者の協力を得て調査を進め、個人情報が外に漏れた可能性があることを確認しました。

経緯を時系列で並べます。

検知から公表まではおよそ3か月です。この間の調査で何がどこまで分かったのかは、次の2つの点で発表文に書かれていないことがあります。

なぜ公表まで約3か月かかった？

外務省の発表文は、外部の専門事業者と調査したとだけ説明しており、3か月かかった理由は示していません。

一般に、不正アクセスの調査では、どの経路から入られたか、どのデータに触れられたか、どの情報が外に持ち出された可能性があるかを記録から確かめる作業が必要になります。ただし、今回の件で外務省がどの作業にどれだけ時間をかけたのかは公表されていません。この記事では、公表が遅れた理由を推測で書くことはしません。

攻撃者や手口は公表された？

10月30日の発表時点で、外務省は攻撃者が誰か、どんな手口で入られたかを公表していません。

発表文が示したのは、不正アクセスの対象になったネットワークの種類、漏えいした可能性のある情報の種類と件数、取った対策までです。標的型メールなのか、機器の弱点を突かれたのか、委託先を経由したのかといった点は書かれていません。報道各社の記事にも、攻撃者を特定したという記述はありません。続報が出た場合は、外務省の発表で確かめる必要があります。

自分が対象か分かる？対象者は何をすればいい？

外務省が対象者を特定して個別に連絡します。それまでは外務省を名乗る不審なメールや電話に注意してください。

外務省は、漏えいした可能性がある個人情報の対象者を特定したうえで、個別に連絡するとしています。省外の約900件について、対象者の内訳は公表されていません。

問い合わせ先として、外務省は大臣官房情報システム総括課のメールアドレス（contact-ismd@mofa.go.jp）を発表文に載せています。今のうちにできることは次の3つです。

• 自分が対象か確かめたいときは、外務省の公式サイトの報道発表に載っている窓口へ、自分で問い合わせる
• 「外務省」を名乗る連絡が届いたら、そのメールのリンクや電話番号は使わず、外務省の公式サイトで連絡先を確かめてから問い合わせる
• 不審なメールでパスワードを入力してしまったときは、すぐにそのパスワードを変え、同じパスワードを使っているほかのサービスも変える

外務省を名乗る不審メールの見分け方は？

外務省は、パスワードやクレジットカード情報をメールや電話で尋ねることはないとしています。尋ねてくる連絡は疑ってください。

外務省によると、今のところ悪用などの二次被害は確認されていません。そのうえで、漏れた可能性のある情報が、なりすましメールやフィッシングメールに悪用されるおそれがあるとして、次の点に注意するよう呼びかけています。これは被害が出たという報告ではなく、起こりうる危険への注意喚起です。

• 外務省や外務省員を装った不審なメール、電話、SMS（ショートメッセージ）に注意する
• 身に覚えのないメールのリンクや添付ファイルを開かない
• パスワードなどの認証情報や、クレジットカード情報を入力しない
• 外務省がこれらの情報をメールや電話で尋ねることはない

氏名とメールアドレスが一緒に漏れると、本文に本人の名前を入れた、本物らしく見えるメールが送られてくることがあります。名前が正しく書かれていても、それだけで本物と判断しないことが大切です。

外務省の情報流出は初めて？2021年の富士通の件との違い

初めてではありません。2021年には委託先の富士通のツールが不正アクセスを受け、外務省の資料が流出しました。

外務省の報道発表（2021年5月26日）によると、情報システム関係の委託先である富士通株式会社が管理・運営するプロジェクト情報共有ツールに第三者から不正アクセスがあり、外務省が提供した資料を含む情報が外部に流出しました。流出したのはデジタルガバメントの実現に向けた検討資料で、一部に個人を特定できる情報が含まれていたため、外務省は該当者に連絡したと発表しています。

2つの事案を比べると、次のとおりです。

大きな違いは入られた場所です。2021年は外務省の外にある委託先のツールでしたが、今回は外務省が自ら運用するネットワークへの不正アクセスが確認されました。侵入の経路は公表されていません。

外務省はどんな再発防止策をとる？

外務省は、アクセス制御と認証方法の見直し、監視の強化、職員への情報セキュリティ教育の徹底を挙げています。

発表文の「今後の取組」では、アクセス制御や認証方法の見直し、監視の強化、情報セキュリティ教育の再徹底を含めて、セキュリティ対策をさらに強めるとしています。ただし、具体的にどの仕組みをいつまでに変えるのか、費用や体制をどう増やすのかは示されていません。

（編集部分析）外交を担う役所のネットワークは、他国の情報機関にとって最も価値のある標的の一つです。今回漏れた可能性があるのが機密情報ではなく氏名やメールアドレスであっても、「誰が外務省と連絡を取っているか」という人のつながりの情報は、次の攻撃で本物らしいメールを送るための材料になりえます。被害を件数の小ささで測るのではなく、どの情報が次の攻撃に使われうるかで測る必要があります。

外務省のサイバー防御で何が問われている？

検知から公表までの3か月と、攻撃者を明らかにしていない点について、国民への説明がどこまでできるかが問われます。

当サイトでは10月、米司法省が押収した中国系ハッカーの道具から、日本の空港を偵察していた形跡が明らかになった件も伝えています（ITG（永信至誠）が日本の空港を偵察）。今回の外務省の件で攻撃者は公表されておらず、両者を結びつける根拠はありません。ただ、国の重要な機関や施設を狙ったサイバー攻撃は、米国の司法当局の記録でも確認されています。

（編集部分析）国家の安全を守る役所が侵入を受けたときは、手口や攻撃者を明かすと相手に手の内を知られるという事情も理解できます。それでも、外務省とやり取りした約900件の省外の人には、自分が何に気をつけるべきかを知る権利があります。3か月の調査を経た今、少なくとも対象者への個別連絡を急ぎ、続報で分かったことを順に示すことが、信頼を取り戻す第一歩だと考えます。

（編集部分析）また、2021年の委託先経由の流出、今回の自前のネットワークへの侵入と、入口は違っても外務省の情報が狙われる事態が続いています。日本の情報を他国から守る力は、主権を守る力そのものです。予算と人材を十分に配り、政府全体でサイバー防御を国防の一部として強める議論が求められます。

外務省の個人情報漏えいのよくある質問

たびレジや機密情報は対象外で、対象者には外務省が個別に連絡します。攻撃者は公表されていません。

発表の原文は、外務省のサイトの報道発表で読めます（下の参考情報にURLを載せています）。

参考情報

• 外務省「不正アクセスによる個人情報の漏えいの可能性について」（2026年10月30日）https://www.mofa.go.jp/mofaj/press/release/pressit_000001_04395.html
• 時事通信「外務省で個人情報漏えい　３６００件、７月に不正アクセス」（2026年10月30日）https://www.jiji.com/jc/article?k=2026103000922&g=pol
• 外務省「富士通株式会社が管理・運営するプロジェクト情報共有ツールへの不正アクセスによる情報の流出について」（2021年5月26日）https://www.mofa.go.jp/mofaj/press/release/press4_009061.html
• テレビ朝日「外務省に不正アクセス　個人情報3600件漏洩か」（2026年10月30日配信）
• 共同通信「不正アクセスで情報漏えいと外務省」（2026年10月30日配信）
• 朝日新聞「外務省でメールアドレスなど3600件漏洩の可能性　不正アクセスで」（2026年10月30日配信）