ゆめさくセキュリティ

2023年8月8日に発覚、海外、警察

北アイルランド警察 隠しシートからの全職員名簿流出

隠しシートの削除漏れで、FOI開示資料から全警察官・職員の名簿が流出した

何があったか

2023年8月3日、北アイルランド警察(PSNI)は情報公開請求(FOI)で、階級・等級ごとの人数を尋ねる質問を受けた。4日、担当チームは人事システムからダウンロードしたExcelファイルを使って回答を準備し、分析用の複数のシートを作った。7日、担当者は開示用のシート以外の表示されているタブを消したが、画面の端にある三つの点の先に、人事データそのままのシートが残っていることに気づかなかった。8日、品質確認の担当者と上長、広報部門の担当者もこの隠れたシートに気づかないまま、10時9分に回答が承認された。

14時31分、回答の手紙とともにこのExcelファイルがFOIの公開サイトWhatDoTheyKnowに掲載された。ファイルには在職中・休職中を含む全警察官・職員9,483人分の、姓とイニシャル、職種、階級、部署、勤務地、雇用形態、性別、職員番号が載っていた。16時10分ごろ、職員からの連絡でPSNIが気づき、16時47分にサイト運営者へ削除を依頼、16時51分に非公開化、17時27分に削除された。公開されていたのは約2時間20分だった。

PSNIは同日17時にICOへ通報し、全職員にもメールで知らせた。10日には「前例のない、産業規模の情報漏えい」と発表し、14日には流出した名簿が「ディシデント・リパブリカン」の手に渡ったとの前提で対応すると公表した。PSNIは緊急脅威管理のための窓口を設け、自宅の警備強化費用の補助や転居支援などを行った。

入口
FOI(情報公開請求)への回答を作る過程で、人事システムからダウンロードした全職員分の人事データのシートが、画面に表示されるタブからは消えていたが、ファイルの中には残っていた
決め手の失敗
FOI対応の手引書や研修に、Excelファイルの隠れたデータを確認する手順がなく、担当者・上長・広報の誰も開示前の確認でそれに気づかなかった。スプレッドシートの開示そのものを制限する方針や、2人目による再確認の仕組みもなかった
被害
在職中・休職中を含む全警察官・職員9,483人分の氏名(姓とイニシャル)、職種、階級、部署、勤務地、雇用形態、性別、職員番号が公開サイトに約2時間20分掲載された。情報は武装組織の手に渡ったとの前提で扱われ、自宅の引っ越しや転職に至った職員もいた

攻撃の流れ

  1. 入口FOI請求への回答を作るため、人事管理システム(SAP)から職員データをExcelファイルにダウンロードし、複数のシートを作って分析した
  2. 削除漏れ回答用のシート以外の、画面に表示されていたタブは削除されたが、タブの表示枠に収まりきらず「三つの点」の奥に隠れていた人事データそのもののシートは消されなかった。担当者はその点が何を示すか知らなかった
  3. 見落とし品質確認の担当者、FOI決定者、広報部門(SCED)の担当者が順にファイルを確認したが、全員が表示されているシートだけを見て、隠れたシートの存在に気づかなかった
  4. 公開2023年8月8日14時31分、回答の手紙とともにこのExcelファイルがFOI公開サイトWhatDoTheyKnowにアップロードされた
  5. 発覚と削除16時10分ごろ、ファイルを見た職員からの連絡でPSNIが気づき、16時47分にサイト運営者へ削除を依頼、16時51分に非公開化、17時27分に削除された

数字で見る

  • 9,483人 流出した職員・警察官の数[3] 在職中、休職中、キャリアブレイク中を含む全員
  • 約2時間20分 サイトで閲覧可能だった時間[3] 14時31分から16時51分まで
  • 75万ポンド ICOの制裁金[3] 公共部門向けの裁量を適用する前の算定額は560万ポンド
  • 2024年6月14日 改めて適切な対策が実施済みと認められた日[3]

気づいたきっかけ

2023年8月8日16時10分ごろ、公開されたファイルを見た警察官からの連絡でPSNIの運用支援部門が気づいた。サイトの運営者へ連絡し、ファイルの非公開化と削除を依頼した

対応と復旧

PSNIは「オペレーション・サヌカイト」を立ち上げ、副本部長級の情報リスク責任者(SIRO)を指揮官とした。公表の当日にFOI回答をPDF形式のみにする方針を出し、9月8日には暫定の安全なデータ共有に関する指針も出した。緊急脅威管理グループを設け、職員からの相談に応じて自宅の警備強化費用の補助や転居支援を行った。2024年6月14日までに、FOIの手引書・監査記録・品質確認のチェックリストを改め、スプレッドシートの安全な取り扱いに関する方針を新たに整え、ICOはこの時点で適切な対策が講じられたと認めた

組織が認めた原因と、決めた対策

認めた原因

  • FOI対応の手引書(FOI Service Instruction)に、Excelファイルの隠れたデータを確認する具体的な手順が定められていなかった
  • 全職員向けのFOI研修にも、FOI決定者向けの研修にも、Excelファイルに隠れたデータが残る危険性についての注意喚起がなかった
  • 品質確認の担当者も上長も広報部門も、表示タブの先に隠れたシートがあることを示す画面上の印に気づかなかった
  • 請求者がスプレッドシート形式を希望した場合に限って開示する方針や、開示前に第三者が隠れたデータを再確認する仕組みがなかった
  • 処理対象のデータについて、適切なセキュリティ水準を検討した記録をPSNIは示せなかった

公表した再発防止策

  • FOI回答をPDF形式(のちにCSV形式も可)に限る方針を導入した
  • FOI決定者がすべての回答と添付の電子ファイルについて隠れたデータの有無を確認する手順を、FOI監査記録に組み込んだ
  • FOI決定者がチームリーダーと内容を協議し、スプレッドシートで開示する場合はチームリーダーが二重に確認する手順を、品質確認チェックリストに組み込んだ
  • 担当職員に、隠れたデータの確認方法に関する指針(ICOの手引を含む)を読んで理解したことを上長へ報告させるようにした
  • スプレッドシートの安全な取り扱いに関する方針を新たに整え、担当職員への定期的な研修を行うようにした

自分のサービスで確かめること

  • 情報公開や外部への開示に使うファイルについて、隠れたシート・列・コメント・編集履歴を確認する手順が手引書に明記されているか確かめる
  • 開示前の品質確認が、表示されている内容の正確さだけでなく、ファイルの中に残っている不要なデータの有無も見ているか確かめる
  • スプレッドシート形式での開示を減らし、可能な場合はPDFなど編集・閲覧しかできない形式に変換してから渡しているか確かめる
  • 開示担当者とは別の人が最終ファイルを再確認する二重チェックの仕組みがあるか確かめる
  • ファイルの作成・開示に関わる職員が、隠れたデータの危険性について研修を受けているか確かめる

関わる攻撃とレッスン

学べるレッスン

時系列

  1. 2023年
  2. 8月3日 侵入 PSNIがWhatDoTheyKnow経由で、階級・等級ごとの人数を尋ねるFOI請求を受けた[3]
  3. 8月7日 侵入 担当者が開示用のシート以外の表示タブを削除したが、隠れていた人事データのシートは消されなかった[3]
  4. 8月8日 侵入 14時31分、人事データを含むExcelファイルがFOI回答としてWhatDoTheyKnowに掲載された[3]
  5. 8月8日 発覚 16時10分ごろ、職員からの連絡でPSNIが気づき、16時51分に非公開化、17時27分に削除された。同日17時10分にICOへ電話で、20時20分にオンラインで正式に通報した[3]
  6. 8月10日 公表 本部長代理が「前例のない、産業規模の情報漏えい」との声明を出した[1]
  7. 8月14日 公表 流出した名簿がディシデント・リパブリカンの手にあるとの前提で対応するとの更新情報を発表した[1]
  8. 9月8日 対応 安全なデータ共有に関する暫定の指針を出した[1]
  9. 12月11日 公表 PSNIと北アイルランド警察委員会が委託した独立調査の最終報告書が公表された[1]
  10. 2024年
  11. 5月23日 処分 ICOが75万ポンドの制裁金を科す意向と予備的な執行通知を公表した(案への反論は6月14日まで)[2]
  12. 6月14日 対応 PSNIが改めたFOIの手引書・監査記録・品質確認チェックリストなどをICOへ提出し、ICOはこの日までに適切な対策が講じられたと認めた[1]
  13. 10月3日 処分 ICOがPSNIに75万ポンドの制裁金(2024年9月26日付)を科したと公表した[3]

攻撃した側について

ICOの制裁金通知は攻撃者を特定していない。PSNIは2023年8月14日の発表で、流出した名簿が「ディシデント・リパブリカン」の手に渡ったとの前提で対応するとしたが、これはPSNI自身の運用上の想定であり、ICOの認定事実ではない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. PSNI facing a £750k fine following spreadsheet error that exposed the personal information of its entire workforce Information Commissioner's Office (ICO)、2024年5月23日、公的機関の資料
  2. What price privacy? Poor PSNI procedures culminate in £750k fine Information Commissioner's Office (ICO)、2024年10月3日、公的機関の資料
  3. Penalty Notice Police Service of Northern Ireland Information Commissioner's Office (ICO)、2024年9月26日、公的機関の資料