政府のメールアカウント135件、より広範なセキュリティ問題を浮き彫りに
ネパールの政府ドメイン「nepal.gov.np」のメールアカウントが少なくとも135件、流出した認証情報を追跡するサービス「Have I Been Pwned」への国家サイバーセキュリティセンターの参加後、外部のデータ侵害で特定された。対象には首相府や内務省、財務省、外務省に関連するアカウントが含まれていた。
目次
この発見のほかにも、学生や教員の書類流出、政府ポータルへの攻撃、電子調達への妨害、株式取引を中断させたランサムウェア事案が報告されている。2026年10月に公表された情報が描くのは、セキュリティ上の不備が個人のプライバシーと重要サービスへのアクセスの双方に影響し得るデジタル行政の姿だ。
これらの事案はそれぞれ異なる問題を伴う。メールアドレスが情報流出で見つかったからといって、それだけで政府ネットワークへの侵入があったとは証明できない。ウェブサイトが停止しても、記録が盗まれたとは限らない。一方、流出した認証情報、脆弱なアクセス制御、共有インフラへの依存が重なると、より機密性の高いシステムに侵入する経路が生まれかねない。
ネパールはパスポート、本人確認、税務、銀行、社会保障をデジタルサービスに結び付けている一方、市民からは行列や身分証の発行遅延、サーバーの利用不能が報告されている。したがって、中心的な課題はハッカーの阻止にとどまらない。政府は、市民に提出を求める情報を保護するとともに、構成要素に障害が起きてもサービスを利用できるようにしなければならない。
メールアカウントの発見で分かったこと
国家サイバーセキュリティセンターのラジ・クマール・マハルジャン所長によると、ネパールは「Have I Been Pwned」に参加した47番目の政府機関となった。この連携により同センターは、自らのネットワーク上の証拠だけに頼らず、他所での情報流出を通じて漏えいした政府のメールアドレスを特定できる。
マハルジャン所長は、同センターが対象となった部局に通知し、パスワードの変更を求めると述べた。同氏は、この監視サービスによって対応がどう変わるのかを次のように説明した。
このポータルを通じて、当センターはどのメールアドレスが、どの情報源から漏えいしたのかを正確に把握できるようになりました。これにより、関係者にリアルタイムで警告し、直ちにパスワードをリセットさせ、さらなる被害を防げます。
135件という数字を、政府のメールボックス135件への侵入が確認された件数と解釈すべきではない。公表情報からは、何件のアカウントが脆弱な状態のままだったのか、流出したパスワードがまだ有効だったのか、追加認証で保護されていたアカウントが何件あったのかは分からない。
サイバーセキュリティ専門家のモナ・ニャッチョン氏は、政府のアカウントが侵害されれば、内部ネットワークや機密通信が脅かされる恐れがあると警告した。実在する政府のメールボックスを乗っ取った攻撃者は、特に受信者がそのアドレスを知っている場合、詐欺的な依頼を本物らしく見せることもできる。
別の報告では、感染端末から情報を盗むマルウェアを通じて、農業開発銀行に関連する認証情報が流出したとされる。こうした窃取は、サービスの中央サーバーに攻撃者が直接侵入しなくても、そのサービスへのアクセスに使われるコンピューター上で起きる可能性がある。
市民の書類と公共ポータルが直面する異なる脅威
大学補助金委員会のオンラインシステムでは、教授や学生の市民権証明書、学歴証明書、銀行口座情報、納税者番号（PAN）の記録が流出したと報じられた。アクセス制御が欠けていたため、ウェブアドレスを変更するだけで書類を閲覧できたという。
アクセス制御とは、特定の記録を閲覧する権限があるかどうかを判定する仕組みだ。アドレスを推測しにくくしても、それだけで書類は保護されない。誰かがアクセスを求めるたびに、サーバーが権限を確認する必要がある。
政府クラウドポータルの公開アプリケーション・プログラミング・インターフェース（API）への不正アクセスも報告されている。APIは、ソフトウェアシステム間で情報を交換したり、処理を実行したりする仕組みだ。フォースアノン・ネットワークに関連するPSy404とAnoNagoStと名乗るグループが、そのアクセスを使ってメッセージや画像を投稿したとされる。
ほかにも、ミッドナイト・オプス・ネパールが水文気象局などのシステムの脆弱性を公表した事案や、ファンクセックによる省庁の管理パネルへのアクセスが報告されている。予算関連や自治体の書類が販売目的で出品されたとも伝えられた。
これらの主張は、それぞれ個別に検証する必要がある。公開インターフェースを通じた投稿は制御上の不備を示すが、政府クラウドに保管されたすべてのデータベースにアクセスできたことを意味しない。販売目的で出品された書類についても、流出の全容を把握するには、真正性、対象範囲、出所を確認する必要がある。
報告された攻撃と政府対応の経緯
報告された事案は、単一の組織的な攻撃ではなく、複数年にわたるものだ。その経緯からは、専門のサイバーセンターが設置された後も、サービスの混乱が続いたことが分かる。
- 2024年1月1日：分散型サービス妨害（DDoS）攻撃により、公共サービスのウェブサイトやアプリが混乱し、影響が数週間続いたと報じられた。
- 2024年1月23日：閣議が国家サイバーセキュリティセンターの設立を決定。同センターは同年春に運用を開始した。
- 2024年12月：ガンダキ州、ルンビニ州、バグマティ州の政府ポータルへの攻撃が報告された。
- 2025年2月：コシ州のサブドメイン21件への攻撃が報じられた。
- 2025年3月：苦情受付プラットフォーム「Hello Sarkar」のデータベースが侵害され、販売目的で出品されたと報じられた。
- 2025年4月：警察への届出に提出された市民権記録約200万件がネパール警察のウェブサイトから盗まれ、販売目的で出品されたとされる。
- 2026年5月13日：公表されたネパール政府業務分掌規則の改正により、主要な技術関連機関が首相府に移管されたと報じられた。
- 2026年9月：証券仲介会社72社のシステムに影響するランサムウェア攻撃があったとされ、取引が1日停止した。
- 2026年10月初旬：Pathao Nepalが、利用者の氏名、メールアドレス、電話番号を含む情報流出を認めたと報じられた。
警察記録約200万件が盗まれたとの主張は、報告された事案のなかでも最大級の流出に当たる。この数字は報告上の主張であり、影響を受けた人数が独立して確認されたわけではない。重複を除いた記録数の内訳や、被害に関する包括的な公的評価も示されていない。
電子調達で問われる公共支出の安全性
電子政府調達システム（e-GP）の侵害が報じられた問題は、機密情報だけでなく、公共契約の公正性にも関わる。公共調達監視局が運営するこのプラットフォームでは、数十億ルピー規模の政府事業への入札が行われている。
調査の結果、権限のない利用者が競合相手の機密入札額を閲覧でき、提出期限後に金額を変更することも可能だったと報じられた。ハッカー、仲介者、請負業者の協力があったとされ、暗号資産での支払いや偽の調達ウェブサイトも報告されている。
ネパール警察中央捜査局は、元閣僚、建設業界関係者、技術職員を含む20人以上を逮捕し、裁判所に訴追したと報じられた。逮捕や起訴は有罪判決を意味しない。報道には、被告それぞれの責任を認定する確定判決は示されていない。
セキュリティ上の懸念を受けて電子入札は停止され、不可欠な調達については封印した紙の入札書に戻ったとされる。再開時期は確認されていない。
書類の流出との違いは重要だ。本来見るべきでない入札を誰かが見た場合、機密性が損なわれる。入札そのものを書き換えた場合は、完全性が損なわれる。どちらかの保護が破られれば、調達の透明性を高めるはずのデジタルシステムが、特定の入札者に知られない形で有利な条件を与えることになりかねない。
単一の事業者が市場全体を止める恐れ
2026年9月のランサムウェア事案では、証券仲介会社72社の取引管理システムをホストする民間データセンターが攻撃を受けたとされる。ネパール証券取引所の取引は丸1日利用できなかったと報じられた。元の報道では、影響を受けた施設に政府情報も保管されていたとされている。
ランサムウェアは通常、ファイルを暗号化するなどしてシステムやデータへのアクセスを妨げ、金銭を要求する。今回の報道では、攻撃の技術的な手口、情報も盗まれたかどうか、身代金が支払われたかどうかは明らかにされていない。
より明確に報告されているのは、運用への影響だ。ホスティング事業者1社の障害が数十社の証券仲介会社に波及し、投資家が取引できなくなった。これは集中リスク、すなわち多くの組織が同じ事業者やインフラに依存することで生じるリスクだ。
Pathao Nepalの情報開示は、これとは異なる民間部門の情報流出だ。2026年10月初旬に氏名、メールアドレス、電話番号が漏えいしたと報じられた。影響を受けた利用者は数千人に上るとされるが、正確な人数は確認されていない。
過去の報道では、VianetやFoodmanduの顧客情報流出、銀行のATMシステムへの攻撃、NIC Asia BankのSWIFTシステムを狙った攻撃未遂も取り上げられている。規模や結果はそれぞれ異なるが、セキュリティ上の課題が政府のウェブサイトにとどまらず、通信、買い物、交通、金融に使われるサービスにも及んでいることを示している。
国家IDの処理能力の問題が複数のサービスに波及
国家IDシステムは、サイバー攻撃が確認されていなくてもサービスが停止し得ることを示している。生体認証システムの登録件数が約2000万件の処理能力に近づいたことで、技術的な負荷が高まり、本人確認が数週間にわたり中断したと報じられている。
パスポート、税務、交通、銀行を含む16を超える機関で混乱が生じたとされる。この数字はシステムの処理能力にかかる負荷を示したものであり、生体情報が流出した人の数を確認したものではない。
フランスの供給事業者の企業名について、報道の説明は一致していない。元の報道はIdemiaからIN Groupeへの移行に言及する一方、別の報道は現行の名称としてIDEMIAを挙げている。正確な契約関係やサポート体制は、ここでは明らかになっていない。運用上の問題は共通しており、複数のサービスが単一の認証基盤に依存し、それが利用できなくなった際に影響を受けた。
共通の本人確認サービスは、重複する確認や書類手続きを減らせる。一方で、サービスが応答しないときに安全な代替手段で業務を続けられなければ、単一障害点にもなる。したがって、侵入者への対策だけでなく、処理能力の計画、復旧体制、供給事業者の責任を明確にすることも重要だ。
プライバシーへの影響にも同様に慎重な対応が必要だ。指紋は生体識別情報であり、市民権番号や生年月日は本人確認情報であって生体情報ではない。パスワードとは異なり、指紋は簡単に変更できない。こうした情報が流出すれば、なりすましや標的型詐欺のリスクが長期にわたって続く恐れがある。
政府の防御体制は拡充、ただし限界も
国家サイバーセキュリティセンターは、メール流出の報道に先立つ4カ月間に、政府システムを約40件監査したと報じられている。また、国際電気通信連合（ITU）が提供する監視ツール「CTM360」を使い、政府情報に関わる違法な取引を追跡している。
新たに購入されたセキュリティ情報イベント管理（SIEM）システムは、政府ネットワーク全体の活動ログを収集、分析する。こうしたツールは不審なパターンの特定に役立つが、その有効性は、何を監視するか、チームがどれだけ迅速に警告を調査するかに左右される。
ネパール語の報道で情報技術・電子ガバナンス局の情報担当官とされたプラカシュ・ドゥワディ氏は、政府ポータルをホストするシステムには、同時に7000～8000件の攻撃が試みられることがあると述べた。同氏は、学生や子どもによる基本的なテストが試行の10～20％を占めると推計した。報道では、測定期間や集計方法は説明されていない。
ドゥワディ氏はまた、安全に防御できない場合、職員がシステムを切断することもあると述べた。そのため、サーバーの停止は攻撃者に制御された証拠ではなく、防御のための措置である可能性もある。いずれにせよ市民はアクセスできなくなるため、正確なサービス停止の告知と復旧手順が必要だ。
マハルジャン所長は、サイバー事案の90％以上は人の行動やソーシャルエンジニアリングに起因すると述べた。これは同氏の見解であり、全国統計として立証されたものではない。また、人工知能を使ってアプリを急いで構築すると、開発者が暗号化やセキュリティ上の弱点に気付かない恐れがあるとも警告した。
報告されたフィッシングメッセージは、警察のマノジ・クマール・KC追加監察総監、首相府、ほかの警察幹部を装っていた。返信や情報開示を促すため、受信者に訴追をちらつかせていた。こうした例は、恐怖心や公的権威が詐欺の手段になり得ることを示している。
プライバシー権には目に見える執行が必要
ネパール憲法第28条はプライバシーを保護している。プライバシー法2075年（2018年）も、公的機関が保有する個人情報に関する義務を定めている。元の報道と付随する分析は、第29条に最長3年の禁錮刑、第31条に補償、第32条に懲戒処分が定められていると指摘している。
これらの規定があるからといって、報告された技術的な不備がすべて刑事犯罪や補償の要件を満たすわけではない。責任の有無は、実際の行為、適用される法令、証拠に基づいて判断されなければならない。取り上げられた事案で科された制裁や補償について、公表情報はほとんど明らかにしていない。
行政上の責任体制も変わりつつある。2026年5月13日に公表された改正により、サイバーセキュリティセンター、データ管理センター、情報技術局が首相府に移管されたと報じられた。2026年3月27日に承認された閣議の議題では、3カ月以内に情報技術・電子ガバナンス局を設置することが求められたが、報道の公表時点では組織調査が完了していなかったとされる。
その結果、組織体制や報告系統は未確定のままだった。機関を移管しただけでは、影響を受けた市民への通知、侵害されたサービスの復旧承認、供給事業者によるセキュリティ上の欠陥修正の確認を誰が担うのかは明確にならない。
次の課題はテスト、調達、情報開示
元の分析は、ソフトウェア調達の当初からセキュリティ上の義務を組み込むことを提案している。具体的には、暗号化、継続的な更新、保守、品質と費用に基づく選定などであり、納品時点でソフトウェアの調達が終わったとみなさないことだ。これらは提案であり、政府が新たに定めた要件ではない。
また、市民向けサービスの開始前に、脆弱性評価と侵入テストを義務付けることも提案している。これらのテストでは、弱点を特定し、管理された条件下で侵入を試みる。テストの実施と、そこで見つかった問題の修正は別だ。信頼できる運用開始の判断には、重大な欠陥が修正され、再確認された証拠が必要となる。
サイバーセキュリティ専門家のナレシュ・ラムガデ氏は、開発時にセキュリティが見落とされることが多く、民間の研究者が脆弱性の報告をためらう状況にあると指摘する。明確な報告窓口と手順があれば、研究者が機関への連絡に迷うことなく、発見を修正につなげられる。
ほかの提案には、政府のメールや管理者アカウントへの追加認証、データセンターの定期監査、情報流出後の市民への通知、独立したデータ保護規制機関の設置が含まれる。これらの措置を採用する日程は確認されていない。
直ちに答えが必要な問いは具体的だ。流出が確認されたアカウントのうち、保護措置が取られたのは何件か。盗まれたとされるデータセットの真正性は確認されたのか。電子入札はいつ再開するのか。本人確認サービスは、次の処理能力不足による中断をどう防ぐのか。こうした問いへの公的な回答があれば、オンライン化されたサービスの数ではなく、復旧の成果に基づいて対応を評価できる。
要点
- ネパールが「Have I Been Pwned」に参加した後、外部の情報流出で政府のメールアカウントが少なくとも135件特定された。
- 流出が報告された情報には大学の書類や、警察への届出に提出された市民権記録約200万件が含まれる。後者の件数は未確認だ。
- 電子調達を巡る事件では20人以上が逮捕されたと報じられたが、裁判の最終的な結果は示されていない。
- 2026年9月には、証券仲介会社72社のシステムに影響するランサムウェア攻撃があったとされ、株式取引が1日停止した。
- 国家IDの処理能力の問題により、16を超える機関で本人確認が数週間中断したと報じられた。
- セキュリティ監視とテストは拡充しているが、情報流出の通知、責任の所在、複数の復旧時期は未解決のままだ。
