英国の法律扶助庁（LAA）によるデータ侵害は、当初報告されていたよりも長い期間に及ぶ。LAAは現在、2025年の攻撃によって当初把握されていたよりはるかに古いデータが流出したと述べている。約25万件の盗まれた記録は2007年より前のものであり、確認されている最も古い記録は1978年にまで遡る。

この詳細によって話は変わる。これは単に現代的なシステムへのハッキングの話ではない。公共機関がどれだけ長く高度に機微な個人データを保管していたのか、そしてその数十年分のデータが一箇所に置かれたときに何が起こるのか、という話である。

LAAが盗まれたと述べているもの

報道によれば、LAAの更新された評価では、侵害されたデータが多くの初期の要約で用いられていた2007年という起点よりもはるかに古くまで及んでいることが示されている。盗まれた記録のおよそ25万件は2007年より前のものであり、確認されている最も古い記録は1978年にまで遡る。

元記事は関与するすべてのデータ項目の完全な内訳を提供していないため、当局が述べた以上の詳細を推測するのは誤りである。明確なのはその文脈である。法律扶助のファイルは、刑事・家庭その他の法的手続きに関与した人々など、困難な時期にある人々に関係する。その文脈に結びついたわずかな情報であっても機微になり得る。

LAAがこの事案をどのように位置づけているかを知りたい場合は、当局自身の更新情報と弁護士会（Law Society）の侵害に関するガイダンスを確認するとよい。調査の進展に伴い詳細は変化している。

なぜ1978年の記録が依然として保管されていたのか

明らかな疑問は、なぜ1970年代の記録が依然として攻撃者からアクセス可能だったのかということである。記事はLAAの内部的な理由を説明していないため、一般的な傾向についてしか論じられない。

公共機関は正当な理由で長期間にわたり記録を保管することがよくある。法的義務、監査、案件履歴、そして古いデータを現在のシステムからきれいに分離することの難しさなどである。時間の経過とともに、そのデータはレガシーデータベースに蓄積され、棚卸しが難しく、安全に削除することはさらに難しくなる。

ここで、境界防御と同様に保存期間の制限が重要になる。ファイアウォール、監視、アクセス制御は侵入の可能性を減らす。しかし攻撃者が突破した場合、被害は保存されているものに比例する。もはや目的を果たさないデータは純粋な負債である。誰の役にも立たないが、それが記述する人々を害することは依然として可能である。

1978年という発見は明確な例である。数十年前に法律扶助制度に関わった人は、自分のファイルはずっと前に消えたか無関係だと思っていたかもしれない。侵害はそうではないことを示している。

影響を受けた人が今できること

法律扶助を申請したことがある場合、またはあなたの情報が案件の一部であった可能性がある場合、取る価値のある実践的なステップがある。いずれもパニックになる必要はない。

  • 公式の通知を探す。 LAAからの手紙やメールに注意し、返信する前にあらゆるメッセージを当局の公開ガイダンスと照合する。侵害はしばしば、関係する組織を模倣したフィッシングの試みを引き起こす。
  • 自分の権利を知る。 英国のデータ保護法の下では、一般に組織に対して自分についてどのような個人データを保有しているかを尋ね、その取り扱いについて懸念を提起することができる。明確にしたい場合は、データ主体アクセス要求を行うことを検討するとよい。
  • 予期しない連絡には注意する。 あなたの法的履歴に言及する電話、テキスト、メールは疑ってかかる。特に迅速な行動や財務詳細の共有を迫るものはそうである。
  • 口座と信用を監視する。 銀行の明細書や信用報告書に見慣れないものがないか注意を払う。
  • ログインを強化する。 一意のパスワードを使用し、利用可能な場合は二要素認証を有効にする。特にメールについてはそうである。
  • 心配な場合は助言を求める。 弁護士会などの組織は影響を受けた人々向けの情報を公開しており、法律顧問が選択肢を説明できる。

侵害後にVPNができることとできないこと

ここは正直であるべきだ。VPNはデバイスとVPNサーバー間のインターネットトラフィックを暗号化し、信頼できないネットワーク上で役立ち、インターネットプロバイダーが見えるものを制限できる。これは一般的な衛生管理として有用である。

しかしVPNは侵害を帳消しにしない。LAAのデータはあなたの接続からではなく当局のシステムから盗まれたため、いかなる消費者向けツールもそれを取り戻したり安全にしたりすることはできない。またVPNは、すでに犯罪者の手にある情報のフィッシング、身元詐欺、悪用を止めることもできない。

VPNはより広いプライバシー習慣の中の小さな一層と考えるべきであり、このような事案への対応策ではない。

これがあなたにとって意味すること

主な教訓は、あなたの露出は今日共有するものだけでは定義されないということである。何年も前、あるいは数十年前に取引した機関が依然として保有しているものにも依存する。公共機関の保存スケジュールを制御することはできないが、新たな露出を減らすことはできる。必要なものだけを共有し、なぜ情報が収集されるのかを尋ね、該当する場合はアクセス権と削除権を行使することである。

より広い政策上の論点もある。機微な記録を保有する組織は、それを保持する正当性を説明でき、正当化できないものは削除できるべきである。完全な履歴を引き渡すことなく自分が誰であるか、あるいは資格を証明できるという考え方が注目を集めている。デジタルIDツールがプライバシーをどう強化できるかに関する記事では、プライバシーを保護する検証がそもそも保存されるデータの量をどう減らせるかを探っている。

主なポイント

英国法律扶助庁のデータ侵害は、古いデータが存在する限りリスクがあり続けることを示している。影響を受けている可能性があると思う場合は、以下のステップを取るとよい。

  1. LAAの公式コミュニケーションに注意し、独立して検証する。
  2. 自分について何が保有されているかを知るために、主体アクセス要求を検討する。
  3. 法的問題に言及する一方的な連絡には警戒する。
  4. 一意のパスワードと二要素認証を使用する。
  5. 可能な限りデータの共有を減らし、保持するものを制限するサービスを選ぶ。

侵害通知に関する権利を確認し、引き渡す個人データを減らし、完全な記録を明け渡すことなく自分が誰であるかを証明する背景については、デジタルIDとプライバシーに関するガイドをお読みいただきたい。