要約

  • 10月14日の更新は、流出資料のうち2007年より前のLegal Aid Agency記録を約25万件とし、現時点で確認できた最古の記録は1978年だとした。
  • 公開範囲には同じLAA事案で持ち出された限定的な保護観察データも含まれるが、期間やサービス区分は影響を受けた人の名簿ではない。

1978年は、現時点で確認できた証拠の年代を示す。影響を受けた人数を示す数字ではない。Ministry of Justiceによると、継続中の分析で2007年より前に作成されたLegal Aid Agency記録が約25万件見つかり、そのうち最も古いものは1978年だった。攻撃は2025年4月23日に発覚し、5月16日に政府は当初の認識より範囲が広かったと確認した。2026年10月14日の更新は、その後も続いた技術・データ分析を反映して公表内容を変えたものだ。同じ年の記録がすべて流出したとも、当時に法律扶助を利用した人が全員対象になったとも述べていない。議会への書面声明と政府の公表ページはこの区別を明記している。

記録と個人は同じではない。記録は支払い、通知、申請、あるいは事件管理システムの断片かもしれない。政府は情報の内容が個人ごとに異なり、法律扶助事件の完全な記録は一件も影響を受けていないとしている。公表された表には、氏名、住所、生年月日、国民識別番号、財務情報、事件の詳細などが含まれる可能性が示されているが、すべての人に全項目が存在したという意味ではない。以前のLegal Aid Agency事案FAQの保存版では、当時把握していた申請者データの期間を2007年から2025年5月16日までとしていた。これはその時点の評価であり、さらに古い記録が後に見つからないという保証ではなかった。

今回の更新は、サービス間の境界についても公表内容を広げた。政府は、同じ事案で流出した資料にHM Prison and Probation Serviceの限定的な情報、具体的には保護観察データが含まれていたと述べる。議会声明によると、Probation Servicesが2010年から2017年に管理していた比較的小さな集団に関する情報で、その99％超は2016年と2017年のものだ。これはLegal Aid Agencyのシステムから持ち出された資料にそのデータが含まれていたことを示す。HMPPSのシステムが侵入された証拠ではなく、その小集団の人数も示されていない。LAAの更新ページは、記載されたHMPPS情報は犯罪被害者に関するものではないとしている。

だからこそ、今回の話は対象期間を延ばすだけではない。Ministry of Justiceは、流出した情報のかなりの部分が断片的で、構造化されておらず、不完全だと説明する。政府は、盗んだ側が個人を特定しにくい可能性を述べる一方で、ある期間や区分に属するだけでは本人の情報が取られたことにならないと注意している。盗まれたデータが公開・共有されたという兆候はないという。ただし「兆候がない」は現時点の把握状況であり、将来も流通しないという証明ではない。

統制の履歴には、もう一つの時間軸がある。政府は6月、Legal Aid AgencyとMinistry of Justiceのリスク登録簿に、デジタル基盤とサイバーの懸念が2021年から記録されていたと答えた。2022-23年度の評価ではLAAの基盤は省内で最も複雑かつ脆弱だったという。同じ回答によると、2024-25年度に投じた1,050万ポンドで監視と警報機能が導入され、政府の説明ではそれが攻撃を発覚時に検知する助けになった。それでも旧式システムに伴う残余リスクは高かった。これは政府が示した評価であり、この事案の原因を独立に確定した調査結果ではない。検知とシステムリスクに関する議会答弁が経緯を示している。

財務報告は、流出範囲とシステム復旧を別の証拠で評価すべき理由を示す。Legal Aid Agencyの2024-25年度説明責任報告は、当時の認識では侵害はLAAのシステム内にとどまり、サービスは代替手段で継続したと記録する。後に見つかった保護観察情報は流出資料に含まれるデータについてであり、それだけでHMPPSのシステム侵入を示すわけではない。一方、Comptroller and Auditor Generalは、Ministry of Justiceの財務諸表に関わる統制、データ完全性、支払いを調べ、重大な虚偽記載は見つけなかった。その監査結果が裏付けるのは財務諸表であり、流出した全員を特定できたことではない。

次に見るべき指標

公表資料が扱う年代は数十年に広がったが、政府は影響を受けた人数、個人を特定できた人数、個別確認の終了時期をまだ示していない。データが許す範囲で個人を特定するとしている。この条件が重要だ。大量の記録を列挙しても、信頼できる通知対象者の一覧が自動的にできるわけではない。今後の説明では、記録をどう個人に結びつけたのか、どこに不確実性が残るのか、どの集団に連絡したのか、未解決の記録をどう再確認するのかが問われる。