中国当局がAIやビッグデータを活用した「デジタル政府」の構築を加速させる一方で、その基盤となる行政情報システムの安全管理に深刻な欠陥がある可能性が浮上した。

大紀元が入手した青海省の複数の内部文書によると、同省の電子行政サービスや政務クラウドでは、初歩的なセキュリティ対策の不備を足掛かりに、住民の個人情報、行政手続きの記録、社会保障や住宅積立金に関するデータなどへ短時間でアクセスできる状況が確認されたという。文書には、サイバー攻防演習「護網」の記録、技術検査報告、月次のセキュリティ監視報告、当局の警戒通知などが含まれる。内容が事実であれば、当局が広範に収集・統合してきた国民の個人データが、外部攻撃や犯罪組織による不正利用のリスクにさらされていることを意味する。

22分で到達か　780万人分の個人情報にアクセス可能な状態

内部記録によれば、2025年10月に行われたとされる侵入テストでは、電子行政サービスサイトのファイル閲覧機能の脆弱性が突破口になった。担当者はサーバー権限を取得後、およそ22分で省内の電子証明書管理システムに到達したという。

文書には、氏名・身分証番号・携帯電話番号からなる約780万人分の基本情報、200万件超の婚姻登録記録、約880万件の証明書関連データが閲覧可能な状態になったと記されている。青海省の常住人口は約592万人とされ、記録上の人数がこれを上回る点は注目される。転出者や過去に収集された情報が長期にわたり集約されている可能性を示すものだ。

外部サイトから行政中枢へ　不十分なネットワーク分離

文書によると、担当者は外部公開された周辺サイトの既知の脆弱性から内部ネットワークに侵入し、十分に分離されていない環境を通じて、行政サービスを管理する中枢システムに到達したという。この中枢システムは行政手続き、住宅積立金の引き出し、社会保険の精算などに関わる多数の業務システムと接続しているとされ、データ削除やシステム初期化が実行されれば、広範な行政サービスが短時間で停止する危険性も指摘されている。文化・新聞出版部門の周辺サーバーが足掛かりとなり、本来は分離されているはずの政府内部ネットワークや複数部門の業務システムに到達できた別のケースも示された。

弱いパスワードと平文保存　初歩的な管理不備も

問題は高度なゼロデイ攻撃だけではない。管理者アカウントに単純なパスワードが使われ、データベースの接続情報やパスワードがソースコードや設定ファイル内に平文で記載されていた事例が確認されたとされる。外部から見れば防火壁やネットワーク分離で守られていても、こうした運用上の不備により、内部侵入後に被害が急拡大しかねない構図だ。

トロイの木馬感染と4000万件超の警告

2026年の警戒通知では、青海省発展改革委員会の端末1台がトロイの木馬に感染し、海外の指令・制御サーバーと通信、約1週間にわたり外部へデータを送信していた可能性があるという。同省の監視システムでは2026年6月だけで4000万件超のセキュリティ警告が記録され、うち高リスクは約289万件に上った。防災サーバーの不正マイニング、交通警察の監視サーバーへの遠隔操作型マルウェア設置、司法・消防関係機関の端末から海外アドレスへの異常な通信などの疑いも列挙されている。

データ集中が招く個人情報漏えいと行政停止のリスク

行政サービスのオンライン化や政務クラウドの整備は、公安、社会保障、民政、住宅、公積金など多分野の個人情報を一元的に集約することにもつながる。データが集中するほど、漏えい時の被害範囲は大きくなる。氏名、身分証番号、住所、婚姻状況などの情報は、詐欺、なりすまし、恐喝、標的型攻撃に悪用される恐れがある。

セキュリティ調達の構造にも疑問が残る。国有通信大手の中国移動は2024年、啓明星辰を約41億4300万元(約870億円)で傘下に収めた。内部研修資料とされる文書では、「等級保護」などの政策要件を軸に、中央企業の人脈や行政ルートで政府案件を受注する手法が示されているという。行政側が防御の実効性より認証取得や形式的な検査を重視しているとすれば、実際の防御能力の検証は不十分になりかねない。

今回の文書が示す最大の問題は、行政が保有する個人データの規模と、それを守る実務能力との間の隔たりだ。中国当局の「デジタル政府」は統治能力を誇示する装置である一方、対策が不十分であれば、国民の個人情報を大規模な犯罪リスクにさらす「デジタル裸奔」へと転じかねない。