概要
ノルウェーの行政デジタル化庁(Digdir)が運用する共通デジタル基盤が8月25日午前3時38分(現地時間)、大規模な分散型サービス拒否(DDoS)攻撃を受け、電子認証・電子署名を含む約10の政府サービスに障害が発生した。影響を受けたのは、公共サービスへのログイン、電子ID・電子署名の発行、セキュアな電子メール、行政フォーム、省庁間のデータ連携基盤など。ID-portenやeSigneringといった中核サービスは断続的にアクセス困難な状態が続き、これらの基盤に依存する行政ポータルAltinnや税務当局Skatteetatenのサービスにも波及した。一部のサービスでは短時間の完全停止も発生し、利用者は接続エラーや応答の遅延、ログイン処理の長時間化に見舞われた。
攻撃の帰属と当局の対応
犯行声明を出した組織や個人は今のところ確認されておらず、公式な攻撃主体の特定には至っていない。ノルウェー国内メディアはロシアの関与の可能性を推測して報じているが、これは憶測の域を出ておらず、裏付けとなる証拠は示されていない。基盤の運用を担うDigdirの長官Frode Danielsen氏は、調査の結果、組織のシステムに対するセキュリティ侵害や個人データの漏えいを示す兆候は確認されていないと説明した。同庁はノルウェー国家安全保障局(NSM)およびデータ保護当局(Datatilsynet)に事案を通報しており、外部委託先のVivicta社とも連携して対応にあたっている。
繰り返される攻撃という文脈
今回の攻撃は、Digdirが標的となった直近数か月で3回目のDDoS攻撃だという。政府機関の共通認証基盤や行政ポータルのような、多数の公共サービスが依存する中核インフラが繰り返し狙われている実態は、単発的な妨害というより、国家機関のデジタル基盤に対する持続的な圧力の一環である可能性を示唆する。個人データの流出には至らなかったとはいえ、電子認証や電子署名といった機能は税務申告や行政手続きなど市民生活に直結するサービスの入り口であり、その一時停止は実害を伴う。欧州各国の政府機関を狙ったサイバー攻撃が続く中、可用性の確保とインシデント対応の迅速な公表体制が、今後も重要な論点となりそうだ。