中国当局がAIやビッグデータを活用した「デジタル政府」の構築を加速させる一方で、その基盤となる行政情報システムの安全管理に深刻な欠陥があることが浮上した。

大紀元が入手した青海省の複数の内部文書によると、同省の電子行政サービスや政務クラウドでは、初歩的なセキュリティ対策の不備を足掛かりに、住民の個人情報、行政手続きの記録、社会保障や住宅積立金に関するデータなどへ短時間でアクセスできる状況を確認したという。文書には、サイバー攻防演習「護網」の記録、技術検査報告、月次のセキュリティ監視報告、当局の警戒通知などを含んでいる。内容が事実であれば、当局が広範に収集・統合してきた国民の個人データが、外部攻撃や犯罪組織による不正利用のリスクにさらされていることを意味する。

22分で到達か　780万人分の個人情報にアクセス可能な状態

内部記録によれば、2025年10月に行われた侵入テストでは、電子行政サービスサイトのファイル閲覧機能の脆弱性が突破口になった。担当者はサーバー権限を取得後、およそ22分で省内の電子証明書管理システムに到達したという。

文書には、氏名・身分証番号・携帯電話番号からなる約780万人分の基本情報、200万件超の婚姻登録記録、約880万件の証明書関連データが閲覧可能な状態になったと記している。青海省の常住人口は約592万人だが、記録上の人数がこれを上回っていることは注目に値する。転出者や過去に収集した情報が長期にわたり集約されていることを示すものだ。

外部サイトから行政中枢へ　不十分なネットワーク分離

文書によると、担当者は外部公開された周辺サイトの既知の脆弱性から内部ネットワークに侵入し、十分に分離していない環境を通じて、行政サービスを管理する中枢システムに到達したという。この中枢システムは行政手続き、住宅積立金の引き出し、社会保険の精算などに関わる多数の業務システムと接続している。

データ削除やシステム初期化が実行されれば、広範な行政サービスが短時間で停止する危険性を指摘する。文化・新聞出版部門の周辺サーバーが足掛かりとなり、本来は分離しているはずの政府内部ネットワークや複数部門の業務システムに到達できた別のケースもあった。

弱いパスワードと平文保存　初歩的な管理不備も

問題は高度なゼロデイ攻撃（修正パッチがまだ存在しない攻撃）だけではない。管理者アカウントに単純なパスワードが使われ、データベースの接続情報やパスワードがソースコードや設定ファイル内に平文で記載していた事例を確認したとされる。外部から見れば防火壁やネットワーク分離で守られていても、こうした運用上の不備により、内部侵入後に被害が急拡大しかねない構図だ。

トロイの木馬感染と4千万件超の警告

2026年の警戒通知では、青海省発展改革委員会の端末1台がトロイの木馬に感染し、海外の指令・制御サーバーと通信、約1週間にわたり外部へデータを送信していたとみられる。同省の監視システムでは2026年6月だけで4千万件超のセキュリティ警告を記録し、うち高リスクは約289万件に上った。防災サーバーの不正マイニング、交通警察の監視サーバーへの遠隔操作型マルウェア設置、司法・消防関係機関の端末から海外アドレスへの異常な通信などの疑いも列挙している。

データ集中が招く個人情報漏えいと行政停止のリスク

行政サービスのオンライン化や政務クラウドの整備は、公安、社会保障、民政、住宅、公積金など多分野の個人情報を一元的に集約することにもつながる。データが集中するほど、漏えい時の被害範囲は大きくなる。氏名、身分証番号、住所、婚姻状況などの情報は、詐欺、なりすまし、恐喝、標的型攻撃に悪用する恐れがある。

セキュリティ調達の構造にも疑問が残る。国有通信大手の中国移動は2024年、啓明星辰を約41億4300万元(約870億円)で傘下に収めた。内部研修資料とする文書では、「等級保護」などの政策要件を軸に、中央企業の人脈や行政ルートで政府案件を受注する手法を示しているという。行政側が防御の実効性より認証取得や形式的な検査を重視しているとすれば、実際の防御能力の検証は不十分になりかねない。

今回の文書が示す最大の問題は、行政が保有する個人データの規模と、それを守る実務能力との間の隔たりだ。中国当局の「デジタル政府」は統治能力を誇示する装置である一方、対策が不十分であれば、国民の個人情報を大規模な犯罪リスクにさらす「デジタル面で丸裸の状態」へと転じかねない。