英国選挙管理委員会のデータ侵害（えいこくせんきょかんりいいんかいのデータしんがい）は、イギリスの選挙管理委員会が、2021年から2022年にかけてデータ侵害の被害を受けた事案である。2024年3月、英国の治安当局がこのデータ侵害攻撃の犯人を中国政府と特定したと報じられた。この侵害に関連して、英国政府は中国政府と繋がりのある2人の個人と1つの企業に制裁を科した。

経緯 イギリス選挙管理委員会によると、データは2021年8月にはアクセス可能な状態にあった可能性があるが、2022年10月まで検出されなかった。 発見後、この攻撃は72時間以内に情報コミッショナーオフィス、国家サイバーセキュリティセンター、国家犯罪対策庁に報告された。初期の脆弱性は、Microsoft Exchange Serverにおける「ProxyNotShell」と呼ばれるゼロデイの欠陥（）であった可能性がある。

選挙管理委員会は、どのデータがアクセスされたか、また誰が犯人であるかを確実に知ることはできないが、攻撃は相当な巧妙さを示していると述べた。 この侵害は選挙プロセスに影響を与えず、侵害で閲覧できたのは選挙人名簿のコピーのみであり、攻撃の結果として変更されてはいなかった。選挙管理委員会は、この侵害が個人に高いリスクをもたらすものではないと評価したが、大量の低レベルの個人情報（氏名、自宅住所、一部の者については投票年齢に達した日付）が含まれていた。

2014年から2022年の間に英国で有権者登録をした人々の記録にアクセスすることが可能であり、また選挙管理委員会の電子メールシステムも攻撃者によってアクセス可能であった。約4000万人が選挙人名簿に登録されている。安全上の理由で身元が匿名にされている人々や、海外在住の有権者の住所などのデータは含まれていなかった。イギリス選挙管理委員会はこのデータ侵害について謝罪した。

その後 2024年3月、英国政府とアメリカ合衆国財務省の外国資産管理局 (OFAC) は、選挙管理委員会への侵害と重要インフラへのマルウェア設置の疑いで、中国の中華人民共和国国家安全部のフロント企業である武漢暁睿智科技（Wuhan Xiaoruizhi Science and Technology）および関連する個人に制裁を科した。

脚注 出典