大企業を狙ったランサムウェア攻撃や、大規模な個人情報漏洩事件が相次いでいます。もちろん、サイバー攻撃の被害を受けるのは大企業だけではありません。
行政書士事務所も例外ではありません。実際に、パソコンのウイルス感染、メールアカウントの乗っ取り、利用しているクラウドシステムへの不正アクセスなどが公表されています。
行政書士は、依頼者の人生や企業経営に関わる重要な個人情報を預かる専門職です。
遺言・相続の相談では、家族構成や財産、戸籍などの情報を扱います。在留資格申請ではパスポート、在留カード、職歴、家族関係などの情報が必要です。建設業許可などの事業者向け手続きでは、企業の財務情報や役員情報を取り扱います。
こうした情報を守ることは、行政書士の守秘義務を果たすうえでも極めて重要です。
私は行政書士として、長年、業務のDX（デジタルトランスフォーメーション）とAI活用を進めてきました。
だからこそ、便利さだけではなく、情報を守る仕組みを自ら考え、責任を持って運営することが必要だと考えています。
今回は、行政書士業界で実際に公表されたサイバーセキュリティ事故を紹介したうえで、岡高志行政書士事務所が目指す情報管理のあり方を宣言します。
行政書士事務所で実際に発生したサイバー攻撃・セキュリティ事故4例
行政書士法人IMS――ウイルス感染と顧客へのなりすましメール
2022年3月2日、行政書士法人IMSは、事務所のパソコンが攻撃メールによってウイルスに感染したことを公表しました。
感染したとみられるのは、当時猛威を振るっていた「Emotet（エモテット）」です。
Emotetの厄介なところは、過去のメールのやり取りを悪用し、実際の取引先や知人から届いたメールのように偽装できることです。
行政書士法人IMSでは、過去にメールで連絡した顧客に対して、同法人の職員を装う迷惑メールが送られた可能性があると発表しました。
この事例は、行政書士事務所のメール環境が侵害されると、事務所自身だけでなく、依頼者や取引先を巻き込む二次被害につながり得ることを教えてくれます。
なお、同法人の発表はウイルス感染を確認したものですが、顧客情報の大量流出が確認されたとするものではありません。
出典：行政書士法人IMS「迷惑メールに関するお詫びとお知らせ」（2022年3月2日）
行政書士未来タクト――メールアドレスの乗っ取り
2024年4月、横浜市の行政書士未来タクトでは、事務所が利用していたメールアドレスが乗っ取られ、大量の迷惑メールが送信される事件が発生しました。
同事務所は、問題のメールアドレスを廃止し、パスワードを再設定するなどの対応を実施しました。
幸い、事務所側の説明によれば、乗っ取られたのは受信・転送用のメールアドレスで、サーバにはメールデータを残していませんでした。PCやネットワーク機器のウイルス感染も確認されず、個人情報の流出も確認されていないと公表しています。
しかし、注目したいのは、個人経営の行政書士事務所であってもメールアカウントの乗っ取りが現実に起きているという事実です。
パスワードの管理や多要素認証といった基本的な対策は、決して軽視できません。
出典：行政書士未来タクト公式サイト「メールアドレス乗っ取りによる迷惑メール送信について」
行政書士古内事務所――利用する外部システムの不正アクセス
2023年6月19日、東京都練馬区の行政書士古内事務所を含む古内事務所グループは、採用していた業務システムの提供会社のサーバが不正アクセスを受け、接続障害が発生したことを公表しました。
同事務所は個人情報保護委員会へ報告を行っています。
その後、2023年8月21日には、サービス提供会社から個人情報流出の事実は認められなかったとの説明を受け、確報も行ったと公表しました。
外部システムの障害でも、サービスを利用する士業事務所に影響が及ぶことを示しています。
出典：総合経営管理センター・労務管理古内事務所・行政書士古内事務所公式サイト
4．行政書士法人・社会保険労務士法人坪川事務所――「社労夢」の接続障害
2023年6月27日、行政書士法人と社会保険労務士法人を運営する坪川事務所は、利用していた「社労夢」の接続障害と対応状況を公表しました。
「社労夢」は、株式会社エムケイシステムが提供する社会保険労務士業務支援システムです。
同システムのサーバがランサムウェアによる不正アクセスを受けたことで、利用していた事務所の業務に影響が及びました。
坪川事務所は、同システムで企業情報や個人情報を取り扱っていたことから、個人情報保護委員会への報告を行っています。
公表当時、個人情報が外部へ送信された形跡は確認されていませんでした。
自分の事務所のパソコンがウイルスに感染していなくても、外部の業務システムが攻撃されれば、業務が止まる。
この事実は、士業事務所の情報管理を考えるうえで極めて重要です。
出典：坪川事務所「当事務所使用システム『社労夢』の接続障害とその対応について」（2023年6月27日）
「社労夢」ランサムウェア事件が示した、外部クラウド依存の怖さ
今回紹介した事例の中でも、私が特に注目しているのが、2023年6月に発生した「社労夢」のランサムウェア事件です。
社労夢は、多くの社会保険労務士事務所等で利用される業務支援システムです。
社会保険、雇用保険、給与計算などの業務を効率化できる一方で、システムの運用を外部事業者に委ねることになります。
2023年6月、社労夢を提供する株式会社エムケイシステムのサーバが不正アクセスを受け、保存されていたデータが暗号化されました。
その結果、システムが正常に利用できなくなり、多数の事務所や顧問先企業に影響が及びました。
個人情報保護委員会への報告は3,067件
個人情報保護委員会が2024年3月25日に公表した資料によると、同年3月8日時点で、この事件に関する漏洩等報告は3,067件に上りました。
報告された本人の数の合計は約749万6,000人に及びます。ただし、これには報告間の重複が含まれる可能性があり、これだけの人数の情報が実際に外部へ流出したという意味ではありません。
システム運営会社の調査でも、情報の外部流出は確認されていませんでした。
それでも、2024年3月25日、個人情報保護委員会はエムケイシステムに対して個人情報保護法に基づく指導等を行いました。
問題は、情報漏洩の可能性だけではありません。
システムを利用できなくなること自体が、事務所の業務継続を脅かすのです。
外部クラウドを活用している事務所にとって、これは決して他人事ではありません。
出典：個人情報保護委員会「株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について」（2024年3月25日・PDF）
税理士・社労士・行政書士に共通する、外部システムへの依存リスク
行政書士が社会保険労務士を兼営していることはよくあることですが、
社会保険労務士には労務管理ソフト、税理士には会計・税務ソフトなど、専門業務を効率化するシステムがあります。
こうした外部サービスは大きな利便性をもたらします。クラウド事業者が専門的なセキュリティ対策を実施しているという利点もあります。
一方で、重要なデータや業務処理を特定の事業者に集中させると、障害発生時に利用者側で対処できる範囲が限られるという弱点があります。
私は、外部クラウドサービスを否定するわけではありません。
しかし、行政書士事務所がDXを進める際には、「便利だから使う」だけでなく、「そのサービスが停止しても業務を続けられるか」「預けた情報を誰が管理しているか」まで考えるべきだと思います。
岡高志行政書士事務所の強み――システムを自社開発・自社運営する
私はこれまで、行政書士業務のデジタル化とAI活用に積極的に取り組んできました。
その特徴の一つが、外部の士業向け業務パッケージに全面的に依存するのではなく、自らシステムを企画・開発し、運営していることです。
自分でシステムを開発することには、単なるコスト削減や業務効率化を超えた意味があります。
情報の入力項目、処理方法、アクセス権限、データ管理の方針などについて、事務所自身が主体的に判断できるからです。
もちろん、自社開発というだけで自動的に安全性が保証されるわけではありません。サーバや通信基盤、外部サービスの安全性についても検証が必要です。
だからこそ私は、システムの開発者であり運営者である立場から、情報管理にも責任を持って取り組みます。
遺言書AI――家族と財産の情報を扱うからこそ、守秘義務を重視
遺言書AIは、私が開発・監修・運営する無料の遺言書案文作成サービスです。
画面の案内に沿って相続人や財産、配分方法などを入力することで、利用者に応じた遺言書の案文をPDFで作成できます。
遺言書AIの案文作成機能は、民法のルールを反映したプログラムによるものです。生成AIの推測だけで遺言条項を作り上げる仕組みではありません。
一方、利用者の疑問に答える相談機能にはAIチャットボットを活用しています。AIチャットボットではお客様の個人情報の入力を必須にしておりません。
大切なのは、遺言書AIでは、家族構成、相続人、預貯金、不動産といった非常に重要な情報を取り扱うということです。
遺言書AIでは、公式サイトにおいて、入力情報を案文作成等の目的で利用し、AIの学習には使用しない方針を明示しています。
作成した記録は、行政書士の守秘義務のもとで管理しています。
私は、専門家としての法的知識と、自らシステムを開発・運営する責任を組み合わせることで、利用者が安心して遺言書作成に取り組める環境を目指しています。
VISAdeAI――在留資格申請に必要な情報を責任を持って取り扱う
VISAdeAIは、私が開発・運営する在留資格申請支援サービスです。
利用者が必要な情報を入力することで、在留資格申請に関する費用の見積もりを自動で確認できる仕組みを提供しています。
在留資格申請に関係する情報には、国籍、職歴、学歴、家族関係、雇用条件など、慎重な管理を要するものが含まれます。
VISAdeAIについても、自社で開発・運営することによって、入力情報の取り扱いやシステムの設計について、事務所が主体的に管理方針を定められることが強みです。
外部の汎用業務システムにすべてを任せるのではなく、行政書士として必要な機能を自ら設計する。
業務を知る行政書士自身がシステムを作り、情報管理にも責任を負う。
これが、岡高志行政書士事務所の目指すDXの姿です。
行政書士事務所が取り組むべき情報セキュリティ対策――4つの基本方針
私は今後も、情報セキュリティ対策を継続的に見直し、強化していきます。
特に重要なのは、次の4つの柱です。
第1の柱：基本のセキュリティ対策を徹底する
高度なサイバー攻撃が話題になりますが、まず取り組むべきなのは基本的な対策です。
① OS・ソフトウェア・機器の最新化
WindowsなどのOS、ブラウザ、業務ソフト、ネットワーク機器を適切に更新し、既知の脆弱性を放置しないことが重要です。
② ウイルス対策ソフトの導入と自動更新
ウイルス対策ソフトを適切に運用し、定義ファイルや検知機能を最新の状態に保ちます。
③ パスワードの強化と多要素認証
推測されにくい長いパスワードを使用し、サービスごとに使い回さないことを基本とします。
④ 攻撃手口を把握する
Emotet、フィッシング詐欺、ランサムウェアなど、実際の攻撃手口を継続的に学び、不審なメールや添付ファイルに注意します。
⑤ バックアップの実施と復元テスト
重要なデータのバックアップを定期的に行い、元の環境が攻撃された場合にも復旧できるよう、バックアップの保管方法を工夫します。
バックアップは取得するだけでなく、実際に復元できるかを確認することが必要です。
独立行政法人情報処理推進機構（IPA）が2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版でも、バックアップの重要性が強調されています。
第2の柱：生成AI利用時のルールを明確にする
私は行政書士業務におけるAI活用を積極的に進めています。
しかし、AIを利用する際に注意しなければならないのが、入力する情報の管理です。
ChatGPTなどの生成AIは便利ですが、サービスの種類や契約条件、設定によって、入力データの取り扱いが異なります。
そのため、次の方針を重視します。
① 利用する生成AIサービスを事務所として承認する
業務に利用するAIサービスについて、利用規約、データ保存、学習への利用、アクセス管理などを確認し、事務所として利用ルールを明確にします。
② 顧客情報や機密情報を安易に入力しない
氏名、住所、家族構成、戸籍、パスポート、決算書、契約書など、守秘義務に関係する情報は、原則として外部の汎用生成AIサービスへ入力・アップロードしません。
業務上やむを得ず利用する場合は、利用目的や契約上の保護措置、本人同意の要否、事務所の承認などを確認します。
可能な場合には、個人を特定できる情報を削除・置換して利用します。
③ AIの回答は必ず人間が確認する
生成AIは、もっともらしい誤回答をすることがあります。
行政書士の法的判断、申請書の内容、法令や運用の解釈をAI任せにしてはいけません。
最終的な内容は、行政書士自身が法令や一次資料に照らして確認します。
AIは専門家の仕事を支援する道具であり、専門家の責任を代替するものではない。
これが私の基本的な考えです。
参考：個人情報保護委員会「生成AIサービスに個人データを入力する場合の留意点」
第3の柱：ビジネスメール詐欺・成りすましへの対応
生成AIの進歩によって、自然な日本語の詐欺メールを大量に作成することが容易になっています。
さらに、音声や動画を加工する技術も進歩しており、連絡してきた相手が本当に本人なのか、見た目や声だけでは判断しにくくなっています。
行政書士事務所では、特に次のような連絡に注意する必要があります。
- 取引先を名乗る人物から、突然振込先の変更を求められた。
- 依頼者を名乗る人物から、急いで戸籍やパスポートの画像を送るよう求められた。
- 行政機関やシステム管理者を名乗り、IDやパスワードを確認したいというメールが届いた。
- 取引先から届いたように見えるメールに、不審な添付ファイルやリンクが付いていた。
こうした場合には、一旦作業を止め、メールへの返信とは別の経路で本人確認を行うことを基本とします。
たとえば、事前に登録されている電話番号へ連絡し、本当に相手がその依頼をしたのか確認します。
メールに記載された新しい電話番号だけを信用してはいけません。
便利な時代だからこそ、昔ながらの電話確認が有効な場面もあるのです。
第4の柱：セキュリティ事故発生時の備えを整える
どれほど対策を講じても、サイバー攻撃のリスクを完全にゼロにすることはできません。
だからこそ、事故を起こさない対策と同じくらい、事故が起きたときの対応が重要です。
具体的には、次の対応を事前に整理しておきます。
① 事故の発見と被害拡大防止
不正アクセスやウイルス感染が疑われた場合には、必要に応じて端末をネットワークから切り離し、侵害されたアカウントの利用停止などを行います。
② 証拠の保存と原因調査
操作ログやメール記録などを保全し、必要に応じて情報セキュリティ専門家へ調査を依頼します。
感染した端末を安易に初期化すると、原因調査に必要な情報が失われることもあるため注意が必要です。
③ 関係者への連絡と法令上の報告
個人データの漏洩またはそのおそれが判明した場合は、個人情報保護法に基づく報告・本人通知の要否を速やかに判断します。
報告対象事案では、原則として発覚からおおむね3～5日以内に速報を行い、30日以内、不正目的の行為に関する場合は60日以内に確報する仕組みです。
個人情報保護委員会への報告については、申請ALL.comの「個人情報漏洩の報告義務・期限・方法」をご覧ください。
被害内容に応じて、依頼者、警察、システム提供事業者などへの連絡も検討します。
④ 業務の復旧と再発防止
安全なバックアップからデータを復元するなど、業務を再開する手順を準備します。
復旧後には事故の原因を検証し、再発防止策を講じます。
小さな事務所だからこそ、普段から緊急連絡先と対応手順を決めておく必要があります。
よくある質問（FAQ）
Q1．小さな行政書士事務所でもサイバー攻撃を受けますか？
A．はい。実際に被害が公表されています。
行政書士法人IMSではウイルス感染、行政書士未来タクトではメールアカウントの乗っ取りが発生しました。
事務所の規模にかかわらず、情報セキュリティ対策は必要です。
Q2．行政書士事務所で個人情報漏洩が起きた事例はありますか？
A．行政書士業界では情報漏洩等のおそれやセキュリティ事故が公表されています。ただし、確認された事故と実際の外部流出は区別する必要があります。
今回紹介した4事務所の公表資料からは、依頼者の個人情報が大量に外部流出したと断定することはできません。
不正アクセスを受けたという事実と、個人情報が外部へ流出したという事実は同じではありません。
Q3．行政書士が外部クラウドサービスを利用することは危険ですか？
A．外部クラウドサービスの利用自体が危険というわけではありません。
適切なサービスを選択すれば、専門的なセキュリティ対策を活用できる利点があります。
ただし、サービスの運営会社が攻撃を受けたり、障害が発生したりした場合、利用する士業事務所も影響を受けることがあります。
利用するサービスの安全管理体制や、障害時の代替手段まで確認することが重要です。
Q4．自社開発のシステムなら情報漏洩を防げますか？
A．自社開発だけで情報漏洩を完全に防ぐことはできません。
自社開発には、必要な機能や情報管理の方針を自ら設計・管理できる利点があります。
一方、システムの脆弱性対策、認証管理、通信や保存データの保護、外部サービスの管理などを継続的に実施することが不可欠です。
岡高志行政書士事務所では、自社開発・自社運営の強みを生かしながら、情報セキュリティ対策の強化に取り組みます。
Q5．行政書士がChatGPTなどの生成AIに顧客情報を入力してもよいですか？
A．利用するサービスの契約条件やデータの取り扱いを確認せず、顧客情報を入力すべきではありません。
個人情報保護委員会も、生成AIサービスに個人データを入力する場合には、利用目的やAI事業者による機械学習への利用の有無などを確認する必要があるとしています。
当事務所では、顧客の個人情報や守秘義務に関係する情報を、原則として外部の汎用生成AIサービスへ入力しない方針を重視します。
Q6．情報漏洩が発生したら、必ず公表しなければなりませんか？
A．すべての情報漏洩事故について、ホームページ等で一般公表する義務があるわけではありません。
ただし、法令上の報告対象となる場合には、個人情報保護委員会への報告や本人への通知が必要です。
具体的な対応は、漏洩した情報の内容、発生原因、影響範囲などによって異なります。
個人情報保護委員会への報告については、申請ALL.comの「個人情報漏洩の報告義務・期限・方法」をご覧ください。
岡高志行政書士事務所の情報セキュリティ宣言
行政書士は、依頼者から信頼を託される職業です。
戸籍、財産、家族関係、事業経営、在留資格。私たちが日々取り扱う情報の中には、依頼者にとって他人に知られたくないものが数多く含まれています。
そうした情報を守ることは、行政書士としての基本的な責任です。
私は、行政書士業務のDXを推進してきた者として、便利なシステムを導入するだけでなく、その安全性にも責任を持つべきだと考えています。
遺言書AI、VISAdeAIなど、自ら開発・運営するサービスの強みを生かしながら、最新の脅威に対応できる情報管理体制を築いていきます。
そのために、次の4つを基本方針として掲げます。
- 基本のセキュリティ対策を徹底し、継続的に改善する。
- 生成AIを適切に管理し、顧客の機密情報を安易に外部へ提供しない。
- メール詐欺や成りすましを見抜くため、重要な連絡は別経路で確認する。
- 万一の事故に備え、迅速な対応と業務復旧の体制を整える。
私は、デジタル技術を使いこなす行政書士であると同時に、依頼者の情報を守ることに真剣に取り組む行政書士でありたい。
情報セキュリティを、単なるITの問題としてではなく、行政書士の職業倫理と信頼の問題として位置付けます。
「行政書士だから安心」ではなく、「情報管理に真剣に取り組む行政書士だからこそ、安心して相談できる」。
そのように評価していただける事務所を目指して、今後も情報セキュリティの強化に取り組むことを、ここに宣言します。
岡高志行政書士事務所 代表 行政書士 岡 高志
本記事は2026年11月6日までに公開された各事務所、システム提供事業者、個人情報保護委員会、IPA等の公表資料をもとに作成しています。
