長野県は12月16日，独自に行った住民基本台帳ネットワークシステム（住基ネット）の安全性確認の実験結果を公表した。庁内LANの脆弱性によって，自治体内にある住民基本台帳のデータを改変できるほか，全国の住基ネットのデータを検索・閲覧できる可能性があることが明らかになった。
実験は3種類で，今年9月から11月にかけて長野県下の3町村で行った。3種類の実験は，（1）外部から自治体の庁内LANへの侵入が可能か，（2）庁内LANに接続した端末から住民基本台帳を管理するサーバーやRDBの管理者権限が取れるか，（3）庁内LANと住基ネットの間に位置するコミュニケーション・サーバー（CS）とCSを操作する端末の管理者権限を取れるか---を調べるもの（住基ネットの構成は，関連記事の図1を参照）。
（1）については，インターネットからは侵入できなかった。これは，実験を行った1自治体ではファイアウォールの設定や運用が適切だったため。しかし，ほかの自治体では無線LANを通じて庁内LANに侵入することができた。
（2）は（1）の結果をもとに，外部から庁内LANに侵入できたと仮定して，庁内のクライアントPCと同じように実験用の端末を庁内LANに直接接続し，サーバー機などの脆弱性をチェックした。その結果，1時間程度で住民基本台帳が入っているサーバー機の管理者権限を取ることができた。さらにはRDB自体の管理者権限も取ることができ，既存の住民基本台帳を書き換えることが可能なことが分かった。「同様のセキュリティ・レベルにある自治体はほかにも全国にある」（長野県 本人確認情報保護審議会の佐藤千明氏）。
（3）は庁内LANとCSとの間のファイアウォールを突破できたと仮定し，CSとCS端末のあるLAN上のハブに直接，実験端末を接続して調査した。CSとCS端末のOSには最新のパッチが適用されていなかったため，セキュリティ・ホールを突くコード（Exploit）でCSのサーバーの管理者権限を取ることができた。また，CS端末は，従来必要とされていた専用のICカードやパスワードなどがなくとも管理者権限を取ることができる状況にあった。CSやCS端末を操作できれば，ほかの自治体の住基ネットのデータを検索・閲覧することが可能となる。
庁内LANとCSとの間のファイアウォールの脆弱性を検証せずに「突破できた」と仮定したことについて長野県側は，「自治体の業務に影響が出ないよう実験を深夜に行ったため，実際のファイアウォールを通過するデータをキャプチャ（記録）できなかった。しかし，どのようなデータが流れているかを調べることはすぐできるし，データの内容が分かれば“なりすまし”やファイアウォールの通過は可能」（実験を指揮，監督した本人確認情報保護審議会の吉田柳太郎氏）としている。
