デジタル庁は、ガバメントソリューションサービス（GSS）への不正アクセスにより、職員や関係者ら約24.6万件の個人情報が漏えいした可能性があると発表した。既知のVPN脆弱性が修正前に悪用され、大量のファイルへアクセスされたという。
既知のVPN脆弱性を悪用、保守アカウントから大量アクセス
2026年9月11日の発表によると、デジタル庁は、6月25日、保守運用担当者のアカウントを使い、サーバ上の大量ファイルへアクセスする動きを検知した。
調査の結果、第三者がVPN（※）機器の脆弱性からシステムへ侵入していたことが7月9日に判明したという。対応として、対象アカウントを停止し、侵害された機器と外部との通信を遮断した。
悪用された脆弱性は攻撃前から公表されていたが、当初の脆弱性を測る国際的な指標であるCVSSの評価は「Medium」だった。デジタル庁は一般的な対応期限より早く対策を進めていたものの、修正プログラムを適用する前に攻撃を受けたとしている。
被害規模が約24.6万件に広がった背景には、GSS上に多数の利用者・業務関係者の情報を含むファイルが保存されていたことがある。
利用者登録などの申請書には代表者名、メールアドレス、電話番号、勤務先住所などが記載されるほか、省庁業務に携わる企業従業員や個人事業主、Web会議参加者の情報も含まれている。
不正アクセスの痕跡が確認された情報について、漏えいを否定できないものまで対象に含めた結果、約24.6万件となった。氏名約23.6万件、メールアドレス約23.1万件などが対象だ。
デジタル庁では、漏えいした可能性がある個人情報の対象となる人物を特定した上、順次、個別に連絡する方針だ。
※VPN：Virtual Private Networkの略。外部ネットワークから組織内システムへ接続する際、暗号化された通信経路を構築する仕組み。今回の事案では、この接続機器の脆弱性が侵入経路となった。
共通基盤の影響の大きさ浮き彫り、侵入後の被害抑制も課題に
今回の事案は、VPN機器の脆弱性を起点とした侵入が、保守運用アカウントを使った大量ファイルへのアクセスにつながった点が重要である。GSSは複数の府省庁等が利用する共通基盤であり、そこに利用申請や業務上の連絡先が集約されるため、侵入後にアクセス可能な範囲が広ければ影響も大きくなり得る。
一方、約24.6万件すべての外部流出が確認されたわけではない。デジタル庁は対象者保護を優先し、不正アクセスの痕跡から漏えいを否定できない情報まで含めて公表している。現時点で二次被害は確認されていないものの、氏名やメールアドレスはフィッシングやなりすましに悪用される可能性がある。
GSSはゼロトラストアーキテクチャを採用していたが、今回の事案では侵入後に大量のファイルへアクセスされた。外部からの侵入防止だけでなく、認証情報が悪用された場合にもアクセス範囲を限定し、被害を抑える仕組みの実効性が問われる。
デジタル庁 「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」
関連記事:
武蔵小杉病院でナースコールがランサム被害 患者約1万人の個人情報が漏えい
デジタル庁、2026年度予算29％増 AI性能検証やマイナンバー普及に重点
