デジタル庁GSSにおける不正アクセス事案：VPN脆弱性と約24.6万件の個人情報漏えい

📝 概要

デジタル庁が運用する「ガバメントソリューションサービス（GSS）」において、外部からの不正アクセスによる大規模な個人情報漏えいの可能性が判明しました。ネットワーク接続機器（VPN）の脆弱性を突いた侵入が原因であり、GSSを利用する各府省庁の職員や業務委託先事業者など、約24.6万件の個人情報が対象となっています。本件は政府共通インフラにおけるセキュリティ管理の重要性を改めて浮き彫りにしており、デジタル庁は脆弱性管理の見直しや接続方法の改善を通じた再発防止策を急いでいます。

📋 詳細レポート

不正アクセスの経緯と検知

事案の端緒は令和8年6月25日、保守運用担当者のアカウントを用いてサーバ上の大量のファイルにアクセスが行われたことを検知したことにあります。その後の調査により、7月9日に第三者がVPNの脆弱性を悪用してシステムに侵入していた事実が判明しました。デジタル庁は即座に当該アカウントの停止および侵害された機器の通信遮断を実施し、外部専門事業者の協力を得て被害状況の特定を進めてきました。

漏えいした情報の内訳と対象範囲

今回の事案で漏えいした可能性がある情報は、GSSを利用する公務員や事業者に関するものであり、一般の利用者の情報は含まれていないことが確認されています。

• 対象者総数: 約24.6万件（府省庁職員・公務員等：約18.9万件、委託事業者・個人：約5.7万件）
• 情報の属性: 氏名（約23.6万件）、メールアドレス（約23.1万件）、電話番号（約9.4万件）、住所（約0.1万件）など。
• 非対象情報: マイナンバー、金融機関口座情報、年金番号等は含まれていないことが確認済み。

二次被害への警戒と対応

現時点では個人情報の悪用による二次被害は確認されていませんが、デジタル庁は流出した可能性のある情報がなりすましメールやフィッシング詐欺に利用されるリスクを警告しています。対象となる個人には順次個別の連絡が行われる予定です。また、当局がメールや電話でパスワードやクレジットカード情報を求めることはないとして、注意を呼びかけています。

今後のセキュリティ対策と展望

デジタル庁は本事案を重く受け止め、以下の技術的・組織的な改善に取り組むとしています。

• 脆弱性管理の抜本的見直し: ネットワーク機器等の脆弱性を迅速に特定し、修正プログラムを適用するフローの強化。
• 接続環境の改善: 外部からの接続方法そのものを見直し、より強固な認証基盤やアクセス制御の導入を検討。
• 監視体制の継続: 不正な挙動を早期に検知するためのログ監視およびアラート精度の向上。

政府のデジタル化を牽引する基盤サービスにおいて、既知または未知の脆弱性を突かれた今回の事案は、今後のガバメントクラウドを含む政府系システムの運用保守において、より高度な多層防御と迅速なパッチ管理が不可欠であることを示唆しています。