デジタル庁は2026年9月11日、各府省庁向けに運用する政府共通の業務基盤「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、GSS上で取り扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があると発表した。漏えいした可能性がある個人情報は約24万6000件に上る。侵入の起点となったのはネットワーク接続機器（VPN）の脆弱性であり、攻撃者は保守運用担当者のアカウントを使ってサーバ上の大量のファイルにアクセスしていた。対象は各府省庁等の職員とその業務に携わった人々であり、一般の利用者の個人情報は含まれていないとしている。
検知から公表までに約2か月半
デジタル庁の発表によると、異常が最初に把握されたのは2026年6月25日である。保守運用担当者のアカウントを利用してサーバ上の大量のファイルへのアクセスが行われたことを検知し、同庁は調査を開始した。
そして7月9日、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが判明した。同庁は同日のうちに当該保守運用担当者のアカウントを停止し、侵害された機器と外部との通信を遮断して、以後の不正アクセスを防止したとしている。
その後、外部の専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることが確認された。検知から公表までは約2か月半、侵入の事実の判明から公表までは約2か月を要したことになる。実際の侵入がいつ始まったのかについて、同庁は今回の発表では明らかにしていない。
漏えいの可能性がある情報の内訳
漏えいした可能性があるファイルには、氏名、メールアドレス、電話番号、住所等の個人情報が含まれていた。件数は約24.6万件である。
対象の内訳は、GSS利用機関の職員およびGSS利用機関の業務に携わった公務員等（独立行政法人の職員を含む）の情報が約18.9万件、GSS利用機関の業務に携わった事業者および個人の情報が約5.7万件となっている。
情報の属性別の件数は、重複を含めて以下のとおりである。
- 氏名：約23.6万件
- メールアドレス：約23.1万件
- 電話番号：約9.4万件
- 住所：約1,000件
一方、マイナンバー、金融機関の口座情報、年金番号等は含まれていないことを確認したとしている。現時点では、本件に関連する個人情報の悪用等の二次被害は確認されていない。
デジタル庁は対象となる人を特定した上で順次個別に連絡するとしており、あわせて、漏えいした可能性がある情報がなりすましメールやフィッシングメール等に悪用される可能性があるとして注意を呼びかけている。同庁がパスワードなどの認証情報やクレジットカード情報をメールや電話で尋ねることはないとしている。
狙われたのは「境界」の機器だった
今回の侵入経路がVPN機器の脆弱性であった点は見過ごせない。VPN装置やファイアウォールといった、社内と社外の境界に置かれて常時インターネットに面している機器は、近年の侵入型攻撃で最も狙われる入口の一つである。公開されている脆弱性の修正が遅れれば、そこは認証を経ずに内部へ入り込める通用口になる。
さらに深刻なのは、侵入後に保守運用担当者のアカウントが使われていたことである。保守運用の権限は広範なファイルにアクセスできることが多く、攻撃者がこれを手にすれば、その後の動きは「正規の管理作業」と区別しにくくなる。今回、最初の検知の契機が「大量のファイルへのアクセス」という振る舞いであったことは、この種の攻撃が、機器の警告よりも先に振る舞いの異常として表面化しやすいことを示している。
デジタル庁は今後の取組として、脆弱性管理方法の見直しと外部からの接続方法の改善を挙げ、セキュリティ対策の強化と再発防止に取り組むとしている。
政府共通基盤だからこそ広がる影響
GSSは各府省庁が共通して使う業務基盤である。つまり、一つのシステムへの侵入が、府省庁の枠を越えて横断的に情報を露出させる構造を持っている。今回、約24.6万件という規模に達したのは、まさに共通基盤であったことの裏返しでもある。共通化と集約は運用効率を高める一方で、侵害されたときの影響範囲も同じだけ広げる。
漏えいした可能性がある情報の中身にも注意が必要である。マイナンバーや口座情報が含まれていないことは重要な救いだが、氏名とメールアドレスが約23万件規模でそろっている状態は、標的型のなりすましメールを仕立てるうえで十分な材料になる。デジタル庁自身がフィッシングへの警戒を呼びかけているのは、この点を見据えたものだろう。漏えいそのものよりも、それが次の攻撃の材料として使われたときに実害が生じる恐れがある。
民間企業にとっても、この事案は自社の状況を照らす鏡になる。インターネットに面した機器の棚卸しと修正適用の期限管理ができているか、保守・運用に使う特権アカウント（システムに対して強い操作権限を持つアカウント）の使用が記録され、通常と異なる使い方をされたときに気づける仕組みがあるか、そして委託先を含めた関係者の情報をどこにどれだけ保持しているか。今回の経緯は、この三点がそろって初めて侵入の早期把握が成り立つことを示している。政府の共通基盤ですら例外ではなかったという事実は、規模や予算の多寡が対策の成否を決めるわけではないことを物語っている。
同じ手口に、自社は備えられていますか？