デジタル庁GSSへの不正アクセス(2026年9月公表)
結論から
- 政府の共通業務基盤GSSで、第三者がネットワーク接続機器(VPN)の脆弱性を悪用して侵入し、保守運用担当者のアカウントで大量のファイルにアクセスしました。
- 府省庁の職員や業務に関わった事業者など、約24.6万件の個人情報が漏えいした可能性があります。一般の国民の情報、マイナンバー、口座、年金番号は含まれていません。
- 悪用された脆弱性は攻撃の前に公表済みで、当初の評価は「中」でした。修正プログラムを当てる前に悪用されたため、デジタル庁は脆弱性管理を見直すとしています。
概要
- 公表日
- 2026年9月11日
- 検知・発覚
- 2026年6月25日
- 最新の公表
- 2026年9月12日
- 組織・業種
- デジタル庁「ガバメントソリューションサービス(GSS)」(政府共通基盤 / 官公庁・自治体・公的機関)
- 漏えいした情報・件数
- 約24.6万件(職員・公務員等 約18.9万件、業務に携わった事業者・個人 約5.7万件)。属性は氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件など(重複あり)
- 業務への影響
- 侵害された機器と外部の通信を遮断。GSSを使う政府の業務に支障はなかったとしている
- 犯行グループ(企業・当局の認定)
- なし(攻撃者は公表されていない)
- 行政の対応
- デジタル庁が個人情報保護委員会に2026-07-15に報告
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
侵入経路と原因
デジタル庁によると、第三者はGSSのネットワーク接続機器(VPN)の脆弱性を利用してシステムに侵入しました。そのうえで、保守運用担当者のアカウントを使ってサーバー上の大量のファイルにアクセスしています。
Q&Aによると、悪用された脆弱性は攻撃が確認される前に公表されていたものでした。公表時の深刻度の評価は「中」(CVSSのMedium。CVSSは脆弱性の危険度を0〜10で表す国際的な指標)でした。
デジタル庁は、評価に応じた一般的な対応よりも早く対処を進めていたと説明しています。それでも修正プログラムを当てる前に悪用されました。具体的な脆弱性の内容と、担当者アカウントの認証情報がどう使われたかは、公表を差し控えています。
VPN機器はGSSのシステムの一部で、デジタル庁が管理していました。マニュアルを整備し、職員と、場合によっては外部の事業者に委託して管理する体制だったとしています。
影響
漏えいした可能性があるのは約24.6万件の個人情報です。内訳は、GSSを使う府省庁の職員や業務に関わった公務員など(独立行政法人の職員を含む)が約18.9万件、業務に関わった事業者と個人が約5.7万件です。
情報は、システムの利用者登録などの申請書に書かれた氏名、メールアドレス、電話番号、住所などです。デジタル庁は、電話番号や住所の多くは個人のものではなく、庁舎の所在地や公務用の連絡先だとしています。
一般の国民の個人情報は含まれていません。ただし、業務に関わった企業の従業員や個人事業主、府省庁のWeb会議に参加した人の氏名などは含まれます。マイナンバー、金融機関の口座情報、年金番号は含まれていないことを確認しています。
「可能性」としているのは、不正アクセスの痕跡があった情報を、漏えいを否定できないものも含めて対象にしたためです。二次被害は確認されていません。侵害された機器を外部から切り離したことで、政府の業務に支障は出なかったとしています。他のシステムへの不正アクセスや漏えいも確認されていないとしています。
会社の対応と再発防止策
デジタル庁は侵入が判明した7月9日に、保守運用担当者のアカウントを止め、侵害された機器と外部の通信を遮断しました。その後、修正プログラムを適用し、関係アカウントの認証情報を変更しています。以後、新たな不正アクセスや不審な通信は確認されていません。
検知から公表まで約2カ月半かかった理由について、デジタル庁は、侵入経路の分析、漏えいした可能性のある情報の特定、対象者の確認に時間を要したと説明しています。個人情報保護委員会には7月15日に報告していました。
対象者には個別に連絡し、デジタル庁を装った不審なメール、電話、SMSに注意するよう呼びかけています。
再発防止として、政府情報システムの重要性を踏まえ、評価の点数だけでなく実質的なリスクに基づいて、より早く先回りして脆弱性に対応できるよう管理を強めるとしています。外部からの接続方法の改善も挙げています。
この事案から学べること
- 評価が「中」の脆弱性でも、VPNのように外に開いた機器では悪用されます。点数だけで対応の順番を決めると間に合わないことがあります。
- パッチを当てるまでの間が狙われます。外から入れる機器は、修正が出たら最優先で当てる運用が要ります。
- 保守運用の担当者アカウントは権限が広く、使われると大量のファイルに届きます。普段と違うアクセス量を検知できたことが、発覚につながりました。
- 申請書に書いた連絡先も個人情報です。どのファイルに誰の情報があるかを把握していないと、対象者の特定に時間がかかります。
自社で確認すること
- 1 VPNなど外から入れる機器の脆弱性を、深刻度の評価が「中」でも早く直す決まりになっていますか?
- 2 保守・運用担当者のアカウントに、ふだんと違う大量アクセスがあったら気づける仕組みがありますか?
- 3 共有フォルダのどこに、誰の個人情報が入ったファイルがあるかを把握していますか?
同じ手口の事案
関連する事案
よくあるご質問
- デジタル庁GSSの件で、一般の国民の情報は漏れましたか?
- デジタル庁は、一般の国民の個人情報は含まれていないとしています。対象は府省庁の職員や、業務に関わった事業者・個人の情報です。マイナンバー、口座情報、年金番号も含まれていません。
- なぜ公表まで時間がかかったのですか?
- デジタル庁は、侵入経路の分析や漏えいした可能性のある情報・対象者の特定に時間がかかったと説明しています。個人情報保護委員会へは2026年7月15日に報告していました。
出典
- ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について ↗ (デジタル庁、2026-09-11)
- 「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」に関するQ&A ↗ (デジタル庁、2026-09-12)
- 「ゼロトラスト」でも防げず? 政府共通基盤GSSで24.6万件が漏えいか ↗ (@IT、2026-09-14)
- VPNの脆弱性を利用 ～ デジタル庁が運用するGSSに不正アクセス、約24.6万件の個人情報が漏えいした可能性 ↗ (ScanNetSecurity、2026-09-14)