デジタル庁は2026年9月11日、同庁が運用するガバメントソリューションサービス（GSS）への外部からの不正アクセスにより、GSS上で扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があると公表しました。漏えいした可能性がある個人情報は約24.6万件です。
対象は、GSSを利用する各府省庁等の職員と、その業務に携わった人々に関する情報です。デジタル庁は、一般の方の個人情報は含まれていないことを確認したとしています。
事案の経緯——6月25日に異常を検知、7月9日にVPN経由の侵入が判明
発端は2026年6月25日です。保守運用担当者のアカウントを使って、サーバ上の大量のファイルにアクセスが行われたことを検知し、デジタル庁は調査を始めました。
7月9日には、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが判明しました。デジタル庁は同日、当該の保守運用担当者のアカウントを停止し、侵害された機器と外部との通信を遮断して、以後の不正アクセスを防いでいます。
その後、外部の専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることを確認しました。検知から公表までは、およそ2か月半を要した形です。
漏えいした可能性がある情報——約24.6万件、マイナンバーや口座情報は含まず
漏えいした可能性があるファイルには、氏名、メールアドレス、電話番号、住所などの個人情報が含まれていました。対象者の区分ごとの内訳は、次のとおりです。
対象者の区分 | 件数 |
|---|---|
GSS利用機関の職員、業務に携わった公務員等（独立行政法人の職員を含む） | 約18.9万件 |
GSS利用機関の業務に携わった事業者及び個人 | 約5.7万件 |
情報の種類別では、氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件などです。1人の情報に複数の項目が含まれるため、件数には重複があります。
一方で、マイナンバー、金融機関の口座情報、年金番号などは含まれていないことを確認したとしています。漏えいの中心は、氏名とメールアドレスという業務上の連絡先情報です。
対象者への対応——個別連絡と、なりすましメールへの注意喚起
デジタル庁は、漏えいした可能性がある個人情報の対象者を特定したうえで、順次、個別に連絡するとしています。現時点で、本件に関連する個人情報の悪用などの二次被害は確認されていません。
ただし、漏えいした情報がなりすましメールやフィッシングメールに悪用される可能性があるとして注意を呼びかけています。デジタル庁や関係機関を装った不審なメール、電話、SMSには注意し、身に覚えのない連絡に記載されたリンクや添付ファイルを開かないよう求めています。
あわせて、デジタル庁がパスワードなどの認証情報やクレジットカード情報をメールや電話で尋ねることはないと明記しています。対象者向けの窓口として、専用フリーダイヤル（0120-360-036）と専用メールアドレスが設けられました。
今後の取り組み——脆弱性管理と外部接続方法を見直し
再発防止策として、デジタル庁は脆弱性管理の方法の見直しと、外部からの接続方法の改善を挙げています。引き続きセキュリティ対策の強化に取り組むとしており、公式ページには本事案に関するQ&Aも掲載されました。
今回の侵入口がVPN機器だったことを踏まえると、見直しの焦点は、機器の脆弱性情報をいかに早く把握して対処するか、そして外部から内部へつなぐ経路をどう設計し直すかにあると考えられます。
企業への示唆——VPNと保守アカウントは「狙われる入口」
今回の事案は、行政機関に限らず、多くの企業にとって他人事ではありません。VPN機器は社外から社内ネットワークに入るための入口であり、脆弱性が放置されていれば、そのまま侵入経路になります。
とくに確認しておきたいのは、自社で使っているVPN機器の脆弱性情報を継続的に追えているかどうかです。修正プログラムの公開から適用までに時間がかかれば、その間に悪用されるリスクが残ります。機器の台帳と脆弱性情報の突き合わせを、定期的な運用として回せているかが問われます。
もう1つの論点は、保守運用担当者のアカウントです。今回は保守運用担当者のアカウントを使ってファイルへの大量アクセスが行われていました。広い権限を持つアカウントほど、侵入後に悪用されたときの影響も大きくなります。権限を必要な範囲に絞ること、多要素認証を徹底すること、そして通常と異なるアクセスを早期に検知できる監視体制を整えることが、実務上の備えになります。
取引先として行政機関と業務でつながっている企業にとっては、自社の従業員の連絡先が今回の対象に含まれている可能性もあります。デジタル庁を装った不審な連絡への注意を、社内に周知しておくとよいでしょう。
まとめ
デジタル庁のGSSへの不正アクセスは、VPN機器の脆弱性を突かれ、府省庁の職員や業務に携わった事業者などの個人情報約24.6万件が漏えいした可能性がある事案です。マイナンバーや口座情報は含まれず、二次被害も現時点では確認されていませんが、なりすましメールへの悪用には注意が必要です。
VPN機器の脆弱性管理と、広い権限を持つアカウントの保護は、企業にとっても優先度の高い課題です。自社の外部接続の経路と保守用アカウントの扱いを点検する機会として、今回の事案を活用したいところです。
