デジタル庁、政府共通の業務実施環境「GSS」がVPN機器の脆弱性を悪用した不正アクセスで職員等約24.6万件の個人情報漏えいのおそれ — 5月侵入・6月検知・9月公表

2026/09/14 17:35 続報を注視中重大公共・非営利 #不正アクセス

項目	内容
対象組織	デジタル庁（政府機関）／対象システム: ガバメントソリューションサービス（GSS）
発生日	侵入: 2026年5月下旬ごろ／検知: 2026年6月25日／侵害確認: 2026年7月9日／公表: 2026年9月11日
攻撃手法	外部からの保守運用に利用していたVPN機器の脆弱性を悪用した侵入 → 保守運用担当者アカウントの悪用 → サーバ上の大量ファイルへのアクセス
漏えいのおそれ	計約24.6万件（職員等約18.9万件／事業者・個人約5.7万件）。氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件。マイナンバー・金融情報は非該当
情報源	デジタル庁公式（2026年9月11日）、Security NEXT（2026年9月11日）

概要

デジタル庁は2026年9月11日、同庁が運用する**政府共通の業務実施環境「ガバメントソリューションサービス（GSS）」**が不正アクセスを受け、職員・事業者ら計約24万6,000件の個人情報が外部に流出したおそれがあると公表しました。

侵入経路は外部からの保守運用に利用していたVPN機器の脆弱性で、第三者がこれを突いてシステム内部に侵入。保守運用担当者のアカウントが悪用され、サーバ上の大量ファイルにアクセスされました。侵入は2026年5月下旬ごろから続いていたと確認されており、検知は6月25日、外部通信の遮断と侵害アカウントの停止は7月9日、公表は9月11日と、検知から公表まで約2ヶ月半を要しています。

漏えいのおそれがある項目は氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件で、対象者は職員等約18.9万件と事業者・個人約5.7万件。マイナンバー・金融情報は含まれていないとされています。デジタル庁は再発防止に向け、脆弱性管理の方法と外部接続方法の見直しを進めるとしています。

経緯

2026年5月下旬ごろ: 外部からの保守運用に利用していたVPN機器の脆弱性を第三者が悪用し、システムに侵入
2026年6月25日: 保守運用担当者のアカウントを利用したサーバ上の大量ファイルへのアクセスを検知
2026年6月25日〜7月9日: 外部協力のもと調査を進め、第三者による侵入・アカウント悪用を確認
2026年7月9日: 侵害された保守運用アカウントを停止し、外部通信を遮断
2026年9月11日: 事案および漏えいのおそれを公表。対象者への個別連絡を順次開始

原因

判明しているのは、外部からの保守運用に利用していたVPN機器の脆弱性が悪用され、そこを起点に侵入されたということです。侵入後は保守運用担当者のアカウントが乗っ取られ、サーバ上のファイル群にアクセスされました。悪用された具体的な脆弱性（機器名、CVE番号、公表時期）、脆弱性の適用状況、侵入から検知まで約1ヶ月を要した経緯の詳細は、いずれも公表されていません。

対策

組織が学ぶべきこと

1. 保守運用に使うVPN機器を、外部到達点の一覧に載せて追う

VPN機器の脆弱性を突かれた事案は繰り返し起きています。業務利用のVPNだけでなく、保守運用のためだけに常設している外部到達点も同じ管理対象に載せる必要があります。使っている機器の型番と版を自社の資産に突き合わせて、公表された脆弱性を自社の話として読める状態にしておきます。突き合わせが機械的にできないと、公表されているのに自社に当てはめて対応できない、という状況が起きます。

2. 侵入後は「正規のアカウントによる操作」として現れる前提で監視する

VPN機器の脆弱性でアカウントを奪われたあとは、攻撃者はその組織の正規ユーザーとしてサーバにログインします。ログインの失敗記録も、既知の攻撃用IPからの接続も残りません。GSSの検知の起点になったのは「保守運用担当者のアカウントを利用したサーバ上の大量ファイルへのアクセス」という振る舞いの異常でした。つまり、認証の可否ではなく、認証成功後の操作量・操作対象・時間帯のパターンを平常時から把握しておかないと、正規に入られた侵入は拾えません。

3. 保守運用アカウントを常時有効にしない設計にする

保守運用のアカウントは日常業務では使われません。常時有効な状態で置いておくと、脆弱性経由で奪われたときにそのまま高権限で内部へ横断されます。作業のたびに払い出して作業終了で無効化する運用に切り替えるか、あるいは接続元・時間帯・呼び出し可能なファイル領域をあらかじめ絞っておくことで、奪われても被害の広がりを抑えられます。

ヤグラの視点 — 保守運用アカウントは、正規に入られる

GSSで発火した検知シグナルは、**「保守運用担当者のアカウントを利用したサーバ上の大量ファイルへのアクセス」**という振る舞いでした。VPN機器の脆弱性を突かれた時点で、攻撃者はもう正規ユーザーとしてログインする側にいます。認証ログを見ても「保守運用担当者が普段どおりに接続している」ようにしか見えません。失敗ログインの記録も、既知の攻撃者IPからの接続も残りません。

このとき手がかりになるのは、認証の可否ではなく、認証成功後の操作の形です。同じアカウントが、平常時と比べてどれだけの量のファイルを、どの時間帯に、どの領域を横断して読んだのか。GSSの場合は「大量のファイルへのアクセス」がしきい値を超えたことで検知に至りましたが、普段の保守運用がどれだけのファイルを触るのかを平常時から把握していなければ、しきい値そのものが決まりません。

保守運用アカウントのように普段は静かで、たまに動くと大きく動くアカウントは、平均値でしきい値を引くと拾えません。振る舞いの学習は、認証ログだけでなくファイルサーバのアクセスログ、ネットワーク通信量、権限昇格の記録まで横断で見る必要があります。ログの預け先が分かれている限り、正規ログインの中に紛れた侵入は見えません。横断を人手で毎日続けるのには無理があり、AIが常時見て検知から初動までを数分の単位にするのが現実解になります（→ AI SOC）。

今後の対応

侵入から検知まで約1ヶ月を要した経緯の詳細（VPN機器の型番・悪用された脆弱性の公表時期・パッチ適用の状況）
対象者への個別連絡の完了状況と、二次被害（漏えい情報を用いたなりすまし連絡・迷惑メール等）の発生有無
「脆弱性管理の方法と外部接続方法の見直し」の具体的な内容
政府共通基盤としてのGSSを利用する各府省・自治体・関連組織への波及の有無

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-14	第一報を公開