デジタル庁のGSSに不正アクセス、約24万6000件の個人情報が漏えいした可能性

このセキュリティ関連ニュースのまとめ

・デジタル庁のGSSが不正アクセスを受け、約24万6000件の個人情報が漏えいした可能性
・第三者がVPN機器の脆弱性を悪用し、保守運用担当者のアカウントで大量のファイルへアクセス
・一般利用者の情報やマイナンバー、口座情報などは含まれず、現時点で二次被害も未確認

デジタル庁は9月11日、同庁が運用する政府職員のための政府共通の標準的な業務実施環境提供サービス「ガバメントソリューションサービス(GSS)」が外部から不正アクセスを受け、GSS上で取り扱っていた職員や業務関係者の個人情報を含むファイルの一部が外部へ漏えいした可能性があることを発表した。

漏えいした可能性がある個人情報は約24万6000件。対象はGSSを利用する各府省庁などの職員や、その業務に携わった公務員、事業者および個人で、一般利用者の個人情報は含まれていないという。

VPN機器の脆弱性を利用してシステムへ侵入

事案の概要としては、2026年6月25日、デジタル庁の保守運用担当者のアカウントを利用する形で、サーバー上の大量のファイルへアクセスする動きを検知したことを受けて調査を開始。その結果、7月9日に第三者がネットワーク接続機器であるVPNの脆弱性を悪用してシステムへ侵入し、不正アクセスを行っていたことが判明したという。

また、同庁では同日、悪用された保守運用担当者のアカウントを停止するとともに、侵害を受けた機器と外部との通信を遮断。以降の不正アクセスを防止したとしている。

2026年9月11日に発表されたGSSに対する不正アクセスの概要 (出所:デジタル庁)A@2026年9月11日に発表されたGSSに対する不正アクセスの概要

その後、外部の専門事業者の協力を得て調査を進めた結果、個人情報を含むファイルが外部へ漏えいした可能性が確認されたとする。

氏名約23万6000件、メールアドレス約23万1000件が情報漏えいの可能性

漏えいした可能性がある個人情報約24万6000件のうち、GSS利用機関の職員およびその業務に携わった公務員などの情報は約18万9000件、事業者および個人の情報は約5万7000件となる。

情報の属性別では、氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件など。複数の属性が同じ人物に含まれるため、それぞれの件数には重複がある。

一方、マイナンバー、金融機関口座情報、年金番号などは含まれていないことを確認したという。

対象者へ順次個別に連絡

デジタル庁では、漏えいした可能性がある個人情報の対象者を特定し、順次個別に連絡を行っていくとしている。

また、9月11日時点で、漏えいした可能性のある個人情報の悪用など、事案に関連する二次被害は確認されていないとしているが、氏名やメールアドレス、電話番号などが、なりすましメールやフィッシングメール、電話、SMSなどに悪用される可能性があるとして、デジタル庁や関係機関を装った不審な連絡に注意し、心当たりのないメールなどに記載されたリンクや添付ファイルを開かないよう呼びかけている。メールや電話を通じて、パスワードなどの認証情報やクレジットカード情報を尋ねることはないとしている。