デジタル庁のGSSでの個人情報漏えいの可能性

経緯

デジタル庁の発表では、外部専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることを確認した⁠［1］。Q&Aによると、検知した当初は不正アクセスの有無や影響範囲が判明しておらず、侵入経路の分析、漏えいした可能性のある情報の特定、対象者の確認などに相当の時間を要した⁠［2］。個人情報保護委員会への報告の後も、対象者の範囲や漏えいした可能性のある個人情報の内容の調査を進めた⁠［2］。調査は継続中で、セキュリティ対策上公表を差し控える事項があり、内容が今後の調査で更新される場合もある⁠［2］。

デジタル庁はQ&Aで、悪用された脆弱性は当初公表されていた脆弱性評価では中（CVSS値Mediumレベル）だったと説明した⁠［2］。脆弱性は攻撃が確認される前に公表されていた⁠［2］。デジタル庁は公表時の深刻度評価に応じた一般的対応よりも早く対処を進めたが、修正プログラムの適用前に悪用された⁠［2］。

デジタル庁のQ&Aの管理体制の説明では、VPN機器はGSSのシステムの一部として同庁が管理し、職員と、場合によっては委託した外部事業者が管理する体制だった⁠［2］。ベンダーが公表する脆弱性情報や注意喚起情報を確認し、影響を評価したうえで対策を講じる運用を行っていた⁠［2］。ゼロトラストアーキテクチャを採用していたが、結果として不正アクセスと情報漏えいの可能性が生じた⁠［2］。具体的なセキュリティ対策の内容やシステム構成の詳細は、攻撃者を利するとして差し控えた⁠［2］。

Security NEXTは、デジタル庁の説明として、外部からの保守運用に利用していたVPN機器の脆弱性が第三者に突かれたもので、5月下旬ごろから侵入されていたと見られると報じた⁠［9］。同じ記事は、内部ネットワークへ侵入した後に保守運用に用いていたアカウント情報が取得され、悪用されたと報じ、侵害に至った経緯や原因は調査中とした⁠［9］。

目次へ

時系列

目次へ

影響範囲

GSSは、デジタル庁が政府共通の標準的な業務実施環境（業務用PCやネットワーク環境）として提供し、各府省庁の環境の統合を順次進めるとしたサービスである⁠［13］。2024年5月29日の有識者会議資料では、GSSはデジタル庁で令和3年度から導入され、導入済みの省庁は約1,300拠点、約35,000ユーザーだった⁠［14］。Security NEXTは、GSSを独立行政法人なども含め23機関が利用していると報じた⁠［9］。

デジタル庁の発表では、漏えいした可能性がある個人情報のうち、GSS利用機関の職員と業務に携わった公務員等（独立行政法人の職員を含む）の情報が約18.9万件、業務に携わった事業者及び個人の情報が約5.7万件だった⁠［1］。マイナンバー、金融機関口座情報、年金番号等は含まれていない⁠［1］。

Q&Aによると、漏えいした可能性があるのは、システムの利用にあたって提出する利用者登録等の申請書の記載事項で、代表者の氏名、業務に利用する電話番号、勤務先の住所などである⁠［2］。電話番号や住所の多くは個人のものではなく、各府省庁の庁舎所在地や公務に使用する連絡先として登録されたものが大半だった⁠［2］。公務員以外の個人情報には、業務に携わった企業の従業員や個人事業主、省庁等が行ったWEB会議に参加した者の氏名のほか、業務で使用するメールアドレスや電話番号、事業所の所在地が含まれる⁠［2］。

デジタル庁はQ&Aで、不正アクセスの痕跡が確認された情報は漏えいした可能性が否定できないものも含めて対象にしたため、「可能性がある」と表現していると説明した⁠［2］。影響はGSSに限られ、他のシステムへの不正アクセスや情報漏えい等の被害は確認されていない⁠［2］。GSSを利用する政府の業務に支障は生じていない⁠［2］。

目次へ

対応と現状

デジタル庁は、連絡先の特定ができた人から順次、個別に連絡する⁠［2］。9月11日の発表の段階で、個人情報の悪用等の二次被害は確認されていなかった⁠［1］。対象の個人情報は、なりすましメールやフィッシングメール等に悪用される可能性がある⁠［1］。デジタル庁からパスワードなどの認証情報やクレジットカード情報等をメールや電話で尋ねることはない⁠［1］。

Q&Aでは再発防止策として、脆弱性管理の強化と外部からの接続環境の見直しを進め、不正な侵入を防ぐ対策に加えて、仮に侵入があった場合でも影響を最小限とする対策を強化する⁠［2］。具体的な対策内容は、今後のシステム防御やセキュリティ確保に関わる事項であるとして、答えを差し控えた⁠［2］。

会見での説明

松本大臣は9月11日の会見で、脆弱性は既知のもので把握しており、評価は緊急度が高いものではなく、深刻度評価に応じて順番にパッチを当てる作業の間にハッキングされたとの理解を示した⁠［3］。パッチはすでに当て、他のデータのバックアップを取るなどの対応をしているので、これ以上の被害が起こることは「非常に可能性としては少ない」と述べた⁠［3］。ゼロトラストセキュリティの下で攻撃を受けたことについては、どこかに穴が開いている可能性があり、ゼロトラストだからこそ不断に防止策を見直す必要があると答えた⁠［3］。

9月15日の会見の記録によると、松本大臣は、6月25日に検知したのは大量のファイルへのアクセスで、正規の業務でもあり得るため、第三者による不正の利用によるものかを直ちに判断しかねたと説明した⁠［4］。公表の時期は、調査が完全に終了してから説明する方が攻撃者を利さないとの判断によるもので、それが誤っていたとは理解していないと述べた⁠［4］。再発防止に向けて、脆弱性管理、監視体制、アクセス管理を含むセキュリティ全般の点検・強化を進めている⁠［4］。正規アカウントを悪用した不正アクセスを早期に検知・分析できるよう、監視体制と分析手法を強化する⁠［4］。

松本大臣は同じ会見で、9月11日に開設した専用の問合せ窓口で各府省庁等からの相談・問合せに対応していると説明し、相談件数の開示は差し控えた⁠［4］。今回の不正アクセスは警察庁や「NCO」にも報告し、技術的なやり取りを続けている⁠［4］。大臣は、NCOが第三者的な立場でデジタル庁の中身をチェックしたと考えていると述べた⁠［4］。

古川デジタル大臣の9月18日の就任会見の記録では、大臣は「本事案と同様の被害につながる事象は確認されていない」と述べた⁠［5］。外部専門事業者と協同した原因究明、脆弱性の管理方法の見直し、外部からの接続方法の改善、侵入時の影響を最小限にする対策の強化を挙げた⁠［5］。

目次へ

未公表の事項

• 侵入に使われたVPN機器の製品名と脆弱性の識別番号（デジタル庁は、今後のセキュリティ確保に支障を及ぼすおそれがあるとして、具体的な脆弱性の内容への回答を差し控えた⁠［2］）
• 保守運用に用いていたアカウント情報が取得された方法
• 漏えいした可能性がある個人情報の対象者の人数
• GSSを利用する関係省庁の名称（松本大臣は9月11日の会見で、答えを差し控えると述べた⁠［3］）
• 攻撃者と犯行声明の有無

注

• 〔注1〕デジタル庁は9月12日のQ&Aの更新で、被害規模を「件数」表記に統一し、個人情報保護委員会への報告の問を追記した⁠［2］。

出典

更新記録

• 2026年9月14日：公開した。
• 2026年9月15日：自由民主党本部の9月15日の発表（出典7）を加え、時系列を改めた。
• 2026年9月16日：デジタル庁が9月16日に掲載した9月15日の大臣会見の記録（出典4）を加え、会見での説明の小節を改めた。
• 2026年9月18日：デジタル庁の9月18日の大臣就任会見の記録（出典5）を加え、会見での説明の小節を改めた。
• 2026年10月23日：参議院の特別委員会の10月23日の会議録（出典8）を加え、時系列を改めた。

目次へ