デジタル庁GSSへ不正アクセス個人情報24万6000件が漏洩の恐れ

2026-10-09 コメント投稿する ▼

デジタル庁が各府省庁に提供する業務IT環境「GSS（ガバメントソリューションサービス）」が外部からの不正アクセスを受け、職員や業務関係者など約24万6000件の個人情報が漏洩した可能性があることが2026年9月11日に公表されました。侵入経路はVPN機器の既知の脆弱性で、攻撃者は2026年5月下旬から約1カ月間にわたりシステム内のファイルに不正アクセスを続けていたとされます。デジタル庁が検知してから公表まで約2カ月半を要したことも、国民への説明責任の観点から批判を集めています。

不正アクセスの概要と被害規模

デジタル庁が各府省庁に提供する政府共通の業務IT環境「GSS（ガバメントソリューションサービス）」が、外部からの不正アクセスを受けていたことが2026年9月11日、正式に公表されました。デジタル庁の発表によれば、職員や業務関係者を含む個人情報約24万6000件が漏洩した可能性があるとされています。漏洩が懸念される個人情報の内訳は、各省庁の職員・公務員等が約18万9000件、GSSを利用する機関の業務に携わった事業者や個人が約5万7000件です。具体的には氏名、メールアドレス、電話番号、住所などが含まれますが、マイナンバーや金融機関口座情報、一般市民の個人情報は含まれていないとされています。

国のデジタルインフラを担う業務基盤での大規模な情報漏洩の可能性は、デジタル庁への信頼を大きく損なうものです。約24万6000件という件数は中規模の市の全人口に相当する規模であり、被害の深刻さは軽視できません。

侵入経路は「既知の脆弱性」だった

今回の事案で特に問題視されているのは、攻撃者が悪用したのが「事前に把握されていた脆弱性」だったという点です。侵入経路となったのは、GSSへの接続に使われるVPN（仮想プライベートネットワーク）機器の脆弱性でした。デジタル庁は事案発生前からこの脆弱性の存在を把握しており、同庁は「緊急度の高い他の脆弱性への対応を優先していた」と説明しています。

攻撃者は2026年5月下旬、このVPN機器の脆弱性を悪用してシステムへの侵入に成功し、保守運用担当者のアカウントを不正に使ってサーバー上の大量のファイルへのアクセスを繰り返していたとみられます。デジタル庁が異常を検知したのは6月25日のことで、侵入開始からおよそ1カ月間も検知されないまま不正なアクセスが続いていた計算になります。検知後の調査により7月9日には第三者による侵入だったことが確認され、該当アカウントの停止と外部ネットワークとの通信遮断が行われました。

「既知の脆弱性があったのを知っていて放置していたなんて、国民の情報を預かる意識が足りない」
「マイナンバーは大丈夫って言われても、公務員の個人情報が24万件も漏れただけで十分問題ですよ」
「民間企業なら即アウトの対応。お役所はいつになったら危機感を持つのか」
「VPNのパッチも当てられないデジタル庁がDX推進の旗振り役って、本末転倒じゃないですか」
「自分の情報が漏れていたかもしれないのに2カ月以上知らされなかった。これは許せない」

2カ月半にわたる公表の遅れ

今回の事案でもう一つ強い批判を受けているのが、公表までの時間の長さです。デジタル庁が不正アクセスを検知したのは2026年6月25日でしたが、一般への公表は2026年9月11日となり、検知から実に約78日が経過していました。7月9日には第三者による侵入だったことが確認され、7月15日には個人情報保護委員会への報告も完了していましたが、被害を受けた可能性のある当事者への通知と社会への公表は大幅に遅れました。

デジタル庁は「不正アクセスの原因分析、漏洩した情報の特定、当事者の確認に時間を要した」と説明しています。しかし2カ月以上の間、当事者は自分の情報が漏洩したかもしれないことを知らないままでいたことになります。この間に漏洩した個人情報が標的型攻撃などに悪用されていた可能性も排除できず、当事者が自衛措置を取る機会が奪われていたことは深刻な問題といわざるを得ません。インシデント発生時の迅速な公表義務に関する制度的な枠組みの整備が、今後の課題として改めて浮き彫りになりました。

問われるデジタル庁の対応体制と今後の課題

DXの推進役として設立されたデジタル庁が、自ら管理する政府共通の業務基盤で個人情報の大規模漏洩を招いたことは、国のデジタル政策全体の信頼性に直結します。既知の脆弱性が放置されて悪用されたという事実は、脆弱性管理の優先順位付けと修正適用の迅速化という点で、組織的な改善の必要性を示しています。過去の自民党政権の時代から積み重なってきたデジタルインフラへの投資不足と、行政のセキュリティ対応体制の脆弱さがこうした事態の遠因として考えられます。

今後の課題は複数あります。脆弱性対応の迅速化と優先順位の見直しはもちろんのこと、インシデント発生時の国民への開示を義務づける法整備、政府共通基盤のセキュリティ監視体制の強化が急がれます。デジタル化を推進するのであれば、それを支えるセキュリティの土台を整備し、透明性の高い情報開示の仕組みを同時に構築することが不可欠です。国民の情報を扱うすべての行政機関に対して、数値的な目標と期限を明示したセキュリティ対策の実施が求められており、定期的な実施状況の報告と検証も欠かせません。デジタル庁には今回の教訓をもとにした信頼回復への迅速な行動と、国民への丁寧な説明が強く求められています。