デジタル庁が不正アクセスでやられただと！？　個人情報25万件漏洩可能性

2026年9月13日

デジタル庁でもやられるものはやられますよね。ただデジタル庁としては今回の対応で規範を提示してほしいですね。さすがデジタル庁！という対応を示してくれるといいのですが。

ーー

デジタル庁は2026年9月11日、各府省庁および独立行政法人が利用する政府共通の業務実施環境「ガバメントソリューションサービス（以下、GSS）」が外部からの不正アクセスを受け、公務員や業務関係者に関する個人情報約24.6万件が外部へ流出した可能性があると公表した。侵入の直接的な契機となったのは、外部からのシステム保守運用に用いられていたVPN機器の既知の脆弱性である。攻撃者は2026年5月下旬より内部ネットワークへ足がかりを構築し、強力なアクセス権限を持つ保守運用担当者のアカウントを悪用してファイルサーバ上の広範なデータに接触していた。

漏えいの対象となったデータは、GSS利用機関の職員および業務委託事業者等の氏名（約23.6万件）、公務用・業務用メールアドレス（約23.1万件）、電話番号（約9.4万件）などである。一方で、マイナンバー、年金番号、金融機関口座情報などの極めて機微な公的データ、ならびに一般国民の個人情報は一切含まれていないことが確認されている。現時点で個人情報の悪用に伴う二次被害や行政実務への直接的な機能停止は確認されていないものの、政府機関の連絡先リストが外部流出したことによる標的型サイバー攻撃やなりすまし詐欺のリスクが顕在化している。

本インシデントは、行政機関のITインフラ刷新とゼロトラストアーキテクチャの推進を先導するデジタル庁の中枢基盤において、保守管理用の境界型アクセス回線が重大な防壁の死角となっていた点に本質的な構造的課題を抱えている。公表時のCVSS（共通脆弱性評価システム）スコアのみを指標としたパッチ優先順位付けの限界と、特権保守アカウントに対する最小権限原則およびラテラルムーブメント検知の不備が重層的に重なった結果であり、現代のサプライチェーンセキュリティと特権アクセス管理における深刻な教訓を提示している。

侵害データの全容と流出リスクの評価範囲

GSSは、各府省庁が従来個別に構築・調達していた庁内LAN、業務用端末、およびクラウド基盤を単一の標準環境へと統合し、業務効率化と強固なセキュリティを両立させる目的で2021年度から展開されてきた。2026年7月末時点において、宮内庁、農林水産省、人事院などを含む23機関、約15.4万人の国家公務員および関連組織の職員が日常的な基幹業務環境として利用している。

本件で発表された「約24.6万件」という流出可能性規模は、外部への物理的なデータ持ち出しが確定した数値ではなく、攻撃者がアクセスした痕跡が確認されたサーバ内のファイルに含まれていた個人情報の総数である。デジタル庁は対象者の保護を最優先とし、流出の可能性が完全には否定できないデータを広範に集約して開示している。

対象区分	対象件数	含まれるデータの性質と範囲
GSS利用機関の職員・公務員等	約18.9万件	各府省庁および独立行政法人の職員情報（過去の異動・退職者を含む）
業務に携わった事業者および個人	約5.7万件	委託先企業の従業員、個人事業主、省庁主催のWeb会議参加者等の情報
合計	約24.6万件	マイナンバー、口座番号、年金番号、一般国民の情報は完全に対象外[cite: 2, 3]

属性別項目（重複あり）	該当件数	データの具体的内訳と性質
氏名	約23.6万件	業務申請書、連絡リスト、Web会議参加者簿に記録されていた氏名
メールアドレス	約23.1万件	各府省庁等の公務用アドレスおよび民間事業者の業務用アドレス
電話番号	約9.4万件	府省庁の代表番号、内線番号、公務用携帯電話、事業所電話番号
住所	約0.1万件	大半が個人の自宅住所ではなく、府省庁の庁舎所在地または企業事業所所在地

流出の可能性がある職員データ数（約18.9万件）が現役のGSS利用者数（約15.4万人）を上回っている要因は、人事異動や組織改編に伴う過去の蓄積データや複数システム間での重複登録が含まれていることによる。また、住所情報が約1,000件（約0.1万件）と全体の規模に対して極めて少なく、その大部分が公務の拠点である官公庁の所在地であったことは、私生活に関わるプライバシー侵害リスクの度合いを評価する上で留意すべき技術的事実である。

初期侵入から事案公表に至る検知・対処タイムライン

本インシデントは、5月下旬の初期侵入から初動対応としての通信遮断までに約1ヶ月半、さらにフォレンジック調査を経て対外公表に至るまでに約2ヶ月を要している。攻撃活動の初期段階では正規の保守運用トラフィックを偽装していたため検知が遅延し、最終的にファイルサーバに対する大量のアクセスという振る舞いの異常値が観測されたことで事案の解明が始まった。

時期 / 日付	インシデント進捗段階	システム動態および実施された対処措置
2026年5月下旬ごろ	初期侵入・内部潜伏	攻撃者が保守運用用のVPN機器の脆弱性を悪用し、GSS内部ネットワークへの侵入経路を確立。
2026年6月25日	異常検知・調査着手	保守運用担当者アカウントによるサーバ上の大量ファイルアクセスを監視系が検知し、デジタル庁が詳細調査を開始。
2026年7月9日	侵入経路特定・初動封じ込め	VPN機器の脆弱性を経由した不正アクセスと特定。当該アカウントを無効化し、機器の外部通信を遮断した上で修正パッチを適用。
2026年7月15日	監督官庁報告・捜査機関連携	デジタル庁が個人情報保護委員会へ法令上の報告を実施。警察庁および国家サイバー統括室との情報共有を開始。
7月中旬〜9月上旬	詳細フォレンジック調査	外部専門事業者の協力のもと、侵害ログ解析、流出ファイルの内容精査、約24.6万件に及ぶ対象者の特定作業を推進。
2026年9月11日	公式発表・対外周知	松本デジタル大臣が閣議後会見で事案を公表。専用相談窓口を開設し、影響を受ける関係者への個別連絡体制を始動。

初動の検知トリガーがネットワーク境界での侵入検知（IDS/IPS）ではなく、内部ストレージに対する「アカウントの異常アクセス」であったという経緯は、境界防御を突破された後の侵入検知機構に遅れが生じていた実態を示している。また、6月25日の検知から9月11日の公表まで78日間を要したことについて、デジタル庁は通信ログの徹底的な解析、暗号化通信の追跡、および関係者リストの精査・突合に物理的な時間を要したためと説明している。

VPN脆弱性の悪用メカニズムとパッチ管理プロセスの破綻

攻撃者がシステムへの足がかりとして悪用したのは、外部の保守委託事業者や運用担当者がGSSの遠隔メンテナンスを行うために設置されていたVPN機器である。攻撃者はこの機器の認証機構をバイパスし、外部から直接GSSの内部ネットワークへと侵入することに成功した。

悪用された脆弱性は、攻撃発生時点でセキュリティコミュニティにおいて既に公開されていた既知の脆弱性であった。デジタル庁および松本大臣の記者会見における説明によると、当該脆弱性の共通脆弱性評価システム（CVSS）における評価は重要度「中（Medium）」レベルであった。デジタル庁は通常、より深刻度の高い「緊急（Critical）」や「重大（High）」に分類される脆弱性から優先的にパッチ適用を実施する運用方針を採っており、当該脆弱性についても一般的な標準サイクルより前倒しして適用準備を進めていた段階で、攻撃者による悪用が先行する結果となった。

この技術的経緯は、近年のVPN機器において頻発している脅威動向と密接に符合する。公表当初はCVSS基本値が中程度に留まっていても、インターネットに直接露出し、かつ認証バイパスを可能とする脆弱性は、攻撃者にとっての価値が極めて高いため、短期間でエクスプロイトコードが作成され実攻撃へと転用される傾向が強い。デジタル庁は攻撃者を利する恐れがあるとして機器のベンダー名やCVE番号を公表していないが、静的なCVSSスコアに依存した脆弱性評価プロセスが、実環境における露出度や脅威インテリジェンスの変動速度に追いついていなかったことが根本的な要因となった。

米国CISA（サイバーセキュリティ・インフラセキュリティ庁）のKEV（悪用が確認された脆弱性カタログ）や、日本の国家サイバー統括室が策定する政府機関向けガイドラインにおいても、脆弱性の危険度をCVSSスコア単体で機械的に判定するのではなく、資産の公開性、攻撃の自動化レベル、および野良エクスプロイトの存在を組み合わせた実質的リスク判定（SSVCやEPSSの考え方）への移行が求められている。本件は、境界機器において「中」レベルと判定された脆弱性を放置することの致命的な危険性を立証している。

ゼロトラスト境界外に残存した保守回線と特権アクセス制御の欠陥

GSSは設計思想としてゼロトラストアーキテクチャ（ZTA）の導入を掲げ、各府省庁の端末やネットワークを統合管理していた。しかし、本インシデントによって、ゼロトラストを標榜する中核基盤の裏側に、旧来型の境界型セキュリティに依存した保守回線が例外的に残存していた実態が露呈した。

一般の公務員が利用する業務用端末やリモートアクセス環境においては、クラウドプロキシ、多要素認証（MFA）、および端末健全性チェックを組み合わせた厳格なゼロトラスト検証が適用されていた。一方で、システムインフラを直接制御する外部保守経路に対しては、一度VPNトンネルを確立すれば内部セグメントへの広範な到達を許容するという、レガシーな「境界の内側を暗黙的に信頼する」設計が維持されていた。これは、NIST SP 800-207が提唱する「ネットワーク上の位置のみをもって信頼を付与しない」というゼロトラストの核心原則に明白に背馳する構造的欠陥であった。

さらに、システム内部における特権アカウントのアクセス制御と権限分離（認可）の不備が被害の拡大を招いた。攻撃者はVPN経由で内部侵入を果たした後、保守運用担当者の正規アカウント情報を取得し、これを用いてファイルサーバ群へアクセスした。保守運用アカウントには、障害対応やメンテナンスの効率化を理由に、広範なファイル群に対する強力かつ横断的な読み取り権限が付与されていた。

本来であれば、特権アカウントは常時有効化（Standing Privileges）しておくべきではなく、作業申請に基づき必要な時間枠と特定のリソースのみに限定して一時的に権限を払い出すJIT（Just-In-Time）アクセスや特権アクセス管理（PAM）の徹底が求められる。また、VPN終端機器からファイルサーバへの通信に対するマイクロセグメンテーションや、ZTNA（ゼロトラストネットワークアクセス）に基づくリソース単位の動的認可が欠落していたため、攻撃者は一度取得した保守アカウントを用いて容易にラテラルムーブメントを完遂し、大量の公務員情報を内包するファイル群へと到達した。

二次被害の潜在リスクと法的・制度的対応状況

漏えいした可能性がある約24.6万件のデータは、公務員および事業者の氏名、公務用メールアドレス、所属組織、業務連絡用電話番号が主たる構成要素である。金銭的窃取に直結するクレジットカード情報や銀行口座情報、社会保障の根幹であるマイナンバー等は含まれておらず、直ちに直接的な財産侵害が生じる可能性は極めて低い。

しかし、国家公務員および政府関連事業者の包括的な連絡先リストが攻撃者の手に渡ったことによる運用上の脅威は極めて深刻である。実在する省庁職員や受託企業の名義を巧妙に偽装したスピアフィッシング、添付ファイルを通じた高度標的型攻撃（APT）、あるいはデジタル庁を騙る「アカウント再設定」等を名目とした認証情報窃取（クレデンシャルハーベスティング）に悪用されるリスクが高い。

デジタル庁は被害の拡大抑止および関係者保護のため、複数の制度的・実務的対応を実施している。

項目	実施内容と具体的対応
被害関係者への個別通知	ファイル精査によって特定された約24.6万件の対象者に対し、連絡先が判明した順に個別の連絡と注意喚起を継続実施。
専用問い合わせ窓口の開設	省庁業務サービスグループGSS班にフリーダイヤル（0120-360-036）および専用電子メール窓口を設置し、照会に対応。
不審連絡に対する注意喚起	デジタル庁からメールや電話でパスワードや暗号鍵、クレジットカード情報を照会することは一切ない旨を明示。
監督官庁への法定報告	個人情報の漏えいのおそれを確認した後の2026年7月15日に、個人情報保護委員会へ個人情報保護法に基づく正式報告を完了。
捜査当局・専門組織との連携	警察庁への相談および捜査共助を進めるとともに、内閣官房国家サイバー統括室および外部専門事業者と共同で原因究明を推進。

個人情報保護委員会への報告については、7月9日に不正アクセスと情報漏えいのおそれを特定した直後の7月15日に実施されており、行政機関としての法令遵守義務を果たしている。一方、対外的な事案公表までに約2ヶ月を要した点に関しては、攻撃遮断による安全確保を優先し、対象範囲の特定作業を確実に行うための調査期間であったと位置付けられている。

緊急是正措置と政府共通基盤の再発防止策

デジタル庁は7月9日の不正アクセス判明と同時に、侵害に利用された保守運用アカウントの即時停止、外部通信の遮断、およびVPN機器に対するセキュリティパッチの緊急適用を完了した。これらの一連の初期封じ込めにより、同一経路からの侵入や外部への新たなデータ送信は完全に阻止されている。

本インシデントを踏まえ、デジタル庁および関係機関が推進している根本的な再発防止策は、脆弱性管理基準の刷新と外部アクセス環境のゼロトラスト化の2点に集約される。脆弱性管理においては、ベンダーが発表する静的なCVSS Base Scoreのみに依存する優先順位付けを廃止し、インターネットへの露出度や実環境でのエクスプロイト流通状況を組み込んだ動的リスク判定モデルへの移行を進める。外部に公開されたネットワーク機器に対しては、たとえスコアが「中」であっても攻撃兆候があれば即時適用を義務付け、緊急時には計画的な機器停止を行う運用基準を整備する。

外部保守運用環境については、レガシーなVPN機器による広範なネットワーク接続を完全に撤廃し、厳格な端末認証と多要素認証を経た上で特定のアプリケーションにのみ暗号化トンネルを提供するZTNA構成への全面刷新が求められている。また、保守作業ごとに最小限のアクセス権を時限付与するJIT特権管理を導入し、常時有効化された強大アカウントを排除するとともに、ファイルサーバへの異常な大量アクセスを即座に検知・自動遮断する振る舞い検知ルールの強化を進めている。

本件が突きつけた本質的な課題は、どれほど中央の業務環境を先進的なゼロトラストモデルで固めても、外部委託や保守管理のために残された例外的な境界型VPN回線が1箇所存在するだけで、システム全体のセキュリティ耐用限界はその最も脆弱な単一地点（シングルポイント）によって決定づけられるという点にある。政府共通インフラのデジタルトランスフォーメーションを完遂するためには、利便性や運用の慣例を理由とした例外回線を徹底的に排除し、外部委託先の末端に至るまで継続的検証と厳格な最小権限を貫徹する統制メカニズムを確立することが不可欠である。

そんなところで