デジタル庁GSSに不正アクセス、個人情報24.6万件が漏えいした可能性：既知のVPN脆弱性から保守アカウントによる大量アクセスへ、「ゼロトラスト」の死角をどう読むか？：【付録：用語解説］

ゼロトラストを掲げた政府共通基盤で問われたのは、侵入の可否ではなく、侵入後の到達範囲だった

今回のNOTEは、デジタル庁が2026年9月11日に公表した政府共通業務基盤GSSへの不正アクセス事案について、公表資料とQ&Aから読み取れる事実関係を時系列で整理します。侵入口となったVPN機器の脆弱性は、攻撃前に公表されていた既知のものでしたが、直接の争点はそこにありません。
既知の脆弱性が突かれた後、保守運用担当者のアカウントを通じて、なぜ約24.6万件もの個人情報を保存するファイル群へ到達できたのか。
ゼロトラストを掲げた基盤で起きた事案から、脆弱性管理、特権ID、データ保管、公表判断のどこに検証すべき隙間が残っているのかを読み解きます。マイナンバー制度全体との関係も含め、過大評価と過小評価の両方を避けるための視点を提示します。

補足：ゼロトラストとは、社内や社外といったネットワークの境界にとらわれず、すべてのアクセスを「信用しない」ことを前提に検証・認可を行うセキュリティの考え方。　

デジタル庁は2026年9月11日、政府共通の業務基盤「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、職員や政府業務に携わった事業者などの個人情報、約24.6万件が外部へ漏えいした可能性があると発表しました。

侵入口となったのは、ネットワーク接続機器、いわゆるVPN機器の脆弱性です。

しかも、この脆弱性は攻撃前に公表されていた「既知の脆弱性」でした。

国のデジタル化を推進し、政府の情報セキュリティを底上げするはずのデジタル庁で、なぜこのような事案が起きたのでしょうか。

「国のデジタルの大元が破られた」と理解してよいのでしょうか。

先に結論を示します。

今回の事案だけで、マイナンバー制度、マイナポータル、ガバメントクラウドを含む「国のデジタル基盤全体が侵害された」と判断することはできません。一方で、GSSは府省庁職員のパソコン、ネットワーク、認証、コミュニケーションなどを共通化する重要な業務基盤です。

したがって、「限定された一つのシステムの事故」と軽く扱うこともできません。

本当に問われるのは、VPN機器一台の問題ではなく、既知の脆弱性が悪用された後、なぜ保守運用担当者のアカウントを通じて大量のファイルに到達できたのかという、多層防御と運用設計の問題です。

何が起きたのか

デジタル庁の公表資料とQ&Aから確認できる事実関係を時系列で整理します。

2026年6月25日

保守運用担当者のアカウントを使い、サーバー上の大量のファイルへアクセスする動きが検知されました。

デジタル庁は、この異常を受けて調査を開始しました。

2026年7月9日

第三者がVPN機器の脆弱性を利用してシステムへ侵入し、不正アクセスを行っていたことが判明しました。

同日、デジタル庁は次の措置を実施しています。

• 悪用された保守運用担当者アカウントの停止

• 関係アカウントの認証情報の変更

• 侵害された機器と外部との通信遮断

• VPN機器への修正プログラムの適用

• 外部専門事業者を交えた調査

デジタル庁によると、封じ込め後、新たな不正アクセスや不審な通信は確認されていません。また、GSSを利用する政府業務への支障も生じていないとしています。

2026年9月11日

調査の結果、個人情報を含むファイルが外部へ漏えいした可能性があるとして、事案を公表しました。

6月25日の検知から公表まで78日、7月9日の侵入経路特定と封じ込めから公表まで64日が経過しています。

漏えいした可能性がある情報

デジタル庁の発表では、漏えいした可能性がある個人情報は約24.6万件です。

内訳は次のように示されています。

• GSS利用機関の職員や、その業務に携わった公務員・独立行政法人職員：約18.9万件

• GSS利用機関の業務に携わった事業者や個人：約5.7万件

• 氏名：約23.6万件

• メールアドレス：約23.1万件

• 電話番号：約9.4万件

• 住所：約0.1万件

マイナンバー、金融機関口座情報、年金番号は含まれていないとされています。

電話番号や住所の大半は、個人の自宅や私用電話ではなく、府省庁の庁舎所在地や業務用の連絡先です。

ただし、「一般の方の個人情報は含まれていない」という表現には注意が必要です。

公務員以外にも、政府業務に携わった企業の従業員、個人事業主、府省庁が行ったウェブ会議の参加者などの情報が対象に含まれます。つまり、不特定多数の国民情報ではありませんが、民間人の情報が一切含まれていないわけでもありません。

また、公表資料では「約24.6万件」、Q&Aの内訳では「約18.9万人」「約5.7万人」と表記されています。個人情報の属性には重複があるため、厳密な対象人数、ファイル数、レコード数の関係は、今後さらに明確にする必要があります。

「漏えいした」ではなく「漏えいした可能性」とは何か

デジタル庁は、不正アクセスの痕跡が確認された情報について、実際に外部へ持ち出されたことが確定したものだけでなく、漏えいを否定できないものまで対象に含めています。

これは対象者保護を優先した考え方としては妥当です。

一方、現時点では次の点が区別できません。

• 攻撃者が閲覧できる状態になったファイル

• 実際に閲覧されたファイル

• 外部へ転送されたファイル

• 転送先まで確認できたファイル

• 外部で公開・販売・悪用されたファイル

したがって、「約24.6万件すべてが確実に盗まれた」と断定するのも、「漏えいは確認されていない」と軽視するのも、どちらも正確ではありません。

正しい表現は、「約24.6万件について、外部流出の可能性を否定できない」です。

直接的な原因は何か

デジタル庁のQ&Aによると、直接的な侵入口はVPN機器の脆弱性です。

この脆弱性には、次の特徴がありました。

• 攻撃前に公表されていた既知の脆弱性だった

• 当初のCVSS評価は「Medium」、つまり中程度だった

• デジタル庁は一般的な対応期限より早く対処を進めていた

• しかし、修正プログラムを適用する前に悪用された

つまり、パッチを全く検討していなかったわけではありません。通常より早い対応を進めていたものの、攻撃者の動きの方が早かったという説明です。

ただし、ここで「Mediumだったから仕方がなかった」と結論づけてはいけません。

CVSSは脆弱性そのものの技術的な深刻度を示す指標であり、その機器がインターネットに公開されているか、どの権限に接続できるか、どれほど重要な情報へ到達できるかまでは十分に表しません。

米国CISAも、実際に悪用されている脆弱性を脆弱性管理の優先順位に組み込むよう求めています。

政府共通基盤の外部接続点であるVPNなら、CVSSが中程度でも、次の条件を重ねて評価すべきでした。

• インターネットから到達可能か

• 認証を回避できる可能性があるか

• 保守運用環境につながるか

• 管理者権限や高権限アカウントに影響するか

• 機密情報を保存したサーバーへ到達できるか

• 攻撃コードや悪用事例が出ていないか

• 代替的な遮断策やアクセス制限を即時実施できるか

今回の本質は、「Medium評価の脆弱性を見落とした」というより、「政府共通基盤における実害の大きさを、スコア以外の条件まで含めて評価し切れなかった可能性」にあります。

攻撃の全体像を分解する

現時点で確認できる攻撃経路は、概ね次の流れです。

VPN機器の脆弱性が悪用される → GSS内部へ第三者が侵入する → 保守運用担当者のアカウントが利用される → サーバー上の大量のファイルへアクセスされる → 個人情報が外部へ漏えいした可能性が生じる

ただし、「VPNから侵入した後、どのように保守運用担当者アカウントを使える状態になったのか」は公表されていません。

例えば、次のいずれだったのかは不明です。

• アカウントのID・パスワードが窃取された

• VPN機器に保存されていた認証情報が奪われた

• セッション情報やトークンが悪用された

• システム上の権限昇格が行われた

• 端末やサーバーを経由して横展開された

• 多要素認証の仕組みが回避された

• 保守用アカウントが共有・常設されていた

ここを解明しなければ、VPN機器へパッチを当てるだけでは再発防止になりません。

今回概要まとめ図