デジタル庁は9月11日、同庁が運用する政府共通の業務システム「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、各府省庁の職員らの個人情報およそ24万6000件が漏えいした可能性があると発表した。侵入口になったのは、外部から庁内のネットワークへ安全につなぐための通信機器（VPN機器）の欠陥で、修正プログラムを当てる前に突かれた。同庁は「関係の皆様に多大な御迷惑と御心配をおかけし、誠に申し訳ありません」と謝罪している。

6月に検知、遮断は7月9日

同庁の発表によると、最初の異変は6月25日だった。保守運用を担う担当者のアカウントを使い、サーバー上の大量のファイルにアクセスが行われたのを検知し、調査を始めた。

第三者がVPN機器の欠陥を悪用して侵入していたと判明したのは7月9日である。同庁は同じ日のうちに当該アカウントを止め、侵害された機器と外部との通信を遮断した。以後、新たな不正アクセスや不審な通信は確認されていない。通信を切ったのは侵入を受けた機器だけのため、GSSを使う政府の業務に支障は出なかったという。

検知から公表まで2か月半かかった理由を、同庁は同時に公開したQ&Aで説明している。検知した時点では不正アクセスの有無も影響範囲も分からず、侵入経路の分析、漏えいした可能性のある情報の特定、対象者の確認に「相当の時間を要した」とし、一定の事実関係を確認できた段階で公表したとしている。

氏名23万6000件、メール23万1000件

漏えいした可能性がある約24万6000件の内訳は、GSSを使う府省庁の職員と業務に携わった公務員ら（独立行政法人の職員を含む）が約18万9000件、業務に携わった事業者と個人が約5万7000件。

情報の種類でみると、重複を含めて氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件となっている。マイナンバー、金融機関の口座情報、年金番号は含まれていないことを確認したという。

もとになったのは、システムを使うための利用者登録の申請書だ。代表者の氏名や業務用の電話番号、勤務先の住所を書く欄があり、そこに記入された情報が流出した可能性がある。このため電話番号や住所は個人の自宅ではなく、「各府省庁の庁舎所在地や、公務に使用する連絡先として登録されたものが大半」と同庁は説明する。

「漏えいした」ではなく「漏えいの可能性」という表現を使っているのは、不正アクセスの痕跡が残る情報について、漏えいを否定しきれないものまで対象に含めたためだ。二次被害は現時点で確認されていない。同庁は連絡先が特定できた対象者から順に個別に連絡し、専用のフリーダイヤル（0120-360-036）も設けている。

危険度「中」の既知の欠陥だった

悪用された欠陥は、公表当時の評価では危険度が「中」だった。危険度の物差しはCVSS（共通脆弱性評価システム）と呼ばれる国際的な指標で、0.0から10.0の点数を付け、点数が高いほど危ない。10点満点の上位ではなく、中程度と見なされていた欠陥である。

しかも未知の欠陥ではなく、攻撃が確認される前に公表されていた既知のものだった。同庁は「公表された際の脆弱性の深刻度評価に応じた一般的対応よりも早く対処を進めた」としながら、修正プログラムを当てる前に悪用された点を「重く受け止めております」と記した。欠陥の具体的な中身は、今後のセキュリティ確保に支障を及ぼすとして公表していない。修正プログラムはすでに適用済みだという。

GSSは、社内も社外も信用せず接続のたびに正当性を検証する「ゼロトラスト」の設計を採用していた。それでも侵入を許した点について同庁は重く受け止めるとしたうえで、防御の具体的な構成は明かせば攻撃者を利するとして説明を控えている。再発防止として、脆弱性への対応を速める管理の強化と、外部からの接続方法の見直しを進める。

30万人規模を目指す政府共通基盤

GSSは、各府省庁がばらばらに整えてきた業務用パソコンやネットワークを一本化する取り組みだ。デジタル庁の説明では、霞が関と全国の拠点、データセンター、クラウドを結ぶネットワークから、職員が使うノートパソコン、OS、端末を守るソフトまで、業務のIT基盤全般をまとめて管理・提供する。

2023年度に約3万人の政府職員へ導入し、その後は10万人規模へ、最終的には30万人規模の職員が使う環境を目指す計画を掲げてきた。今回狙われたのは、その共通基盤の外部からの接続口にあたる部分だ。同庁は「本事案の影響は当該システムに限定されており、他のシステムへの不正アクセスや情報漏えい等の被害は確認されておりません」と説明している。

調査は現在も続いている。同庁はQ&Aで、セキュリティ上の理由から公表を控える事項があるとしたうえで、「今後の調査により内容が更新される場合があります」としている。松本デジタル相は11日に記者会見を開き、会見要旨は後日公開される予定だ。