デジタル庁は9月11日、同庁が運用する政府共通の業務システム「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、各府省庁の職員らの個人情報およそ24万6000件が漏えいした可能性があると発表した。侵入口になったのは、外部から庁内のネットワークへ安全につなぐための通信機器（VPN機器）の欠陥で、修正プログラムを当てる前に突かれた。同庁は「関係の皆様に多大な御迷惑と御心配をおかけし、誠に申し訳ありません」と謝罪している。
6月に検知、遮断は7月9日
同庁の発表によると、最初の異変は6月25日だった。保守運用を担う担当者のアカウントを使い、サーバー上の大量のファイルにアクセスが行われたのを検知し、調査を始めた。
第三者がVPN機器の欠陥を悪用して侵入していたと判明したのは7月9日である。同庁は同じ日のうちに当該アカウントを止め、侵害された機器と外部との通信を遮断した。以後、新たな不正アクセスや不審な通信は確認されていない。通信を切ったのは侵入を受けた機器だけのため、GSSを使う政府の業務に支障は出なかったという。
検知から公表まで2か月半かかった理由を、同庁は同時に公開したQ&Aで説明している。検知した時点では不正アクセスの有無も影響範囲も分からず、侵入経路の分析、漏えいした可能性のある情報の特定、対象者の確認に「相当の時間を要した」とし、一定の事実関係を確認できた段階で公表したとしている。
氏名23万6000件、メール23万1000件
漏えいした可能性がある約24万6000件の内訳は、GSSを使う府省庁の職員と業務に携わった公務員ら（独立行政法人の職員を含む）が約18万9000件、業務に携わった事業者と個人が約5万7000件。
情報の種類でみると、重複を含めて氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件となっている。マイナンバー、金融機関の口座情報、年金番号は含まれていないことを確認したという。
もとになったのは、システムを使うための利用者登録の申請書だ。代表者の氏名や業務用の電話番号、勤務先の住所を書く欄があり、そこに記入された情報が流出した可能性がある。このため電話番号や住所は個人の自宅ではなく、「各府省庁の庁舎所在地や、公務に使用する連絡先として登録されたものが大半」と同庁は説明する。
国の補助金制度でも、申請のために登録された事業者側の情報が外部に出た可能性が明らかになっている。住宅の省エネ改修などへの補助金「住宅省エネ2024キャンペーン」では、事務局のシステムが外部から不正操作され、法人代表者や申請担当者の氏名、業務で用いている電話番号・メールアドレスなど2万3918名分が漏えいした可能性があると公表された（「住宅省エネ補助金の事務局システムに不正操作 事業者2万3918人の情報漏えいの可能性」）。
「漏えいした」ではなく「漏えいの可能性」という表現を使っているのは、不正アクセスの痕跡が残る情報について、漏えいを否定しきれないものまで対象に含めたためだ。二次被害は現時点で確認されていない。同庁は連絡先が特定できた対象者から順に個別に連絡し、専用のフリーダイヤル（0120-360-036）も設けている。
危険度「中」の既知の欠陥だった
悪用された欠陥は、公表当時の評価では危険度が「中」だった。危険度の物差しはCVSS（共通脆弱性評価システム）と呼ばれる国際的な指標で、0.0から10.0の点数を付け、点数が高いほど危ない。10点満点の上位ではなく、中程度と見なされていた欠陥である。
しかも未知の欠陥ではなく、攻撃が確認される前に公表されていた既知のものだった。同庁は「公表された際の脆弱性の深刻度評価に応じた一般的対応よりも早く対処を進めた」としながら、修正プログラムを当てる前に悪用された点を「重く受け止めております」と記した。欠陥の具体的な中身は、今後のセキュリティ確保に支障を及ぼすとして公表していない。修正プログラムはすでに適用済みだという。
GSSは、社内も社外も信用せず接続のたびに正当性を検証する「ゼロトラスト」の設計を採用していた。それでも侵入を許した点について同庁は重く受け止めるとしたうえで、防御の具体的な構成は明かせば攻撃者を利するとして説明を控えている。再発防止として、脆弱性への対応を速める管理の強化と、外部からの接続方法の見直しを進める。
30万人規模を目指す政府共通基盤
GSSは、各府省庁がばらばらに整えてきた業務用パソコンやネットワークを一本化する取り組みだ。デジタル庁の説明では、霞が関と全国の拠点、データセンター、クラウドを結ぶネットワークから、職員が使うノートパソコン、OS、端末を守るソフトまで、業務のIT基盤全般をまとめて管理・提供する。
2023年度に約3万人の政府職員へ導入し、その後は10万人規模へ、最終的には30万人規模の職員が使う環境を目指す計画を掲げてきた。今回狙われたのは、その共通基盤の外部からの接続口にあたる部分だ。同庁は「本事案の影響は当該システムに限定されており、他のシステムへの不正アクセスや情報漏えい等の被害は確認されておりません」と説明している。
調査は現在も続いている。同庁はQ&Aで、セキュリティ上の理由から公表を控える事項があるとしたうえで、「今後の調査により内容が更新される場合があります」としている。松本デジタル相は11日に記者会見を開き、会見要旨は後日公開される予定だ。
VPN機器の欠陥を突く侵入は、行政に限った話ではない。警察庁が令和8年版警察白書に載せたアンケートでは、ランサムウェア被害に遭った企業・団体の有効回答92件のうち61件がVPN機器を利用されて侵入されていた（サイバー犯罪の検挙1万5108件で過去最多 5年で2899件増 不正アクセスで検挙された248人のうち81人は14〜19歳 令和8年版警察白書）。
入り口は機器の欠陥に限らない。楽天ドライブに不正アクセス 写真や文書など保存データが1万5382アカウント分で閲覧 1月29日から9月17日までの231日間 7月末の告知は「確認されておりません」では、利用者のIDではなくシステムの管理用アカウントの認証情報を奪われたことが原因とされた。
境界に置く機器の欠陥が悪用される例は続いている。F5の通信制御機器に認証なしで遠隔操作される欠陥 すでに悪用 JPCERT/CC「国内で広く利用」 深刻度は10点満点の9.8でも、外部から常に到達できる認証機器が狙われている。
政府機関では、外務省も10月30日、外部とやり取りできる省のネットワークが7月27日に不正アクセスを受け、氏名やメールアドレスなど約3600件の個人情報が漏えいした可能性があると発表した（外務省に不正アクセス、氏名やメールアドレス約3600件漏えいの可能性 7月に検知）。
同庁が外部のサービスに預けていたデータにも、漏えいの可能性が出ている。10月には、ホームページ運営の一部に使っていたウェブサイト制作サービスの運営会社が不正アクセスを受けたと同庁が発表した（デジタル庁HPの問い合わせ最大1万3千件、漏えいの可能性 サイト制作のStudioに不正アクセス）。