デジタル庁は9月11日、同庁が運用する政府共通の業務基盤「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、GSS上で扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があると発表した。対象は約24万6000件にのぼる。同庁は「関係の皆様に多大な御迷惑と御心配をおかけし、誠に申し訳ありません」と謝罪した。対象となる人の問い合わせ先として、専用フリーダイヤル「0120-360-036」を設けている。

0120-360-036は対象者向けの専用窓口

0120-360-036は、デジタル庁の「省庁業務サービスグループ GSS班」が受ける専用フリーダイヤルで、9月11日の発表資料に「対象となる皆様のお問い合わせ窓口」として載っている。同じ窓口には専用の問い合わせメールアドレス（kojin-info@digital.go.jp）もある。報道機関向けの問い合わせ先は別で、同じGSS班の03-6866-0151とされている。発表資料には受付の曜日や時間帯の記載はない。

この番号を使うのは、漏えいした可能性がある情報の持ち主、つまりGSSを使う府省庁などの職員、その業務に携わった公務員（独立行政法人の職員を含む）、業務に携わった事業者と個人だ。GSSは職員向けの業務基盤で、一般の人の個人情報は含まれていないとデジタル庁は説明している。デジタル庁は対象者を特定したうえで、順次、個別に連絡するとしているが、連絡の手段（郵送・メール・電話など）は発表資料に書かれていない。

注意したいのは、この窓口を名乗る連絡そのものが悪用されうる点だ。デジタル庁は、同庁や関係機関を装った不審なメール・電話・SMSへの注意を呼びかけ、同庁がパスワードなどの認証情報やクレジットカード情報をメールや電話で尋ねることはないとしている。デジタル庁を名乗る連絡を受けて確かめたい場合は、受け取った連絡に書かれた番号やリンクではなく、デジタル庁の公式サイトにある9月11日の発表資料で番号を照らし合わせるのが確実だ。連絡の中でカード番号やパスワードを求められたら、それは同庁の手続きではない。

同じ事案の発表直後の経過はデジタル庁の政府共通システムに不正アクセス　職員ら24万6000件の個人情報が漏えいの可能性　VPNの欠陥突かれるでも伝えている。

検知は6月25日、原因はVPN機器の脆弱性

発表によると、デジタル庁は6月25日、保守運用担当者のアカウントを使ってサーバー上の大量のファイルへアクセスが行われたことを検知し、調査を始めた。7月9日になって、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが判明した。

同庁は同日、この保守運用担当者のアカウントを停止したうえで、侵害された機器と外部との通信を遮断し、以後の不正アクセスを防いだとしている。その後、外部の専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることを確認した。

VPNは社外や庁舎外から内部ネットワークへ入るための出入り口にあたる装置で、外部に公開されている分、機器そのものに脆弱性が見つかると攻撃側から一斉に狙われやすい。修正プログラムの適用が間に合わないうちに突かれると、正規の利用者になりすまして内部へ入り込まれ、その後の不正な操作が通常の運用と区別しにくくなる。今回、侵入の痕跡が保守運用担当者のアカウントによる大量アクセスという形で表れたのも、この構図に沿っている。

氏名23.6万件、メール23.1万件　マイナンバーは含まず

漏えいした可能性がある個人情報の内訳は、GSS利用機関の職員と業務に携わった公務員ら（独立行政法人の職員を含む）が約18万9000件、GSS利用機関の業務に携わった事業者と個人が約5万7000件である。

情報の種類別（重複あり）では、氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件などとなっている。氏名とメールアドレスは全体のほぼ全件に及ぶのに対し、住所は約1000件にとどまる。

一方、マイナンバー、金融機関の口座情報、年金番号などは含まれていないことを確認したという。GSSは各府省庁などが共同で使う職員向けの業務基盤であり、一般の人の個人情報は含まれていないとしている。

なお、デジタル庁が公表しているのはいずれも「件」であり、実際に何人分にあたるかは示されていない。同じ人の情報が複数のファイルに入っていれば重複して数えられるため、24万6000件がそのまま24万6000人を意味するわけではない。

GSSとは何か　13機関・4.2万人が使う共通基盤

GSSは、各府省庁がばらばらに整備してきた業務用PCとネットワークを、政府共通の一つの環境にまとめる仕組みである。従来の「政府共通ネットワーク」を廃止して新しい府省間ネットワークに置き換え、地方支分部局とを結ぶ全国規模の回線網もあわせて整備する。庁舎の中にいるかどうかで信頼度を変えない「ゼロトラスト」の考え方を採り、庁外からも同じ環境で働けるようにする狙いがある。

政府が2025年6月13日に閣議決定した「デジタル社会の実現に向けた重点計画」によれば、GSSを導入した府省庁は2025年2月時点で13機関、接続しているユーザーは4.2万人である。2024年2月時点の10機関から30％増えた。2021年度のデジタル庁での利用を皮切りに、人事院、農林水産省、個人情報保護委員会、こども家庭庁、宮内庁、内閣府、消費者庁、カジノ管理委員会などへ広がってきた。

移行はさらに続く。デジタル庁が2024年5月の政策評価・行政事業レビュー有識者会議に示した資料では、当時の導入済みが約1300拠点・約3万5000ユーザーで、準備中を含めると約1800拠点・約9万9000ユーザーになるとしていた。準備中の内訳には国税庁の約578拠点・約6万8600人、法務省の約1055拠点・約1万8700人、総務省の約73拠点・約6000人といった大規模官庁が並ぶ。職員数の多い官庁が順に入ってくるため、共通基盤が抱える人数は今後も増える。

裏を返せば、出入り口を一つ破られたときに影響が及ぶ範囲もそれだけ広がる。今回、職員側だけで約18万9000件と国の行政機関をまたぐ規模になったのは、共通基盤という性格によるものだ。

検知から公表まで2カ月半　なりすましメールに注意喚起

6月25日の検知から9月11日の公表までは2カ月半を要した。不正アクセスの有無や影響の範囲、侵入経路の分析、漏えいした可能性がある情報の特定に調査が必要だったためで、デジタル庁は対象者を特定したうえで順次、個別に連絡するとしている。

同庁によると、現時点で本件に関連する個人情報の悪用などの二次被害は確認されていない。ただ、流出した可能性のある氏名やメールアドレス、電話番号は、なりすましメールやフィッシングメールに使われる恐れがある。民間でもチケットのイープラス、払戻し情報1463件が漏えい　うち751件は振込先の銀行口座　侵入から遮断まで4日のように、漏れた連絡先をもとに不審な連絡へ注意を促す事案が起きている。同庁は、デジタル庁や関係機関を装った不審なメール・電話・SMSに注意し、身に覚えのない連絡のリンクや添付ファイルを開いたり、パスワードなどの認証情報やクレジットカード情報を入力したりしないよう呼びかけている。デジタル庁が認証情報やクレジットカード情報をメールや電話で尋ねることはないという。

同庁は再発防止策として、脆弱性管理の方法の見直しと、外部からの接続方法の改善を進めるとしている。

9月18日に就任した古川俊治デジタル相は同日の記者会見で、この事案を「大臣として重く認識をしております」と述べた。同様の被害につながる事象は確認されていないとしたうえで、専用の問い合わせ窓口で対応していること、外部の専門事業者と協同して原因を究明することを挙げた。さらに、脆弱性の管理方法と外部からの接続方法の見直しに加え、「仮に侵入があった場合でも影響を最小限に食い止める」対策も強化すると語った。

侵入を前提にした備えという大臣の言葉は、この事案の性格に沿う。今回、侵入の痕跡は保守運用担当者のアカウントによる大量のファイルアクセスとして表れ、検知から第三者の侵入と判明するまで2週間、公表まで2カ月半かかった。出入り口の機器を守るだけでなく、入られた後に一つの権限で触れるファイルの範囲を絞り、異常な操作を早く止める仕組みがなければ、利用機関が増えるほど1回の侵入で失う情報は大きくなる。国税庁や法務省のような職員数の多い官庁を抱える基盤である以上、行政の業務を止めないためにも、どこまで手を打ったかを利用機関と国民に示すことが国の側に求められる。

報告を求める制度づくりが同時に進む

保守運用の権限や委託先が入口になる漏えいは民間でも相次いでおり、ランサムウェア被害や漏えい報告の件数と合わせた全体像はサイバー攻撃と情報漏えいの全体像　ランサム被害は最多123件、入口はVPNと委託先で整理した。

国の側が被害を受けた一方で、被害を早く把握するための制度整備も進んだ。10月1日からは、電気や鉄道、金融などの基幹インフラ事業者に、サイバー被害を国へ報告する義務が生じた。脆弱性の情報についても、IPAに届け出られた内容が10月1日から内閣府へ通知される仕組みに改まった。今回のようにVPN機器の脆弱性が侵入口になる例は民間でも相次いでおり、ランサムウェア被害の報告は今年上半期に123件と集計開始以来最多を記録した。漏えいが起きたときに本人へ知らせる義務そのものも、7月に公布された改正個人情報保護法で見直され、権利利益の保護に欠けるおそれが少ない場合は通知しなくてよくなる（個人情報の悪質な取り扱いに課徴金　違反で得た利益を国が取り上げ　本人1000人超が基準、繰り返しは1.5倍・自主申告で半額）。行政機関にも同じ改正が及ぶ。