デジタル庁は11日、同庁が運用する政府共通の業務基盤「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、GSS上で扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があると発表した。対象は約24万6000件にのぼる。同庁は「関係の皆様に多大な御迷惑と御心配をおかけし、誠に申し訳ありません」と謝罪した。

検知は6月25日、原因はVPN機器の脆弱性

発表によると、デジタル庁は6月25日、保守運用担当者のアカウントを使ってサーバー上の大量のファイルへアクセスが行われたことを検知し、調査を始めた。7月9日になって、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが判明した。

同庁は同日、この保守運用担当者のアカウントを停止したうえで、侵害された機器と外部との通信を遮断し、以後の不正アクセスを防いだとしている。その後、外部の専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることを確認した。

VPNは社外や庁舎外から内部ネットワークへ入るための出入り口にあたる装置で、外部に公開されている分、機器そのものに脆弱性が見つかると攻撃側から一斉に狙われやすい。修正プログラムの適用が間に合わないうちに突かれると、正規の利用者になりすまして内部へ入り込まれ、その後の不正な操作が通常の運用と区別しにくくなる。今回、侵入の痕跡が保守運用担当者のアカウントによる大量アクセスという形で表れたのも、この構図に沿っている。

氏名23.6万件、メール23.1万件　マイナンバーは含まず

漏えいした可能性がある個人情報の内訳は、GSS利用機関の職員と業務に携わった公務員ら（独立行政法人の職員を含む）が約18万9000件、GSS利用機関の業務に携わった事業者と個人が約5万7000件である。

情報の種類別（重複あり）では、氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件などとなっている。氏名とメールアドレスは全体のほぼ全件に及ぶのに対し、住所は約1000件にとどまる。

一方、マイナンバー、金融機関の口座情報、年金番号などは含まれていないことを確認したという。GSSは各府省庁などが共同で使う職員向けの業務基盤であり、一般の人の個人情報は含まれていないとしている。

検知から公表まで2カ月半　なりすましメールに注意喚起

6月25日の検知から11日の公表までは2カ月半を要した。不正アクセスの有無や影響の範囲、侵入経路の分析、漏えいした可能性がある情報の特定に調査が必要だったためで、デジタル庁は対象者を特定したうえで順次、個別に連絡するとしている。

同庁によると、現時点で本件に関連する個人情報の悪用などの二次被害は確認されていない。ただ、流出した可能性のある氏名やメールアドレス、電話番号は、なりすましメールやフィッシングメールに使われる恐れがある。同庁は、デジタル庁や関係機関を装った不審なメール・電話・SMSに注意し、身に覚えのない連絡のリンクや添付ファイルを開いたり、パスワードなどの認証情報やクレジットカード情報を入力したりしないよう呼びかけている。デジタル庁が認証情報やクレジットカード情報をメールや電話で尋ねることはないという。

問い合わせは専用フリーダイヤル（0120-360-036）で受け付ける。同庁は再発防止策として、脆弱性管理の方法の見直しと、外部からの接続方法の改善を進めるとしている。GSSは各府省庁が共同で使う基盤であるため、一つの機器を破られた際の影響が府省庁をまたいで広がる構造にある。今回漏えいした可能性がある職員らの情報が18万9000件と国の行政機関をまたぐ規模になったのも、共通基盤という性格によるものだ。