デジタル庁の政府共通基盤「GSS」に不正アクセス。VPN機器の脆弱性から職員ら約24.6万件が漏えいの可能性

01発表されている事実

1. 2026年6月25日

   保守運用担当者のアカウントで、サーバー上の大量のファイルへのアクセスを検知し、調査を開始

2. 7月9日

   第三者がVPN機器の脆弱性を突いて侵入していたことを確認。同日、アカウントを停止し、機器と外部の通信を遮断

3. 7月15日

   個人情報保護委員会に報告（Q&Aによる）

4. 9月11日

   公表

漏えいの可能性があるのは約24.6万件です。内訳は、GSSを使う府省の職員など（独立行政法人の職員を含む）が約18.9万件、業務に関わった事業者・個人が約5.7万件です。項目は重複を含めて、氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約1,000件です。マイナンバー、金融機関の口座情報、年金番号は含まれていません。

Q&Aでは、悪用された脆弱性は公表時の深刻度が「Medium（警告）」だったと説明しています。機器の製品名は、セキュリティ上の理由で明らかにしていません。同庁は脆弱性の修正を済ませ、新たな侵入や二次被害は確認されていないとしています。

02読者への影響

対象は公務員と、府省の業務に関わった企業の担当者などです。デジタル庁は連絡先を確認できた人から順に個別に連絡するとしています。専用窓口は0120-360-036です。同庁は、メールや電話でパスワードや認証情報、カード番号を尋ねることはないとしています。デジタル庁や府省を名乗る不審なメール・SMS・電話が来ても、リンクや添付ファイルを開かないでください。

03同じことを防ぐには

侵入から検知まで時間がかかり、入口は「深刻度が中程度」とされていた脆弱性でした。中小企業でもVPN機器は同じ構図で狙われます。

1. VPN機器の修正版は深刻度にかかわらず当てる。悪用が報告されたら最優先
2. 保守会社や管理者のアカウントにも多要素認証をかけ、使う時間帯や接続元を絞る
3. 「1つのアカウントが短時間に大量のファイルを開く」動きを検知できるよう、ログを見る体制を作る
4. VPNでつないだ後に社内のどこへでも行ける作りを見直す。ゼロトラスト型の接続で、必要なシステムだけに絞る

自社で機器のログを見続けるのが難しい場合は、監視を外部に任せる方法もあります。VPN機器の脆弱性情報はメーカーやJPCERT/CCから出るため、担当者がその通知を受け取れるようにしておくことも大切です。保守を委託している場合は、修正版をいつ当てるかを契約で決めておくと、対応の遅れを防げます。

04今後の発表の予定

デジタル庁は調査が続いているとして、Q&Aの内容は変わる可能性があるとしています。脆弱性の管理方法と外部との接続のあり方を見直すとしていますが、具体策は公表されていません。図鑑では、法人向けVPN・リモートアクセス、ゼロトラスト・SASE、ログを見張るSOC・MDRのサービスを比べられます。