なぜ漏れた不正アクセス・情報漏えいの原因と再発防止

デジタル庁 ／ ガバメントソリューションサービス（GSS）

政府共通の業務環境 GSS に VPN 機器の脆弱性から侵入、職員等の個人情報 約24.6万件

最終更新 2026-10-11

概要（公表された事実）

公表主体デジタル庁
業種公務
経緯
判明: 2026-06-25
第1報: 2026-09-11
件数最大 246,000 件
「約24.6万件」の概数。漏えいの「可能性」を否定できないものを含む
漏えいした情報氏名、メールアドレス、電話番号、住所
含まれない情報マイナンバー、金融機関口座情報、年金番号
二次被害個人情報の悪用等の二次被害は確認されていない。GSS を使う政府業務への支障なし
報告先個人情報保護委員会

分類

侵入経路既知の脆弱性
第三者が VPN 機器の脆弱性を利用して侵入し、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスした。脆弱性は攻撃前に公表済み（CVSS Medium）で、修正プログラムの適用前に悪用された。製品名・CVE は非公表
MFA不明
委託先・SaaS 経由公表文では触れられていない
原因の公表度一部のみ公表
判定判定に必要な事実が非公表
根拠: 既知の脆弱性とされたが、パッチ公開日・侵入日が公表されていない（判定ルール）

根拠となる公表文の記載

「第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し」
侵入経路 の根拠 ／ 出典
「修正プログラムの適用前に当該脆弱性が悪用される事態となった」
侵入経路 の根拠 ／ 出典
「本事案の脆弱性については、攻撃が確認される前に、公表されていたものです」
侵入経路 の根拠 ／ 出典

自分のシステムで確認すること

確認項目やり方
インターネットに公開している VPN 機器の脆弱性を、CVSS の数値だけで後回しにしていないか境界機器は CVSS が Medium でも「外部から到達できる」「悪用報告がある」なら最優先で当てる運用にする。CISA KEV やベンダーの悪用情報を毎日確認する
パッチを当てるまでの間の緩和策があるか修正版の適用に時間がかかる場合は、ベンダーの回避策の適用、接続元 IP の制限、該当機能の無効化を先に行う
保守運用アカウントで大量のファイルアクセスがあったら気づけるか特権・保守アカウントのアクセス量と時間帯を監視し、平常時から外れた大量アクセスにアラートを出す

利用者がやること

出典