原因公表 不正アクセス情報の漏えい

デジタル庁のGSSにVPN機器の脆弱性から不正アクセス、職員などの個人情報約24.6万件が漏えいの可能性

このページの公開： ／ 最終更新： ／ 書いた人：インシデントレーダー編集部

この事件のまとめ

何が
デジタル庁のガバメントソリューションサービス（GSS）で、不正アクセス・情報の漏えい。
いつ
2026年9月11日に公表。
原因
公表：VPN・リモート接続機器から・ソフトウェアの脆弱性。
影響
GSSを使う府省庁などの職員、業務に携わった公務員・事業者・個人（一般の人の情報は含まれない）の情報、約246,000件（漏えいの可能性）。

原因

原因公表 VPN・リモート接続機器からソフトウェアの脆弱性

公式の発表での原因
第三者がネットワーク接続機器（VPN）の脆弱性を使ってシステムに侵入し、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスした。
侵入の入り口
VPN 機器

影響

人数・件数
約246,000件（GSSを使う府省庁などの職員、業務に携わった公務員・事業者・個人（一般の人の情報は含まれない））
注：約。GSS利用機関の職員・公務員等が約18.9万件、業務に携わった事業者・個人が約5.7万件
情報の種類
氏名、メールアドレス、電話番号、住所など
漏えい
漏えいの可能性

使っている人がすること

公式の発表で、利用者に呼びかけていることです。

  • デジタル庁などを装った不審なメール・電話・SMSに注意し、リンクや添付ファイルを開いたり認証情報を入力したりしない

運営する側が確かめること

この事件の原因の種類について、一般に言われている基本の確かめ項目です（この事件の会社の対策を推測したものではありません）。

VPN・リモート接続機器から

  • 外から社内へつなぐ機器・仕組み（VPN・リモートデスクトップ・保守用の回線）を一覧にする。知らない入り口を残さない
  • 機器のソフトを最新に保つ。実際に悪用されている脆弱性の知らせが出たら、すぐに更新する
  • つなぐときの認証に 2段階認証を使い、使っていないアカウント・退職者のアカウントを消す
  • 接続の記録（いつ・どこから）を残し、ふだんと違う接続に気づけるようにする

根拠の資料：総務省「テレワークにおけるセキュリティ確保」（テレワークセキュリティガイドライン）／JVN（Japan Vulnerability Notes）／CISA「Known Exploited Vulnerabilities Catalog」（悪用が確認された脆弱性の一覧）

ソフトウェアの脆弱性

  • 使っているソフト・部品（CMS・プラグイン・ライブラリ・サーバーのソフト）と版を一覧にし、脆弱性の情報を定期的に照らし合わせる
  • 修正版が出たら更新する期限を、重さごとに決めておく（実際に悪用されている脆弱性は最優先）
  • 自社で作った画面は、SQL インジェクション・クロスサイト・スクリプティングなど代表的な脆弱性の対策が入っているかを確かめる
  • 使っていない機能・古い試作のページ・公開しなくてよい管理画面を外に出さない

根拠の資料：IPA「安全なウェブサイトの作り方」／JVN（Japan Vulnerability Notes）／OWASP ASVS（アプリケーションセキュリティ検証標準）

経過

  1. 保守運用担当者のアカウントで大量のファイルにアクセスされたことを検知し、調査を開始 ［出典s1］

  2. VPN機器の脆弱性を使った侵入と判明。アカウントを止め、外部との通信を遮断 ［出典s1］

  3. 個人情報が漏えいした可能性を公表 ［出典s1］

出典（公式の発表）

  1. ［s1］デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日）

この内容は2026年10月7日に公式の発表を確かめたものです。誤りに気づいたら訂正の申し出からお知らせください。

同じ原因の事件

VPN・リモート接続機器からの事件をすべて見る → ソフトウェアの脆弱性の事件をすべて見る →