公開：2026年9月12日, 最終更新：2026年9月12日
30秒サマリー
- デジタル庁が運用するガバメントソリューションサービス（GSS）がVPN脆弱性を突かれ不正アクセスを受けた
- 氏名・メールアドレス・電話番号等、約24.6万件の個人情報が外部に漏えいした可能性がある
- 対象は各府省庁等の職員や関係事業者で、一般市民の情報は含まれないとデジタル庁は説明
何が起きたか
デジタル庁は2026年9月11日、同庁が運用する政府共通のITインフラ「ガバメントソリューションサービス（GSS）」が外部からの不正アクセスを受け、個人情報を含むファイルの一部が外部に漏えいした可能性があると発表した。
発端は2026年6月25日。保守運用担当者のアカウントを通じてサーバ上の大量ファイルへの不審なアクセスが検知され、調査が開始された。7月9日には、第三者がVPN機器の脆弱性を悪用してシステムに侵入し不正アクセスを行っていたことが判明。同日、当該アカウントの停止と侵害機器の外部通信遮断により、それ以降の不正アクセスは防止された。
漏えいした可能性がある個人情報は約24.6万件。内訳はGSS利用機関（各府省庁等）の職員・公務員等が約18.9万件、業務に携わった事業者・個人が約5.7万件。属性別では氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件（重複あり）。マイナンバー・金融機関口座情報・年金番号は含まれていないとしている。
デジタル庁によると、現時点で個人情報の悪用や二次被害は確認されていない。対象者には順次個別に連絡するとしており、なりすましメールやフィッシング詐欺への注意も呼びかけている。
原典ハイライト
「令和8年6月25日、保守運用担当者のアカウントを利用してサーバ上の大量のファイルへのアクセスが行われたことを検知」「第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入」——デジタル庁公式発表より。発表まで約2カ月半を要した。
出典: www.digital.go.jp（手動）
So What?（なぜ重要か）
GSSは各府省庁が共用する政府の中核ITインフラであり、今回の侵害は単一組織にとどまらず省庁横断的な影響を持つ。VPN機器の脆弱性という比較的オーソドックスな侵入経路が悪用された点は、官民問わず多くの組織にとって他人事ではない。6月25日の検知から公表まで約2カ月半かかっており、インシデント対応の透明性とスピードも問われる。
日本企業への示唆
政府のシステムに業務上の接点を持つ民間事業者・個人（約5.7万件）も漏えい対象に含まれる点は、官公庁案件を手がける企業が自社担当者の情報リスクを再確認する必要があることを示す。また、自社のVPN機器やリモートアクセス環境の脆弱性管理・パッチ適用状況を改めて点検することが急務。特に保守運用アカウントの多要素認証導入・権限最小化は今すぐ着手できる対策として重要度が高い。なりすましメールへの警戒を社内に周知することも欠かせない。
背景・経緯
GSSは各府省庁が共用するクラウド型の政府情報システム基盤で、デジタル庁が中央管理している。原文では、本件に関して松本大臣が9月11日に記者会見を行ったことも記載されている。今後の対策としてデジタル庁は脆弱性管理方法の見直しと外部からの接続方法の改善を挙げている。
