デジタル庁に不正アクセス　24万件の個人情報流出

2026年9月12日 2026年9月12日 OgasawaraChurch

政府が開発しているシステムに「GSS(ガバメントソリューションサービス)」というものがあるそうです。これはデジタル庁が開発しているシステムで、このGSSを各省庁で共通して使っていく取り組みを拡大しているとのことです。画期的な取り組みになると思うのですが、そのGSSがなんと不正アクセスを受け、個人情報が流出したという、非常に恐ろしいことが起きています。

記事を見てみますと、「デジタル庁が不正アクセスを受け24.6万件流出か」という見出しで、SNS上でも厳しい声が上がっていると書かれています。

https://www.fnn.jp/articles/-/1112450

内容としては、デジタル庁によると6月25日に、保守運用担当者のアカウントを利用してサーバー上の大量のファイルへのアクセスが行われたことを検知したとのことです。調査を始めたところ、第三者がネットワーク接続機器(VPN)の脆弱性を利用してシステムに侵入し、デジタル庁が運用し各省庁に提供している政府共通システムGSSに不正アクセスがあったことが判明したそうです。さらに、24.6万件の個人情報が外部に流出した可能性があるとのことです。

このGSSとは何なのかを調べてみますと、デジタル庁の記事が見つかりました。

https://www.digital.go.jp/news/e488d3a2-c5e1-4c11-8d45-4f0c63c9ba89

ガバメントソリューションサービス班が今年2月に人事院総裁賞を受賞したということで、表彰されたのは素晴らしいことですが、その内容を見ると、「各府省庁の職員が共通して利用できる業務用パソコンやネットワーク、セキュリティなどの標準的な業務を提供する政府共通のサービス」とのことです。

要するに、全省庁で利用しているPCなどを一元管理するようなサービスのようです。こうした取り組み自体は素晴らしいことだと思いますし、何十万人もの職員のPCを一元管理することでセキュリティを高められるという利点はあります。しかしその一方で、その根幹をやられてしまうととんでもないリスクになるということだと思います。それが今回、不正アクセスを検知したという事態です。実際に流出した「可能性がある」としか書かれていないので、実態は今後の調査を待つことになるでしょう。

今回の侵入経路はVPNだったとのことです。VPNとはバーチャルプライベートネットワークのことで、インターネット上の通信を専用回線のようにプライベートに使うための技術です。これには暗号通信が使われますので、この暗号通信を行うVPN機器(VPNルーターなど)がやられてしまうと侵入されてしまうリスクがあります。ですから、こうしたVPN機器は常に最新のものに更新していかなければならないのですが、そこが今回狙われたのだろうと思います。これはサイバー攻撃の代表的な手段の一つで、最近はこの侵入ルートが多いとも言われています。

「デジタル庁は何をやっているんだ」といった声も上がっていますが、そもそもサイバー攻撃というのはどのように仕掛けてくるか分からないものです。ですから、攻撃されることを前提として、それでも情報が漏れないような対策をしておかなければならないということなのだと思います。

そのうえで今回問題だと感じるのは、発表が遅いという点です。6月25日に保守運用担当者のアカウントを利用したアクセスがあったにもかかわらず、それを9月11日になってようやく発表しているということは、そもそも検知が遅かったのか、それとも発表を遅らせたのかは分かりませんが、対応が遅いということ自体がより大きな問題だと思います。侵入されること自体は、あらゆる手段で仕掛けてくるものですから、万全な対策をしていても乗り越えられてしまうリスクは常にあります。しかし、こうした事態を踏まえてとにかく対策を強化していかなければなりません。

発見が遅れたのか発表が遅れたのか分からないような状況では、実際に何が起きたのかも分かりません。もしかすると6月25日以降にも、さらに何らかの侵害が行われていたかもしれません。また、この攻撃者が一体どこから来ているのか、国内からなのか海外からなのか、海外だとすればどの国からなのかということも突き詰めなければなりません。おそらく海外からのアクセスではないかと思われますが、サイバー攻撃はすでに国際化していますので、どこの国から来ているのかを解明する必要があります。6月25日に起きたことが現時点でもまだ誰がどのように行ったのか分からないのだとすれば、これは非常に恐ろしい問題です。

何より恐ろしいのは、狙われたのがGSSであるという点です。ガバメントソリューションサービスですから、デジタル庁だけの問題ではなく、デジタル庁が提供するサービスを利用している総務省や経済産業省、文部科学省、厚生労働省など、様々な省庁に関わる問題です。それらのPCを一元管理するシステムがやられたということは、日本のすべての省庁がその危機にさらされたということだと思います。少なくとも記事を読む限り、そのように読み取れます。

漏洩した可能性のある個人情報は、GSS利用機関の業務に携わる公務員、つまり各省庁の職員そのものの氏名、メールアドレス、電話番号、住所などが含まれるとのことです。これでは日本の省庁職員が丸裸にされてしまうような話です。

この記事だけでは、何が起きて、どのような対策が取られ、どこまでのリスクがあるのかは全く分かりません。しかし、こうした事態に際しては、デジタル庁が悪いとか悪くないといった話ではなく、日本全体の国家レベルのサイバー危機であるという認識のもとで、もっと大きく問題として取り上げるべきだと思います。そして、その対策には専門家を総動員して取り組むべきだと考えます。

動画はこちら
https://youtu.be/ITrkc1fjzGs