政府システムに不正アクセス、個人情報24.6万件漏えいか 原因は「既知のVPN脆弱性」 なぜ防げなかった？

デジタル庁が運営する政府システムが不正アクセスを受け、個人情報約24.6万件が漏えいした可能性があると発表した。事前に把握していたVPN機器の脆弱性から侵入されたという。なぜ防げなかったのか。

[荒岡瑛一郎，ITmedia]

　デジタル庁は9月11日、同庁が運営する政府共通のデジタル基盤「ガバメントソリューションサービス」（以下、GSS）に対する不正アクセスがあり、約24万6000件の個人情報が漏えいした可能性があると発表した。発表時点で、情報の悪用といった二次被害はないという。

　漏えいの可能性があるのは、GSSを利用する公務員などの情報約18.9万件と、GSS関係の業務に携わる事業者や個人の情報約5.7万件。氏名、メールアドレス、電話番号などが含まれている。マイナンバーや口座情報は含まれていない。

　松本尚デジタル大臣は9月11日の記者会見で、不正アクセスの入り口となったVPN機器の脆弱性の存在は、インシデント発生以前から把握していたと明かした。

　同庁は、GSSについて「行政機関の生産性やセキュリティの向上を図ります」と説明している。なぜ、既に判明していた脆弱性を突いた不正アクセスを防げなかったのか。

松本尚デジタル大臣（9月11日の記者説明会のキャプチャー）

6月末に不審な挙動を検知→7月に不正アクセス判明　公表に時間をかけた理由

　GSSは、行政機関が利用するデジタル基盤の高度化を目的に、デジタル庁が提供している。安全なネットワーク環境を用意して「場所を選ばない働き方」「情報共有の円滑化」などを推進し「便利な環境をより多くの利用者に提供し、情報セキュリティを底上げ、均質化した上で全体コストの最適化も図る」ことが狙いだ。

　今回のインシデントの発端は6月25日。GSSの保守運用担当者アカウントを利用して、サーバに保存していたファイルに対する大量のアクセスがあったことを検知し、同庁が調査を開始した。

　7月9日、調査の結果「第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていた」ことが判明。デジタル庁は、該当する保守運用担当者アカウントを停止するとともに、侵害された機器を外部から遮断して被害の拡大を防止した。

　外部の専門事業者とともに調査をし、個人情報が外部に漏えいした可能性があることを確認。9月11日の公表に至った。

　インシデントの判明から公表まで時間がかかったことについて、松本大臣は「不正アクセスを検知した直後から、被害拡大を防止しなければならないため、まず事実関係の調査をした。『不正アクセスの有無』『影響範囲』『侵入経路の分析』『漏えいした可能性がある情報の特定』などに時間を要した」と説明した。

GSSに対する不正アクセスの概要（出所：デジタル庁の報道発表）

把握していた脆弱性、なぜ悪用を防げなかったのか？

　今回の不正アクセスで悪用されたVPN機器の脆弱性について、デジタル庁はその存在を事前に把握していたという。「脆弱性は、既知のもので、われわれは理解していた」（松本大臣）。インシデントを防げなかった理由について、脆弱性の修正対応をしている間に悪用されたと話した。

　デジタル庁は、脆弱性の「深刻度評価」に沿って緊急度が高い脆弱性から優先して対応していた。今回悪用された脆弱性は「中等度」だったといい「評価に応じて対応を進め、順番にパッチ（修正プログラム）を適用している。その間にハッキングされたという理解だ」（松本大臣）

ゼロトラスト導入、それでも不正アクセスを防げず

　GSSは、通信の挙動を常に検証するセキュリティモデル「ゼロトラストネットワーク」を導入している。一般に、従来のセキュリティ対策は「社内は安全、社外は危険」という考え方で社内外の境界を守る「境界型防御」が主流だった。しかしテレワークの拡大やクラウドサービスの利用によって、場所を問わず社内システムにアクセスするケースが増加。そこで「ゼロトラスト」（何も信じない）という考え方の下で、社内外全ての通信を検証し、安全なものだけアクセスを許可する仕組みがゼロトラストネットワークだ。

　ゼロトラストネットワークを導入しているにもかかわらず、不正アクセスを防げなかったのはなぜか。報道陣に問われた松本大臣は「ゼロトラストとはいえ、探しても探してもどこかに穴が空いている可能性がある。再発防止策を何度も見直す必要がある」と答えた。

　「GSSで取り扱っていた情報を取られたことは、大きな問題だ。（さまざまな対策を実施済みで）これ以上の被害が起こる可能性は非常に少ない。今回の事案の発生を踏まえて再発防止策を立て、不断に見直しながら対策を進めなければならない」（松本大臣）

視聴無料・LIVE配信：
「AI格差」を乗り越え自走する現場をつくる「変わる情シス 2026 夏」

---

• 開催日：9月14日（月）〜 9月18日（金）
• 形式：オンラインセミナー
• 参加費：無料

講演内容を詳しく見る