政府システムに不正アクセス、個人情報24.6万件漏えいか 原因は「既知のVPN脆弱性」 なぜ防げなかった？（1/2 ページ）

デジタル庁が運営する政府システムが不正アクセスを受け、個人情報約24.6万件が漏えいした可能性があると発表した。事前に把握していたVPN機器の脆弱性から侵入されたという。なぜ防げなかったのか。

[荒岡瑛一郎，ITmedia]

　デジタル庁は9月11日、同庁が運営する政府共通のデジタル基盤「ガバメントソリューションサービス」（以下、GSS）に対する不正アクセスがあり、約24万6000件の個人情報が漏えいした可能性があると発表した。発表時点で、情報の悪用といった二次被害はないという。

　漏えいの可能性があるのは、GSSを利用する公務員などの情報約18.9万件と、GSS関係の業務に携わる事業者や個人の情報約5.7万件。氏名、メールアドレス、電話番号などが含まれている。マイナンバーや口座情報は含まれていない。

　松本尚デジタル大臣は9月11日の記者会見で、不正アクセスの入り口となったVPN機器の脆弱性の存在は、インシデント発生以前から把握していたと明かした。

　同庁は、GSSについて「行政機関の生産性やセキュリティの向上を図ります」と説明している。なぜ、既に判明していた脆弱性を突いた不正アクセスを防げなかったのか。

松本尚デジタル大臣（9月11日の記者説明会のキャプチャー）

6月末に不審な挙動を検知→7月に不正アクセス判明　公表に時間をかけた理由

　GSSは、行政機関が利用するデジタル基盤の高度化を目的に、デジタル庁が提供している。安全なネットワーク環境を用意して「場所を選ばない働き方」「情報共有の円滑化」などを推進し「便利な環境をより多くの利用者に提供し、情報セキュリティを底上げ、均質化した上で全体コストの最適化も図る」ことが狙いだ。

　今回のインシデントの発端は6月25日。GSSの保守運用担当者アカウントを利用して、サーバに保存していたファイルに対する大量のアクセスがあったことを検知し、同庁が調査を開始した。

　7月9日、調査の結果「第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていた」ことが判明。デジタル庁は、該当する保守運用担当者アカウントを停止するとともに、侵害された機器を外部から遮断して被害の拡大を防止した。

　外部の専門事業者とともに調査をし、個人情報が外部に漏えいした可能性があることを確認。9月11日の公表に至った。

　インシデントの判明から公表まで時間がかかったことについて、松本大臣は「不正アクセスを検知した直後から、被害拡大を防止しなければならないため、まず事実関係の調査をした。『不正アクセスの有無』『影響範囲』『侵入経路の分析』『漏えいした可能性がある情報の特定』などに時間を要した」と説明した。

GSSに対する不正アクセスの概要（出所：デジタル庁の報道発表）