「ゼロトラスト」でも防げず？ 政府共通基盤GSSで24.6万件が漏えいか：突かれたのはVPNの脆弱性

「ゼロトラスト」を取り入れた政府共通の業務基盤で、不正アクセスが発生した。侵入の足掛かりとなったのはVPNの脆弱性。攻撃者は保守運用担当者のアカウントを使って大量のファイルにアクセスした。約24.6万件の個人情報が漏えいした可能性があるという。

[田渕聖人，＠IT]

　デジタル庁は2026年9月11日、同庁が運用する「ガバメントソリューションサービス」（以下、GSS）において、外部からの不正アクセスにより、GSSで取り扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があると発表した。

　漏えいした可能性がある個人情報は約24.6万件。対象はGSSを利用する各府省庁の職員や、その業務に携わった公務員や事業者、個人などで、一般の国民の個人情報は含まれていないという。

　GSSは、各府省庁が利用する業務用PCやネットワーク、セキュリティなどを共通化するための政府の業務基盤だ。デジタル庁は、従来各府省庁が個別に整備してきたIT環境を統合し、業務効率とセキュリティの向上を図る目的でGSSを展開した。同基盤にはゼロトラストネットワークアーキテクチャなどの考え方も取り入れているという。

ゼロトラスト通用せず？　突かれたのは“VPNの脆弱性”

　デジタル庁によると、最初に異常を検知したのは2026年6月25日だった。第三者が保守運用担当者のアカウントを利用して、サーバにある大量のファイルへのアクセスを実行したとして、それを検知し、調査を開始した。

　その後、2026年7月9日に第三者がネットワーク接続機器、すなわちVPNの脆弱（ぜいじゃく）性を利用してシステムに侵入し、不正アクセスをしていたことが判明した。

GSSで発生した不正アクセス事案のイメージ（出典：デジタル庁のプレスリリース）

　デジタル庁は同日、当該保守運用担当者のアカウントを停止するとともに、侵害された機器と外部との通信を遮断。以後の不正アクセスを防止したとしている。

　今回、漏えいした可能性があるとされた個人情報は約24.6万件に上る。内訳は、GSS利用機関の職員やGSS利用機関の業務に携わった公務員などが約18.9万件、GSS利用機関の業務に携わった事業者や個人が約5.7万件だ。

　情報の属性では、氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件などとなっている。属性には重複がある。一方、マイナンバーや金融機関口座情報、年金番号などは含まれていないことを確認済みだ。現時点で本件に関連する個人情報の悪用などの二次被害は確認されていない。

侵入経路は不明　漏えい情報を悪用した攻撃に注意

　現時点の公表情報では、保守運用担当者の認証情報がどのように攻撃者に取得されたのか、あるいはアカウントがどのように悪用されたのかは判明していない。

　ただし、氏名やメールアドレス、電話番号などが漏えいした可能性がある以上、今後は別の攻撃につながる可能性にも注意が必要だ。例えば、実在する行政機関や関係者を装い、「情報漏えいの確認」「アカウント確認」などを口実にしたフィッシングメールやSMSを送りつける手口が考えられるだろう。

　デジタル庁も、対象者に対して不審なメール、電話、SMSなどに注意し、リンクや添付ファイルを開いたり、パスワードなどの認証情報やクレジットカード情報を入力したりしないよう呼び掛けている。

　デジタル庁は今後、今回の事案を受けて脆弱性管理方法を見直す他、外部からの接続方法を改善するなど、セキュリティ対策を強化するとしている。

　GSSは各府省庁の業務環境を共通化する基盤として位置付けられている。デジタル庁の資料によれば、GSSはネットワークだけでなく、業務用PCやエンタープライズ環境、IDの統合なども対象としている。共通基盤であるほど、そこで利用されるアカウントや接続経路、運用管理の仕組みが侵害された場合の影響範囲は大きくなり得る。今回の事案は、その管理の難しさを浮き彫りにしたと言えるだろう。