デジタル庁、さくらインターネット、三重県 3つの事件に共通した“盲点”：ツール導入の前に考えるべきは？（1/2 ページ）

デジタル庁のGSS、さくらインターネット、三重県。2026年に明らかになった3つのセキュリティ事案は、VPNの脆弱性、初期パスワード、私物USBと一見すると別々の問題に見えます。ところが、横並びで見ると意外な共通点がありました。

[＠IT]

　デジタル庁の「ガバメントソリューションサービス」（以下、GSS）、さくらインターネット、三重県で、セキュリティ対策やIT資産管理を考えさせられる事案が相次いで明らかになりました。

　GSSでは、VPNの脆弱（ぜいじゃく）性を悪用した不正アクセスによって、約24万6000件の個人情報が漏えいした可能性が判明しました。さくらインターネットでは、販売管理システムへの不正アクセスに加え、一部の初期パスワードがハッシュ化されていない状態で保存されていたことが明らかになりました。そして三重県では、庁内で確認された1万2357個のUSBメモリのうち、3789個が私物だったことが判明しています。

　一見すると、3つの事案は全く別の問題に見えますが、そこには共通点があります。攻撃やリスクの入り口となったのは、必ずしも高度な攻撃手法だけではありません。脆弱性が残ったVPN、販売管理システムに保存されていた初期パスワード、組織が把握し切れていなかった私物USB。いずれも、組織が「管理できているはず」と考えていた領域と、実際の管理状況との間に存在したギャップです。

　ゼロトラストやEDR、脆弱性管理、ID管理など、企業や行政機関ではさまざまなセキュリティ対策が導入されています。しかし、そもそも何を管理すべきなのかを把握できていなければ、対策の外側に穴が残ります。

　3つの事案から見えてくるのは、「何を導入するか」だけではなく、「何が存在し、それを本当に管理できているのかどうか」という、セキュリティの基本です。

「ゼロトラスト」の前にやることがある　デジ庁の事案から得られる教訓

　2026年6月25日、デジタル庁は、GSSの保守運用担当者のアカウントを利用して、サーバ上の大量のファイルにアクセスする事象を検知しました。調査の結果、第三者がVPNの脆弱性を利用してシステムに侵入し、不正アクセスをしていたことが同年7月9日に判明しました。

　デジタル庁は同日、当該保守運用担当者のアカウントを停止するとともに、侵害された機器と外部との通信を遮断しました。

　その後の調査で、GSSで取り扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性も判明しました。対象となる個人情報は約24万6000件で、GSSを利用する各府省庁の職員や業務に携わった公務員、事業者、個人などの情報が含まれています。一般の国民の個人情報は含まれておらず、マイナンバーや金融機関口座情報、年金番号なども含まれていないとされています。

　ここで重要なのは、「ゼロトラストでも破られた」という単純な話ではありません。GSSはゼロトラストの考え方を取り入れていると言われていますが、ゼロトラストは、VPNなどのネットワーク機器の脆弱性管理や、アカウントの適切な運用といった基本をなくすものではありません。

　今回の事案では、VPNの脆弱性が侵入の足掛かりとなり、その後、保守運用担当者のアカウントを利用したアクセスが実行されました。つまり、ゼロトラストという設計思想を採用しているかどうかとは別に、その設計を支える個々の機器やアカウントを適切に管理できているかどうかが問われています。

　GSSのような共通基盤では、複数の府省庁などが同じ基盤を利用します。そのため、共通基盤の管理領域で問題が発生すれば、単一のシステムに閉じた問題では済まない場合もあります。今回の事案を受け、デジタル庁は脆弱性管理方法の見直しや外部からの接続方法の改善などを進めるとしています。

• 参考記事：「ゼロトラスト」でも防げず？ 政府共通基盤GSSで24.6万件が漏えいか

さくらの不正アクセス事例が示す“ログ保存の重要性”

　次に、政府や自治体などのシステムを支えるクラウド事業者である、さくらインターネットの事案です。

　同社は2026年9月、システムへの不正アクセスについて第三報を公表しました。調査の結果、同社サービスの契約情報などを管理する販売管理システムに対する不正アクセスを確認し、保存されていた会員情報などが第三者に閲覧または取得された可能性があることを明らかにしました。対象となる可能性のある会員情報は最大136万563アカウントです。

　さらに調査の過程で、販売管理システムに保存されていた「さくらのレンタルサーバ」の一部初期サーバパスワードや、「さくらのVPS」の一部管理者初期パスワードが、ハッシュ化されていない状態で保存されていたことも判明しました。

　もう一つ注目したいのが、ログの問題です。

　同社は調査の過程で、2025年7月以降のものと考えられる不審な活動の痕跡を確認しました。しかし時間の経過に伴う記録の制約などから、具体的な侵入経路や、顧客情報への影響について客観的に確認できない事項が残りました。

　これはインシデント対応において重要な教訓です。攻撃を防ぐことだけでなく、「何が起きたのか」を後から確認できるだけのログを残しておくこともセキュリティ対策の一部だからです。

　侵入経路や攻撃者の活動を追跡できなければ、被害範囲を確定することも、被害がなかったことを説明することも難しくなります。

• 参考記事：さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存