対応中最終更新 2026-09-15
デジタル庁
官公庁（中央省庁） ／ 大規模 ／ 東京
不正アクセス情報漏洩の可能性
デジタル庁が運用する政府共通の業務実施環境「ガバメントソリューションサービス（GSS）」に、第三者がVPN機器の脆弱性を利用して侵入し、保守運用担当者のアカウントで不正アクセスを行った。GSS上の個人情報を含むファイルの一部が外部に漏えいした可能性があり、対象はGSS利用機関の職員・公務員等と関連業務に携わる事業者・個人の約24.6万件。
用語をタップで解説 ›
きっかけ・侵入経路
公式発表侵入経路
第三者がネットワーク接続機器（VPN）の脆弱性を利用してGSSのシステムに侵入し、保守運用担当者のアカウントを利用してサーバ上の大量のファイルへアクセスした。脆弱性は攻撃確認前に公表されていたもので、CVSSは中（Medium）レベル。製品名・脆弱性の詳細は公表されていない。
推測第三者による推測（確定した事実ではありません）
報道によれば、第三者は2026年5月下旬ごろからVPN機器の脆弱性を悪用してGSSに侵入していたとみられる（デジタル庁の説明として報道。公式発表文書では未確認）。
推測第三者による推測（確定した事実ではありません）
報道によれば、GSSは2026年7月末時点で独立行政法人を含む23機関、約15.4万人が利用している（公式発表文書では未確認）。
推測第三者による推測（確定した事実ではありません）
セキュリティブログ（piyolog）は悪用された脆弱性をPalo Alto Networks PAN-OS GlobalProtectのCVE-2026-0257と推測しているが、執筆者自身の推測であり、公式発表・報道では製品名は明らかにされていない。
攻撃者不明
被害・漏洩
公式発表漏洩件数
推定・上限（漏洩の可能性）
約24.6万件（GSS利用機関の職員・公務員等〈独立行政法人を含む〉約18.9万件、関連業務に携わる事業者・個人約5.7万件）。項目別（重複あり）は氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件。
実際の漏洩はこれより少ない場合があります
確認済み（確定値）
未確認
漏洩した情報の種類
氏名メールアドレス電話番号住所
含まれない情報：マイナンバー、金融機関口座情報、年金番号は含まれていない。一般の方の個人情報は含まれていない。
組織が把握できていないこと
漏えいは「可能性」として公表されており、実際の外部流出は確認されていない。影響を受けた府省庁等の機関名、VPN製品名、攻撃者は公表されていない。
対応と結末
公式発表経営層への説明に効く身代金の要求
不明
身代金の支払い
不明
企業が公表していません
復旧手段
7月9日に当該アカウントを停止し外部との通信を遮断した。VPN機器への修正プログラム適用、関係アカウントの認証情報変更を実施し、外部専門家の協力を得て調査した。対象者へ個別に連絡し、専用の問い合わせ窓口を設置した。
再発防止策
脆弱性管理の方法の見直しと外部からの接続方法の改善を行うとしている。個人情報保護委員会へ7月15日に報告した。
組織自身の分析・教訓
公式発表組織が自ら公表した、被害が拡大・長期化した要因。自社の点検に役立ちます。
既知脆弱性への対応遅れ大臣会見で、悪用された脆弱性は事前に把握していたが緊急度の高いものではなく、緊急度の高い他の脆弱性から順にパッチ適用を進めていた最中に悪用されたと説明した。
経緯
2026-06-25
検知
保守運用担当者のアカウントを利用してサーバ上の大量のファイルへのアクセスが行われたことを検知し、調査を開始。
2026-07-09
検知
第三者がVPN機器の脆弱性を利用して侵入し不正アクセスを行っていたことが判明。
2026-07-09
初動対応
当該アカウントを停止し、外部との通信を遮断。
2026-07-15
初動対応
個人情報保護委員会へ報告。
2026-09-11
公表
不正アクセスと約24.6万件の個人情報漏えいの可能性を公表。大臣が記者会見で説明し、Q&Aを掲載。
2026-09-12
続報
Q&Aを更新し、個人情報保護委員会への報告時期等を追記。
2026-09-15
続報
大臣会見で検知から判明・公表までに時間を要した理由等を説明。二次被害は確認されていないとした。
影響
GSS利用機関の職員等の個人情報GSS利用機関（独立行政法人を含む）の職員・公務員等に関する約18.9万件が漏えいした可能性。機関名は公表されていない。
事業者・個人の個人情報GSS利用機関の業務に携わる事業者・個人に関する約5.7万件が漏えいした可能性。
出典
最終更新 2026-09-15