デジタル庁 GSS 2026年 VPN機器の弱点からのファイルの閲覧

公表済みで修正待ちだった VPN 機器の脆弱性から第三者が入り、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスした。深刻度が中という評価で順に当てていた修正が、悪用に間に合わなかった。

GSS はデジタル庁が運用するガバメントソリューションサービス。2026年9月11日の発表と大臣の会見、9月12日更新のQ&Aに沿って書いています。その時点で、VPN 機器には修正が当たり、当該アカウントは止められ、関係する認証情報は替えられ、侵害された機器と外の通信は断たれています。以後の新たな不正アクセスと不審な通信は確認されていないとされます。調査は続いており、機器の製品名、CVE番号、侵入の始まり、アカウントを得た方法、アクセスされたファイルの数は公表されていない。

要点

  • 漏えいの可能性があるのは約24.6万件。GSS を使う機関の職員などが約18.9万件、業務に携わった事業者と個人が約5.7万件。一般の人の情報、マイナンバー、口座、年金番号は含まない。
  • 悪用された脆弱性は攻撃の前に公表されており、当初の評価は CVSS で中だった。デジタル庁は評価に応じた一般の対応より早く進めたが、修正の適用前に悪用された。
  • 検知は6月25日、保守運用担当者のアカウントによる大量のファイルへのアクセスから。VPN 機器からの侵入と分かったのは7月9日。
  • 根本の直しは、外に開いた入口の機器を、深刻度の点数でなく置き場所で最優先に直すこと。入られても1つのアカウントで大量に読めない作りが次の網になる。

何が起きたか

時期の分からない侵入のあと、6月25日に大量のファイルへのアクセスを検知し、7月9日に VPN 機器からの侵入と分かって遮断し、7月15日に個人情報保護委員会へ報告し、9月11日に公表した 時期は不明 VPN 機器の 脆弱性から侵入 2026年6月25日 大量のファイルへの アクセスを検知 7月9日 侵入経路が判明 停止と遮断 7月15日 個人情報保護 委員会へ報告 9月11日 公表と 個別の連絡 経路が不明 14日 検知から公表まで約2か月半。帯の長さは時間の比ではない
図1 発表された経緯。検知は2026年6月で、侵入の始まりは公表されていない
日付発表の内容
時期の記載なし第三者がネットワーク接続機器である VPN の脆弱性を悪用して侵入した。脆弱性は攻撃の確認より前に公表されていた[1][2]
2026年6月25日保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスされたことを検知し、調査を始めた[1]
7月9日VPN 機器の脆弱性からの侵入と判明。同日、当該アカウントを止め、侵害された機器と外の通信を断った[1]
7月15日個人情報保護委員会へ報告[2]
9月11日公表。対象の人へ順に個別に連絡し、専用の窓口を設けた[1][2]
9月12日Q&Aの更新。修正の適用、関係する認証情報の変更、外の通信の遮断を済ませ、以後の新たな不正アクセスと不審な通信は無いとする[2]
項目約の件数
計24.6万件
GSS を使う機関の職員や公務員など。独立行政法人の職員を含む18.9万件
業務に携わった事業者と個人5.7万件
属性の内訳。重複あり氏名23.6万、メールアドレス23.1万、電話番号9.4万、住所0.1万

件数は9月11日の発表による[1]。不正アクセスの跡がある記録を広く含めた漏えいの可能性の数で、電話番号と住所の多くは職場のものとされる。二次被害は確認されていない[2]。

ファイルの数ではない

約24.6万は個人情報の件数である。アクセスされたファイルの数は、発表、Q&A、会見のどれにも出ていない。大臣はファイルの数を明らかにしなかった[3]。

通った道筋

インターネットから VPN 機器の脆弱性を突いて中に入り、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスした インターネット GSS 第三者 送信元は不明 VPN 機器 公表済みの脆弱性 修正の適用前 保守運用 担当者の アカウント サーバー 大量のファイル 約24.6万件 得た方法は非公表 ここで検知 業務は機器を切り離して止まらなかった
図2 侵入の道筋。機器の製品名、アカウントを得た方法、サーバーの名前は公表されていない

発表とQ&Aで分かるのは、入口が VPN 機器の脆弱性で、中では保守運用担当者のアカウントが使われ、サーバー上の大量のファイルにアクセスされたことまでである[1][2]。VPN 機器は GSS のシステムの一部として、デジタル庁が職員と場合により外部事業者への委託で管理していた[2]。

脆弱性は攻撃の前に公表されていて、当初の評価は CVSS で中だった。Q&Aは、深刻度の評価に応じた一般の対応より早く対処を進めたが、修正の適用前に悪用されたと書く[2]。大臣は会見で、脆弱性は把握していたが緊急度が高くないとの評価で順に修正を当てており、その間に侵入されたと述べた[3]。GSS はゼロトラストの作りを採っていたが、侵入と漏えいの可能性は防げなかった[2]。

どこで止められたか

入口の機器、アカウント、大量の読み取り、経路の特定の4段それぞれの下に、止める仕組みを置く 1 入口 修正待ちの VPN 2 アカウント 保守運用担当者 3 大量に読む サーバーのファイル 4 経路の特定 検知から14日 入口の修正 外に開いた機器は 点数より先に直す アカウント 端末と多要素を 毎回確かめる 読める量 役目の範囲と 量の上限 機器の記録 入口の機器の ログを外に残す
図3 侵入が進む4段と、それぞれで止める仕組み。この件で効いたのは3段目の検知
段この件で発表されたこと止める仕組み
1 入口公表済みで深刻度が中の脆弱性が、修正の適用前に悪用された[2][3]インターネットに開いた機器の脆弱性は、点数でなく置き場所で優先する。悪用が知られた脆弱性の一覧を優先順位の入力にする[4]
2 アカウント保守運用担当者のアカウントが使われた。得た方法は非公表[1]VPN の内側でも、操作のたびに主体と端末を確かめる。保守のアカウントは使う時だけ有効にする
3 大量に読む大量のファイルへのアクセスで検知した[1]アカウントごとに読める範囲を役目に絞り、量の急な増えで警告し止める
4 経路の特定検知から侵入経路の判明まで14日[1]入口の機器のログを機器の外に残し、侵害の跡を早く追える形にする

1 入口。根本の段

CVSS の基本値は、脆弱性そのものの性質の点数で、その機器がインターネットに開いた入口かどうかは入らない。Q&Aと会見から読めるのは、深刻度が中という評価に沿って順に当てていた間に悪用されたことである[2][3]。CISA は、実際に悪用された脆弱性の一覧を脆弱性管理の優先順位付けの入力に使うよう求める[4]。外に開いた入口の機器は、点数が中でも、悪用が報じられた時点で他より先に直すか、外への公開を止める。デジタル庁は再発防止に、脆弱性の管理の強化と外からの接続環境の見直しを挙げる[2]。

保守用の VPN 機器を入口にした国内の例に、半田病院 2021年、大阪急性期・総合医療センター 2022年、名古屋港 2023年 がある。部品の既知の脆弱性の扱いは A03 ソフトウェアサプライチェーンの不備 の型1にある。

2 から 4 入られた後

この件で検知の手がかりになったのは、1つのアカウントが大量のファイルにアクセスしたことだった[1]。量で気付けたなら、量で止める規則も置ける。保守運用のアカウントが日常の作業で読む量を超えたら、警告だけでなく一時に止める。Q&Aは、侵入を防ぐ策に加え、侵入があっても影響を最小にする策を強めるとする[2]。記録と警告の置き方は A09 セキュリティログとアラートの不備、アカウントの範囲は A01 アクセス制御の不備 にある。

守り方

根本の直し
  • インターネットに開いた入口の機器を台帳にし、その脆弱性は深刻度の点数より置き場所で優先して直す。悪用が知られたら、修正が当たるまで外への公開を止める[4]。
  • 外からの接続の入口そのものを減らし、保守の接続は使う時だけ開く。デジタル庁は外からの接続環境の見直しを再発防止に挙げる[2]。
緩和の策
  • 保守運用のアカウントの読める範囲を役目に絞り、ファイルの読み取りの量に上限と警告を置く。A01 アクセス制御の不備
  • 入口の機器のログを機器の外に送り、侵害の跡を早く追えるようにする。A09 セキュリティログとアラートの不備
  • 侵入が分かったら、アカウントを止め、機器と外の通信を断ち、修正を当て、関係する認証情報を替える。この件で取られた順である[1][2]。

参照

  1. ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について デジタル庁、2026年9月11日
  2. ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性についてに関するQ&A デジタル庁、2026年9月12日更新
  3. 松本大臣記者会見 令和8年9月11日 デジタル庁、2026年9月11日
  4. Known Exploited Vulnerabilities Catalog CISA