デジタル庁の不正アクセス報告で分かったこと： 既知の脆弱性と情報公開の難しさ

デジタル庁は、運用するガバメントソリューションサービス（GSS）で不正アクセスがあり、個人情報を含むファイルの一部が外部に漏えいした可能性があると発表しました。

約24.6万件という規模に加えて、最初の異常が確認された6月25日から、一般向けの公表までの78日間にも注目しました。

この記事では、2026年9月14日時点で公開されている情報を整理します。
公式資料で確認できないことは、推測で補わず「不明」としています。

更新日： 2026年9月14日
対象事案： ガバメントソリューションサービス（GSS）への不正アクセス

更新日： 2026年9月24日
情報を整理および追加

先に結論： 慎重な公表には理由がある一方、経過説明には課題が残ります

今回の事案について、現時点で確認できることは次のとおりです。

• 6月25日： 大量のファイルアクセスを検知しました。
• 7月9日： VPN機器の既知の脆弱性を利用した侵入と判明しました。
• 7月15日： 個人情報保護委員会へ報告しました。
• 9月11日： 個人情報が漏えいした可能性を一般向けに公表しました。
• 悪用されたVPN製品、CVE番号、脆弱性の具体的内容は公表されていません。
• 攻撃者の身元、目的、犯行声明の有無は不明です。

個人情報保護委員会への報告が適切に行われていたのであれば、一般向けの公表を一定の確認後に行う判断は理解できます。
今回の情報は、一般の利用者情報ではなく、府省庁等の職員や業務関係者の情報が中心である点も考慮された可能性があります。

一方、7月9日から9月11日までの間に、一般向けの中間報告は確認できません。
攻撃者への情報提供を避ける必要があるとしても、調査中であることや、関係者に注意を促す第一報を出せなかったのか。
この点は、今後さらに説明が求められそうです。

なにがあったのか

まずは、事象の概要を整理します。

GSSで外部からの不正アクセスが発生

デジタル庁によると、6月25日、保守運用担当者のアカウントを使って、サーバ上の大量のファイルにアクセスされたことを検知しました。
調査の結果、第三者がネットワーク接続機器であるVPNの脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが7月9日に判明しました。

デジタル庁は同日、関係するアカウントを停止し、侵害された機器と外部との通信を遮断しました。
その後、修正プログラムの適用や認証情報の変更なども行い、新たな不正アクセスや不審な通信は確認されていないと説明しています。
また、GSSを利用する政府業務そのものには、支障が生じていないとされています。

脆弱性は既知のもの

今回悪用された脆弱性は、攻撃が確認される前に公表されていた既知の脆弱性でした。
デジタル庁のQ&Aによると、当初公表されていた脆弱性評価は、CVSSで「中（Medium）」でした。（CVSSは、脆弱性の深刻度を評価する仕組みです。）

デジタル庁は、一般的な対応よりも早く対処を進めていたと説明しています。
しかし、修正プログラムの適用前に悪用される結果となりました。

製品名、型番、CVE番号、攻撃方法などは、セキュリティ確保への支障を理由に公表されていません。
したがって、現時点で「どの製品の、どの脆弱性か」は不明です。

被害規模と情報の性質

漏えいした可能性がある個人情報は、約24.6万件です。

対象	件数
GSS利用機関の職員・業務に携わった公務員等	約18.9万件
GSS利用機関の業務に携わった事業者・個人	約5.7万件
合計	約24.6万件

情報の属性は、重複を含めて次のとおりです。

情報の種類	件数
氏名	約23.6万件
メールアドレス	約23.1万件
電話番号	約9.4万件
住所	約0.1万件

公務員等には、独立行政法人の職員も含まれます。
また、電話番号や住所の多くは個人の私的連絡先ではなく、庁舎所在地や業務用の連絡先であると説明されています。

デジタル庁は、一般の国民の個人情報は含まれないと説明しています。
公務員以外では、業務に携わった企業の従業員や個人事業主、ウェブ会議の参加者などの情報が含まれる可能性があります。

また、マイナンバー、金融機関口座情報、年金番号などは含まれていないとされています。

電話番号や住所についても、個人の私的な情報ではなく、府省庁の庁舎所在地や業務用の連絡先が多いと説明されています。
この点で、通販サイトや金融サービスからの情報漏えいとは性質が異なります。

ただし、氏名やメールアドレスがまとまって漏えいすれば、政府機関や関係機関を装った連絡に利用される可能性があります。
情報の性質が限定的だからといって、影響がないとは言えません。

公開されている時系列

今回の事象に関する時系列の整理です。

日付	確認できる出来事
2026年6月25日	保守運用担当者のアカウントによる大量ファイルアクセスを検知
7月9日	VPNの脆弱性を利用した侵入と判明。アカウント停止、外部通信遮断
7月15日	個人情報保護委員会へ報告
9月11日	個人情報が漏えいした可能性を一般向けに公表。Q&Aも掲載
9月12日	Q&Aに個人情報保護委員会への報告日などを追記

さらに細かい時系列

日付	事象・対応	情報源・確度
2026年6月25日	保守運用担当者のアカウントを利用したサーバ上の大量ファイルへのアクセスを検知。調査を開始	デジタル庁公式
2026年6月25日以降	不正アクセスの有無、侵入経路、影響範囲、漏えい可能性のある情報を調査	デジタル庁公式
2026年7月9日	第三者がVPN機器の脆弱性を利用してシステムへ侵入していたことが判明	デジタル庁公式
2026年7月9日	保守運用担当者アカウントを停止	デジタル庁公式
2026年7月9日	侵害された機器と外部との通信を遮断	デジタル庁公式
2026年7月9日	VPNへの修正プログラム適用、関係アカウントの認証情報変更等を実施	デジタル庁公式Q&A
2026年7月15日	個人情報保護委員会へ、不正アクセスおよび個人情報漏えいのおそれを報告	デジタル庁公式Q&A
2026年7月以降	外部専門事業者の協力を得て、対象情報・対象者・漏えい可能性を調査	デジタル庁公式
2026年9月11日	デジタル庁がGSSへの不正アクセスと、約24.6万件の個人情報漏えい可能性を公表	デジタル庁公式、大臣会見
2026年9月11日	対象者向け問い合わせ窓口を設置。対象者を特定し、順次個別連絡すると発表	デジタル庁公式
2026年9月12日	不正アクセスの経緯、個人情報保護委員会への報告、原因、被害規模、再発防止策等のQ&Aを更新	デジタル庁公式
2026年9月14日	技術系メディアが、既知脆弱性、保守運用アカウント、ゼロトラストとの関係を分析	報道・専門解説
2026年9月15日	自民党の国家サイバーセキュリティ戦略本部等が政府から説明を受け、原因究明と再発防止を協議	自民党公式
2026年9月24日時点	デジタル庁公式ページ上、追加の被害件数・攻撃者特定・具体的再発防止策の公表は確認できない	公開情報調査による確認

6月25日から9月11日までは78日です。
侵入が判明した7月9日から数えると64日、個人情報保護委員会への報告からは58日です。

デジタル庁は、侵入経路の分析、漏えいした可能性がある情報の特定、対象者の確認などに時間を要したと説明しています。
時間を要した理由は不明です。

再発防止策から学べること

発生してしまったことは致し方ありません。
事象からの学びが大事だと思うのです。

根本原因の整理

層	確認できる問題	評価
外部接続機器	VPN機器に既知の脆弱性が存在していた	事実
脆弱性管理	脆弱性は公表前に把握されていたが、修正プログラム適用前に悪用された	事実
リスク評価	当初の脆弱性評価はCVSS「Medium」相当だった	事実
パッチ適用	一般的な深刻度評価に応じて適用作業を進めていたが、適用完了前に攻撃を受けた	事実
アカウント管理	保守運用担当者のアカウントが攻撃者に利用された	事実
認証情報管理	攻撃者がどのようにアカウントを利用可能にしたか	不明
権限管理	当該アカウントから大量のファイルへアクセスできた	事実。ただし権限設計の詳細は不明
内部防御	侵入後、一定範囲の大量アクセスを許す結果となった	事実
監視・検知	大量アクセスを6月25日に検知したが、侵入の確定は7月9日	事実
データ保護	個人情報を含むファイルが、侵害されたアカウントからアクセス可能だった	事実
ゼロトラスト	GSSはゼロトラストの考え方を取り入れていたが、今回の侵入・漏えい可能性を防げなかった	事実
詳細構成	セグメンテーション、DLP、EDR、MFA等の具体的実装	不明

脆弱性対策は、深刻度だけで判断しない

今回の脆弱性は、当初の評価では「中」でした。
しかし、実際には攻撃者に悪用されています。

「中」と評価された脆弱性が安全という意味ではありません。
外部から接続できる機器か、攻撃が広がる可能性があるか、扱う情報が重要かといった事情によって、急いで対応すべきケースがあります。

デジタル庁も、今回の事案を踏まえ、政府情報システムの重要性を考慮し、実質的なリスクに基づいて、より迅速に対応できるよう脆弱性管理を強化するとしています。

危険なのは、修正プログラムが公表される前のゼロデイ攻撃だけではありません。
既知の脆弱性でも、適用前に攻撃される可能性があります。

VPNそのものが危険というわけではない

今回の侵入口がVPN機器だったため、「VPNは危険なのではないか」と感じる方もいるかもしれません。
よく言われる話でもあるのですが。。

VPNは安全な通信を実現するために広く利用されている仕組みです。
問題は、VPNという方式そのものではなく、利用していた機器に脆弱性があり、修正プログラムの適用前に悪用されたことです。

デジタル庁は、再発防止策として、脆弱性管理方法の見直しに加え、外部からの接続方法の改善を挙げています。
具体的な構成や対策内容は、攻撃者を利する可能性があるとして公表されていません。
いずれは、実施事例や成功事例といったかたちで、概要が見えるかもしれません。

異常なアクセスを検知できた点は重要です

6月25日に大量のファイルアクセスを検知できたことは、被害の早期把握と封じ込めにつながったと考えられます。

ただし、公開資料だけでは、どの監視機能がどのように検知したのか、検知までに攻撃者が何を行ったのかは分かりません。
監視体制が十分に機能したかどうかは不明です。
少なくとも、異常なアクセスを把握して調査を開始できたことは確認できます。
何らかの仕組みが働いたのでしょう。これが期待どおりだったのかどうかは、知りたい情報です。

情報公開まで時間を要した理由をどう考えるか

事象発生からの78日や64日をどうとらえるべきでしょうか。
ここは難しい話です。

個人情報保護委員会への報告は6日後

デジタル庁は、7月9日に個人情報漏えいのおそれを確認した後、7月15日に個人情報保護委員会へ報告したと説明しています。
発覚から約1週間です。

個人情報保護委員会は、不正アクセスなど一定の漏えいまたはそのおそれについて、行政機関等にも報告を求めています。
報告はまず速やかに行うこととされています。
具体的な日数は決まっていません。

公開情報を見る限り、個人情報保護委員会への報告は適切な期間と考えられるでしょう。

一般向けの公表は別の判断

個人情報保護委員会への報告と、一般向けの公表は同じものではありません。

一般向けに公表すると、攻撃者にシステムの状況を推測される可能性があります。
また、被害範囲が固まっていない段階で発表すれば、関係者に混乱や不安を与えるおそれもあります。

今回は、悪用された製品や脆弱性の詳細を伏せる必要があり、対象者を特定して順次連絡する必要もありました。
攻撃者に利益を与えないよう慎重に判断したという説明は、十分に理解できるものです。

一方、7月9日から9月11日まで、一般向けの中間報告は確認できません。
政府機関のセキュリティに関する統一基準は、インシデント対応や政府内の報告を定める枠組みですが、「一般向けに何日以内に公表する」という一律の期限を定めているわけではありません。

そのため、今回の対応が明確な基準違反だとは、公開情報だけでは言えません。
ただし、調査中であることを知らせる第一報や、個人情報を含む可能性があるため不審な連絡に注意してほしいという注意喚起は、詳細を明らかにせずに行う余地がありました。

中間報告を出すかどうかは、攻撃者への情報提供、捜査、対象者の保護、誤情報の拡散防止を同時に考える難しい判断です。
今回については、「調査に時間を要した」という説明はありますが、なぜ中間報告を見送ったのかという判断基準までは公表されていません。

とはいえ、当事者の立場だったらと考えると、かなり難しい判断だと理解できます。

類似事例だけでは判断できない

国立研究開発法人量子科学技術研究開発機構（QST）は、個人情報漏えいの有無が確定していない段階で、不正アクセスと漏えいの可能性を公表した事例があります。
調査中でも第一報を出す方法の一例です。

一方、JAXAでは、侵入経路やマルウェア、クラウドサービスへのアクセスなどを長期に調査した後、詳細な対応状況を公表した事例があります。

ただし、時期、攻撃の複雑さ、扱っていた情報、関係機関との調整状況が異なります。
公表までの日数だけを比べて、どちらが正しいと判断することはできません。

一般の方にも関係する注意点

デジタル庁は、漏えいした可能性のある情報が、なりすましメールやフィッシングメールなどに悪用される可能性があると注意喚起しています。

次のような連絡には注意が必要です。

• デジタル庁や府省庁を名乗り、リンクを開くよう求めるメール
• パスワード、認証コード、クレジットカード情報の入力を求める連絡
• 不正アクセスの調査を理由に、添付ファイルを開かせるメール
• 電話やSMSで、至急の手続きや本人確認を求める連絡

デジタル庁は、メールや電話でパスワード、クレジットカード情報などを尋ねることはないとしています。
心当たりのない連絡は、メール内のリンクや添付ファイルを使わず、公式サイトから確認してください。

犯人は不明

2026年9月14日時点で、攻撃者の身元、所属、目的、使用した具体的な手法は公表されていません。
犯行声明や、特定の攻撃グループとの関係が確認されたという情報も見当たりません。

したがって、「誰が何のために行ったのか」は不明です。
今後、警察や関係機関の調査によって情報が追加される可能性はありますが、現時点で予測することはできません。

また、脆弱性を悪用した人物が、いわゆるホワイトハッカーだったと判断できる材料もありません。
今回は、第三者が侵入し、個人情報を含むファイルが外部に漏えいした可能性がある事案として公表されています。

そういう意味では、これが中間報告なのかもしれません。

情報システム部門向けの実務上の示唆

今回の事案は、VPNの既知の脆弱性を入口とした侵害であり、保守運用アカウントを経由して個人情報を含む大量ファイルにアクセスされた可能性がある事案です。

単純化すると「VPNにパッチを当てるのが遅れた事件」と捉えられますが、企業の情報システム部門が重視すべき本質は、次の3点と考えられます。

1. 重要な共通基盤では、脆弱性の一般的な深刻度だけでなく、資産の重要性を踏まえて対応する必要がある（CVSSの優先度だけでは決められない）
2. 侵入防止だけでなく、特権アカウントの悪用や大量データアクセスを想定して被害範囲を限定する必要がある
3. ゼロトラストは製品導入やネットワーク構成だけでは成立せず、ID、端末、アプリケーション、データ、運用プロセス全体で継続的に検証する必要がある

現時点では、攻撃者の特定、実際の流出量、認証情報の取得方法、具体的な再発防止策は不明です。
したがって、現段階での最も妥当な評価は、「侵入経路と影響可能性は公表されたが、攻撃者の帰属および最終的な情報流出の全容は未確定」です。

まとめ： 慎重な公表と経過説明は両立できます

今回の事案からは、いくつかの教訓が得られます。

第一に、脆弱性の深刻度が「中」であっても、外部接続機器では迅速な対応が必要です。
第二に、監視によって異常な大量アクセスを把握し、封じ込めにつなげることが重要です。
第三に、情報の性質に応じて、対象者への個別連絡と一般向けの注意喚起を分けて考える必要があります。

そして、情報公開は「すべてをすぐに公開する」か「調査が終わるまで何も言わない」かの二択ではありません。
製品名や攻撃手法を伏せたまま、確認できた事実、実施した封じ込め、今後の連絡方針を段階的に知らせる方法もあります。

今回、個人情報保護委員会への報告は7月15日に行われており、政府の統一基準から明確に逸脱したと判断できる材料は、現時点では確認できません。
一般向けの公表を慎重に行ったことにも、攻撃者への情報提供を避けるという合理的な面があります。

一方で、7月9日から9月11日までの間に中間報告を行わなかった理由や、その判断基準は、まだ十分に説明されていません。
今後は、同様の事案で、どの段階で何を公表するのかを、より明確に示すことが信頼につながるのではないでしょうか。

問題点と課題の整理

問題点	発生した事象	今後の課題
既知脆弱性の修正前に悪用された	VPN機器から侵入された	重要資産についてはCVSSだけでなく、資産重要度・露出度・攻撃情報を加味して緊急対応する
パッチ適用までの防御が不明確	修正プログラム適用前に攻撃を受けた	パッチ適用待ちの期間に、外部接続制限、仮想パッチ、機器隔離、監視強化を標準化する
保守運用アカウントが悪用された	当該アカウントで大量ファイルへアクセス	特権ID管理、MFA、JIT/JEA、接続元制限、作業時間制限、承認制を強化する
大量ファイルアクセスが発生した	6月25日に大量アクセスを検知	平常時の行動ベースライン、異常アクセスの自動遮断、データ持ち出し検知を実装する
個人情報ファイルへアクセス可能だった	約24.6万件の漏えい可能性	ファイル単位のアクセス制御、データ分類、暗号化、トークン化、DLPを強化する
共通基盤の集中リスク	複数府省庁・関係者の情報が影響対象となった	システム・組織・データ・認証基盤の分離、影響範囲限定、冗長化・分割を進める
ゼロトラストの実効性が問われた	ゼロトラスト導入下で侵入・漏えい可能性が発生	「導入済みか」ではなく、境界機器、ID、端末、アプリ、データ各層の検証状況を評価する
公表まで約2か月を要した	6月25日検知、9月11日公表	調査を継続しながら、早期の暫定公表、対象者保護、段階的な情報更新を検討する
情報公開の粒度が限定的	製品名、脆弱性番号、対象府省庁等は非公表	防御上の秘匿と、利用者・社会への説明責任のバランスを取る
委託・運用体制の詳細が不明	職員・外部事業者が保守運用に関与	委託先を含む責任分界、特権ID管理、監査ログ、緊急時の指揮命令系統を明確化する