■ BLACK OCTOBER

INCIDENT / 2026-09-11

デジタル庁 ガバメントソリューションサービス（GSS）への不正アクセスで職員らの個人情報約24.6万件が漏えいした可能性

HIGH / 高確認済み脆弱性不正アクセス情報漏洩

デジタル庁が運用するガバメントソリューションサービス（GSS）に、VPN機器の脆弱性を悪用した第三者が侵入し、職員や業務関係者の個人情報約24.6万件が漏えいした可能性がある。

概要

2026年6月25日、保守運用担当者のアカウントを使って大量のファイルにアクセスされたことを検知し、調査を開始した。7月9日には、第三者がネットワーク接続機器（VPN）の脆弱性を悪用して侵入していたことが判明した。漏えいした可能性があるのは、GSS利用機関の職員や公務員らの情報約18.9万件と、事業者や個人の情報約5.7万件。内容は氏名、メールアドレス、電話番号、住所などで、マイナンバー、金融機関の口座情報、年金番号、一般の人の個人情報は含まれていない。発表時点で二次被害は確認されていない。

経緯

経緯情報は未登録です。

原因

確認済みVPN機器の脆弱性保守運用担当者アカウントの悪用

第三者がネットワーク接続機器（VPN）の脆弱性を悪用して侵入し、保守運用担当者のアカウントを使って大量のファイルにアクセスした。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

一部確認
影響を受けたユーザー数
246,000
サービス停止
不明
金銭的被害
不明
対象システム
ガバメントソリューションサービス（GSS）、VPN機器

漏洩した情報

  • 可能性あり氏名
  • 可能性ありメールアドレス
  • 可能性あり電話番号
  • 可能性あり住所

GSS利用機関の職員や公務員らの情報約18.9万件と、事業者や個人の情報約5.7万件、合計約24.6万件が漏えいした可能性がある。発表時点で二次被害は確認されていない。

対応

該当アカウントを停止し、侵害された機器と外部との通信を遮断したうえで、外部の専門事業者と調査を行った。対象者には順次個別に連絡し、不審なメールや電話への注意を呼びかけている。

  • 該当アカウントの停止
  • 侵害機器と外部との通信遮断
  • 外部専門事業者による調査
  • 対象者への個別連絡
  • 不審な連絡への注意喚起
  • 脆弱性管理の方法の見直し
  • 外部からの接続方法の見直し

教訓・対策

  • VPN機器など境界機器の脆弱性管理を徹底する
  • 保守運用アカウントの異常なファイルアクセスを監視し、早期に検知する
  • 外部からの接続方法を見直す

参考資料

  1. デジタル庁のGSSに不正アクセス、職員らの個人情報約24.6万件が漏えいした可能性
    サイバーセキュリティ.com公開日: 2026-09-11報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

デジタル庁

関連するインシデント

関連付けられたインシデントはありません。