2026年9月11日、デジタル庁は政府共通の業務基盤「ガバメントソリューションサービス（GSS）」への不正アクセスにより、職員ら約 24.6万件 の個人情報が外部に漏えいした可能性があると発表しました。報道の入口としては Yahoo!ニュースのピックアップ などでも大きく扱われています。
入口は「VPN 機器の脆弱性」。境界に置いた装置の穴から入り、保守運用のアカウントを使ってサーバ上の大量ファイルへ触れた、という構図です。巨大な政府基盤の話ですが、外に面した VPN／ゲートウェイをどう扱うかという点では、小さなサーバー運用とも地続きです。
何が起きたのか（公式の骨格）
デジタル庁の発表を短くまとめると、次のとおりです。
- 2026年6月25日
保守運用担当者のアカウントで、サーバ上の大量ファイルへのアクセスを検知し、調査を開始。
- 7月9日
第三者がネットワーク接続機器（VPN）の脆弱性を利用して侵入していたことが判明。同日、当該アカウントを停止し、侵害機器と外部の通信を遮断。
- その後の調査
個人情報を含むファイルの一部が外部に漏えいした可能性があると確認し、9月11日に公表。
対象は GSS を使う各府省庁等の職員や、その業務に携わった人々です。一般市民の個人情報は含まれていない、とされています。属性としては氏名・メールアドレス・電話番号・住所などで、マイナンバーや口座情報、年金番号は含まれていないとのことです。公務員等約18.9万件、事業者・個人約5.7万件という内訳も示されています。
報道側では、悪用された VPN の脆弱性が 既知 で、深刻度は CVSS の Medium（中）だったこと、パッチ適用の優先順位のあいだに侵害を受けた、といった説明も出ています（具体的な脆弱性名は非公表）。
いちばん引っかかるところ
件数の大きさは衝撃ですが、技術の話として気になるのは次の三点です。
1. 入口が「境界の VPN」だった
社内と外部をつなぐ VPN やファイアウォールは、常にインターネットに面しています。認証の前段で穴があれば、そこは中へ入る通用口になります。今回も、まず機器の脆弱性、次にアカウントの悪用、という順です。
「強いパスワードを付けた」だけでは足りない、という話でもあります。面している機器そのものの更新遅れが、入口を開けたままにする。
2. 「Medium」でも十分に危ない
深刻度が Critical でなくても、インターネットに晒された管理面の穴は、実害に直結しやすいです。優先度の高いパッチから順に当てる、という運用は現実的でも、外向きの接続装置は別枠で早く閉じる、という分け方をしていないと、ちょうど今回のような隙間に落ちます。
3. 検知から公表まで時間がかかっている
6月に検知、7月に侵入確定、9月に発表。調査と対象者特定に時間がかかるのは理解できます。一方で、利用側・対象者側から見ると「知らされていない期間」が長くなります。大規模基盤ほど、封じ込めと説明のテンポがセットで問われます。現時点で二次被害は確認されていない、という公式の一文は重要ですが、なりすましやフィッシングへの注意喚起も同時に出ています。ここは個人でも同じで、漏えい後の二次攻撃のほうが日常的な脅威になりがちです。
小さな運用に落とし込むと
GSS そのものを運用しているわけではなくても、次はチェックリストに入れておきたいです。
- 外向きの VPN／リモート管理口を一覧し、パッチとサポート期限を別枠で追う（「中」だから後回し、にしない）
- 保守用アカウントは共有しない。権限は最小に。異常な大量アクセスを検知できる経路を持つ
- 「閉じたつもり」の入口（古い VPN アプライアンス、使っていない管理ポート）を棚卸しする
- 漏えい時に想定される二次被害（なりすましメール）への注意を、利用者向けに先に用意しておく
ぼくの。 側の小さなアプリでは、そもそもサーバーに個人情報を溜めない設計を基本にしています。それでも、管理用の入り口をインターネットに出すなら、今回の構図は他人事ではありません。VPN は便利な通路であり、いちばん狙われやすい扉でもある——その再確認として、この発表は読んでおく価値があります。
一次情報
- デジタル庁: ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について（2026年9月11日）
- 報道の入口例: 政府職員らの情報 24万件漏えいか - Yahoo!ニュース
事実関係の詳細・対象者への連絡は、必ず公式発表と窓口を確認してください。