デジタル庁「ガバメントソリューションサービス（GSS）」へのVPN機器脆弱性を悪用した不正アクセス
公表日
デジタル庁が運用する、国の役所が共通で使う仕事用のシステム「GSS」に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、公務員や関係する事業者など最大約24.6万件の個人情報が外部に漏れたおそれがあります（流出が確定した件数は公表されていません）。
対象者は？
GSSを使う府省庁などの職員や業務に関わった公務員（独立行政法人の職員を含む）約18.9万件と、業務に関わった事業者・個人 約5.7万件です。漏れたおそれがあるのは氏名・メールアドレス・電話番号・住所などで、マイナンバー、銀行口座、年金番号、一般の方の個人情報は含まれないとされています。どの府省庁が対象かは公表されていません。
デジタル庁は、対象と特定できた人から順に個別に連絡するとしています。専用のフリーダイヤルとメール窓口が設けられており、公式のお知らせとQ&Aで詳しい内容を確認できます。
いますぐできること
- デジタル庁や府省庁を名乗るメールのリンクや添付ファイルは開かない。仕事のメールアドレスあてに来る不審なメールに特に注意する
- 業務用の電話番号に、役所や関係者を名乗る不審な電話がないか気をつける
何が起きたのか
2026年6月25日、保守運用の担当者のアカウントで、サーバー上の大量のファイルが読まれていることが見つかりました。正規の作業かどうかをすぐには判断できず、7月9日に第三者が侵入していたと分かりました。デジタル庁は同じ日にそのアカウントを止め、侵入に使われた機器と外部との通信を遮断しました。報道によると、侵入は5月下旬ごろから繰り返されていました。公表は9月11日で、見つかってから約2か月半後でした。
なぜ起きたのか・なぜ広がったのか
侵入口は、外部から保守作業をするために使われていた接続機器（VPN）の、すでに知られていた弱点（脆弱性）でした。デジタル庁はこの弱点を把握していましたが、深刻さの評価が「中」だったため、より優先度の高い対応を先に進めており、修正プログラムを当てる前に悪用されました。犯人は保守担当者のアカウントを使ってファイルにアクセスしましたが、そのアカウントの情報をどう手に入れたかは公表されていません。機器の製品名も公表されていません。
いまの状況2026-09-15 時点続報待ち
修正プログラムを当て、関係するアカウントのパスワードなどを変更しました。その後、新たな不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されておらず、GSSの業務にも支障はないとしています。公表に時間がかかった理由について、大臣は「調査の途中で情報を出すと、どこまで調べられるかを攻撃者に知られるおそれがあった」と説明しています。二次被害は確認されていません。攻撃者や再発防止策の詳細は、まだ発表されていません。
企業として考えたいこと
自社では、外部の保守会社がネットワークに入るための機器や経路を把握していますか。その機器の弱点が見つかったとき、深刻さの評価が「中」でも、いつまでに直すかは決まっているでしょうか。
技術的な要約
デジタル庁が運用する政府共通の業務実施環境GSSで、外部からの保守運用に使われていたネットワーク接続機器（VPN）の既知の脆弱性が悪用され、第三者が保守運用担当者のアカウントでサーバ上のファイルに不正アクセスした。2026年6月25日に大量ファイルアクセスを検知し、7月9日に第三者による侵入と判明、同日アカウント停止と侵害機器の外部通信遮断を実施した。時事通信によれば侵入は5月下旬ごろから繰り返されていた。府省庁等の職員・公務員約18.9万件と事業者・個人約5.7万件、計約24.6万件の個人情報（氏名・メールアドレス・電話番号・住所等）が外部に漏えいした「おそれ」があり、漏えいは確定していない。公表は9月11日で、検知から約2.5か月を要した。脆弱性はパッチ適用待ちのCVSS「中」評価のもので、製品名とCVEは非公表。
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認外部からの保守運用に使われていたネットワーク接続機器（VPN）の脆弱性を悪用して侵入し、保守運用担当者のアカウントを悪用してサーバ上のファイルにアクセスした（デジタル庁公表）。脆弱性は攻撃前に公表済みで、デジタル庁も把握していたが、CVSS『中』評価のため優先度の高い他の脆弱性への対応を先行させており、修正プログラムの適用前に悪用された。保守運用アカウントの認証情報をどう取得したかは公表されていない。製品名・脆弱性の内容は『今後のセキュリティ確保のため』非公表。
- 脆弱性
- CVE-2026-0257報道・研究者Palo Alto Networks PAN-OS GlobalProtect（ポータル/ゲートウェイ）。修正版: 12.1.7、11.2.12、11.1.15、10.2.18-h6 以降ほか各系統のホットフィックス【推測・未確認】piyolog（piyokango氏）が該当の可能性を指摘したもので、デジタル庁・報道は製品名もCVEも確認していない。認証オーバーライドCookieを有効にし、Cookieの暗号化に使う証明書をポータル/ゲートウェイのHTTPS用証明書と共有している非デフォルト構成で、公開鍵からCookieを偽造してVPN接続できる認証バイパス。ベンダー公表は2026-05-13。Rapid7は最も早い悪用を5/17に観測しており、当初のCVSSv4は4.7（Medium）だったが5/29に7.8（High）へ改訂されたとしている。piyologによれば同日CISA KEVに登録。『公表当初の評価が中』『5月下旬侵入開始』という公表内容と時期が合うことが推測の根拠。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし Q&Aでは、GSSの業務への支障はなく、影響は当該システムに限られ他システムへの被害も確認されていないとしている。封じ込めとして侵害機器の外部通信を遮断し、保守運用アカウントを停止した。
- データ
- おそれ上限 246,000確定 —件氏名メール電話住所公表値は約24.6万件で、内訳はGSS利用機関の職員や業務に携わった公務員等（独立行政法人職員を含む）約18.9万件、業務に携わった事業者・個人約5.7万件。項目別（重複あり）は氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件。マイナンバー、金融機関口座情報、年金番号、一般の方の個人情報は含まれないとしている。『個人情報を含むファイルの一部が外部に漏えいした可能性』という表現で、流出確定件数は公表されていない。二次被害は確認されていない（9/15時点）。対象府省庁名は非公表。
- 波及先
- 23 機関（GSS利用機関・2026年7月末時点、約15.4万人）
- 金銭影響
- —
- サプライチェーン
- 政府共通基盤GSSの侵害で、利用する府省庁等の職員と、業務に携わった事業者・個人の情報が漏えいのおそれの対象になった。外部の保守運用経路（保守運用担当者アカウント・保守用VPN）が侵入口になった点は、委託先・保守運用の境界管理の問題でもある。保守運用を担う事業者名は公表されていない。（downstreamの利用機関数・利用者数はpiyologに記載の2026年7月末時点の値）
時系列
技術解説
公表された攻撃の構造 事実
デジタル庁の公表とQ&Aで確認できるのは次の連鎖。(1)外部からの保守運用に使うVPN機器に既知の脆弱性があり、パッチは未適用だった。(2)第三者がその脆弱性を悪用して侵入した。(3)保守運用担当者のアカウントの情報が取得され、そのアカウントでサーバ上の大量ファイルにアクセスした。(4)個人情報を含むファイルの一部が外部に出た可能性がある。侵入は報道によれば5月下旬ごろからで、検知は6/25、特定と封じ込め（アカウント停止、侵害機器の外部通信遮断）は7/9。少なくとも約1か月、長ければ約6週間、攻撃者が正規の保守経路の中にいたことになる。アカウント情報の取得方法（VPN機器からの認証情報窃取か、機器経由で別経路から取得したか）、持ち出したデータの量、外部送信の経路はいずれも公表されていない。影響はGSS内のシステムに限られるとしている。
CVE-2026-0257（PAN-OS GlobalProtect）仮説の検証 解釈
piyologはCVE-2026-0257の可能性を挙げた。根拠は3つある。(a)デジタル庁が『公表当初の評価は中』と述べており、Rapid7によれば当初4.7（Medium）で5/29に7.8へ改訂された経緯と合う。(b)5/13公表、5/17初観測という時期と『5月下旬侵入』が合う。(c)VPN接続そのものを確立する認証バイパスである。一方で反証もある。Rapid7が観測した事例では10社中8社でVPNセッションの確立に至らず、横展開も見られなかった。悪用には認証オーバーライドCookieの有効化と証明書の流用という非デフォルト構成が必要。ベンダーのページはBase 7.8で変わらず、変わったのはThreat Scoreだと説明しており、『当初Medium』の意味は資料によって異なる。同時期に公表されたMedium評価の別のVPN製品の脆弱性という可能性も排除できない。デジタル庁・報道・NCOはいずれも製品を特定していないため、本件では推測（reported）として扱う。
CVSSベースの優先度付けが失敗した点 解釈
大臣とQ&Aによれば、デジタル庁はこの脆弱性を把握していたが、深刻度が『中』のため緊急度の高い脆弱性から順にパッチを当てており、その途中で悪用された。インターネットに露出した境界機器について、CVSSの基本値だけで適用順を決めていたことが直接の原因と読める。仮にCVE-2026-0257だった場合、悪用観測（5/17）、KEV登録と評価改訂（5/29）から検知（6/25）まで4週間以上未適用だったことになる。境界機器では、CVSSよりも『インターネット露出か』『KEVやベンダーの悪用ステータスに載ったか』『EPSS』を優先度判定の上位に置くべきだった。ベンダーの回避策（設定変更）がある場合は、パッチ待ちの間に先に適用する運用も考えられた。いずれも公表事実からの解釈で、デジタル庁の内部運用の詳細は非公表。
検知から公表まで約2.5か月かかった理由 解釈
公式説明は2段階ある。(1)6/25から7/9の約2週間は、保守運用担当者という正規アカウントによる大量ファイルアクセスで、正規業務か不正利用かをすぐに判断できなかった。(2)7/9から9/11の約2か月は、侵入経路の分析、漏えいした可能性がある情報の特定、対象者の確認に時間がかかった。加えて9/15の会見では、調査途中の情報を出すと調査能力を攻撃者に示すおそれがあるとして、調査完了を待つ方針だったと説明している。個人情報保護委員会への報告は7/15で、特定から6日後。解釈としては、(1)は特権・保守アカウントの振る舞い監視に正規業務のベースラインがなく、1件のアラートを2週間で判定する体制だったことを示す。(2)は本人への通知・公表と攻撃者への情報秘匿のトレードオフで、氏名とメールアドレスが漏れたおそれのある約24.6万人がフィッシングを警戒できない期間が約2か月あった。この点は報道でも批判されている。
『ゼロトラスト』基盤に残った境界 解釈
GSSはゼロトラストネットワークアーキテクチャの活用をうたう政府共通基盤で、2026年7月末時点で23機関・約15.4万人が利用している（piyolog）。しかし保守運用には外部向けVPNという従来型の境界が残り、そこから入った通信と保守アカウントが、サーバ上の大量ファイルへ到達できた。大臣自身も『ゼロトラストでも穴が開いている可能性がある』と述べている。解釈すると、利用者（職員）の経路にはゼロトラストが適用されていても、運用者の経路（保守VPN→保守アカウント→ファイルサーバ）には、デバイス健全性の確認、セッションごとの認可、最小権限、ファイルの大量取得の制限が十分に効いていなかった可能性が高い。『運用者の経路こそ最も権限が強く、最も境界型のまま残りやすい』というのが本件の構造的な教訓である。自民党の本部長も『VPNの前段を含めた防御の再構築』を求めた。
対応
- 封じ込め
- 7/9に保守運用担当者アカウントを停止し、侵害されたVPN機器と外部との通信を遮断した。その後、修正プログラムを適用し、関係アカウントの認証情報を変更した。以後、新たな不正アクセスや不審な通信は確認されていないとし、監視を強化している。外部の専門事業者と調査した。
- 公表の仕方
- 9/11にお知らせ、Q&A（9/12追記）、大臣会見で公表し、9/15の会見で補足した。対象者には特定した人から順次個別に連絡する。専用フリーダイヤルとメール窓口を開設し、なりすましメールやフィッシングへの注意を呼びかけた。製品名、脆弱性の内容、対象府省庁名、再発防止策の詳細は『セキュリティ確保のため』非公表。
- 当局対応
- 個人情報保護委員会へ報告（2026-07-15）
- 警察庁およびNCO（国家サイバー統括室）へ報告・相談（9/15大臣会見）。NCO側の公表資料は確認できていない
- 2026-09-15 自民党サイバーセキュリティ対策本部等への説明（報道）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| インターネット露出の境界機器の脆弱性を、CVSS基本値（中）で後回しにした | インターネットに露出したVPN・FW・ゲートウェイのCVEは、CVSSにかかわらず次の規則で扱う。KEVまたはベンダーの悪用ステータス（例: ATTACKED）に載ったら72時間以内にパッチまたは回避策を適用する。それ以外は7日以内にベンダーの回避策を適用する。KEV、ベンダーPSIRT、JPCERT/CCの更新をSIEMやチケットに自動で取り込み、資産台帳と突き合わせてアラートを出す。 |
| 保守運用の外部接続が常設VPNという従来型の境界のまま残っていた | 保守経路をZTNA/PAM（特権アクセス管理）経由のJIT接続に置き換える。作業申請に紐づけて時間を区切って有効化し、通常時は閉じておく。端末証明書とデバイス健全性の検査、FIDO2によるMFA、セッション録画を必須にする。VPNを残す場合も、管理面とポータルを送信元IPで許可制にし、認証Cookieや証明書の使い回しなど非デフォルト機能の設定を点検する。 |
| 保守アカウント1つでサーバ上の大量ファイル（約24.6万件分の個人情報）に到達できた | 保守アカウントにはOS・ミドルウェアの運用権限だけを与え、業務データの共有領域への読み取り権限を外す（ロール分離）。個人情報を含む共有やファイルはアクセス制御リストで業務ロールに限定する。単位時間あたりのファイル読み取り数やバイト数に上限を設け、超えたら自動でブロックし、承認制にする。 |
| 正規アカウントによる大量アクセスを検知してから、不正と判断するまでに2週間かかった | 特権・保守アカウントについて、通常の作業時間帯、送信元、アクセス先の量のベースラインを作り、外れた場合は即時にセッションを切断してアカウントを一時停止する（判定より先に止める）プレイブックを用意する。保守アカウントの操作は作業チケットと自動で突き合わせ、チケットのない操作を即時に不正の疑いとして扱う。 |
| VPN機器自体のログや侵害痕跡が、侵入から約1か月見逃された | VPN機器の認証ログ（Cookie認証、割り当てIP、端末名、MACアドレス）とシステムログを外部のSIEMへ転送し、ベンダーやRapid7等が公表したIoC（例: 不審なホスティング事業者のIP、偽装MACアドレス aa:bb:cc:dd:ee:ff、端末名 DESKTOP-GP01 等）で、過去に遡って検索する手順を、脆弱性が公表された時点で必ず実施する。 |
| 公表まで約2か月かかり、漏えいのおそれがある本人がフィッシングを警戒できなかった | インシデント対応計画に段階的な開示を組み込む。特定時点で『事実・対象範囲の暫定値・本人が取るべき行動』だけを含む第1報を出し、技術的な詳細は後続の報で出す。メールアドレスが漏えいしたおそれがある場合に備え、なりすましメールへの注意喚起の文面テンプレートとDMARC（p=reject）の適用状況を事前に整えておく。 |
自組織などでの確認項目
- あなたの組織では、インターネットに露出した機器の『CVSS中』の脆弱性を何日以内に処理するルールになっていますか。KEV登録やベンダーの評価改訂を、誰がどの仕組みで検知して優先度を上げますか。
- 保守ベンダーや運用担当者のアカウントは、業務データ（個人情報を含むファイル共有）にどこまで到達できますか。今日その権限を棚卸しして削れる範囲はどこですか。
- 『調査途中の情報を出すと攻撃者を利する』という理由で約2か月公表を待った判断に賛成ですか。本人への注意喚起だけでも先に出すべきだったとすれば、どの時点で何を出しますか。
- ゼロトラストを導入済みとうたうシステムで、運用者・保守経路だけが従来型の境界のまま残っていないか、どう検証しますか。
未解明点
- VPN機器の製品名・バージョン・CVE（デジタル庁は非公表。CVE-2026-0257は研究者の推測で未確認）
- 初回侵入の正確な日時（報道は5月下旬ごろ）と、それ以前の侵入の有無
- 保守運用担当者アカウントの認証情報をどう取得したか（VPN機器からの窃取か、別経路か）
- 実際に外部へ送信されたデータ量と流出確定件数、外部送信の経路
- 攻撃者の属性・目的（国家支援型か犯罪者か）と、関連するIoC
- パッチ公開から攻撃までの未適用期間、および当時の脆弱性管理の運用手順
- 保守運用を担う事業者名と、委託契約上の責任分担
- 対象府省庁名、本人通知の進捗状況
- NCO（国家サイバー統括室）による独立検証の結果と公表の有無
出典
- 1デジタル庁2026-09-11公式本文確認済
- 2デジタル庁2026-09-11公式本文確認済
- 3デジタル庁2026-09-11公式本文確認済
- 4デジタル庁2026-09-15公式本文確認済
- 5デジタル庁公式本文確認済
- 6piyolog2026-09-11研究者本文確認済
- 7Palo Alto Networks2026-05-13研究者本文確認済
- 8
- 9ITmedia NEWS2026-09-11報道本文確認済
- 10ITmedia ビジネスオンライン2026-09-11報道本文確認済
- 11Security NEXT2026-09-11報道本文確認済
- 12INTERNET Watch2026-09-11報道本文確認済
- 13Impress Watch2026-09-11報道本文確認済
- 14時事通信（nippon.com）2026-09-11報道本文確認済
- 15NHK2026-09-11報道本文確認済
- 16@IT2026-09-14報道本文確認済
- 17ITmedia ビジネスオンライン2026-09-24報道本文確認済
- 18ScanNetSecurity2026-09-24報道本文確認済
- 19