「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」に関するQ&A

本事案に関するQ&Aを掲載いたします。
なお、本事案については現在も調査を継続しており、セキュリティ対策上公表を差し控える事項があります。また、今後の調査により内容が更新される場合があります。予めご了承くださいますようお願い申し上げます。

1. 時系列・検知経緯について

Q：今回の事案の経緯は

A： 2026年6月25日、保守運用担当者のアカウントを利用してサーバ上の大量のファイルへのアクセスが行われたことを検知し、調査を開始しました。
調査の結果、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが7月9日に判明しました。
同日、当該保守運用担当者のアカウントを停止するとともに、外部との通信を遮断し、以後の不正アクセスを防止しました。 
検知当初の段階では、不正アクセスの有無や影響範囲が判明しておらず、侵入経路の分析や漏えいした可能性のある情報の特定、漏えいした可能性のある個人情報の対象者の確認などに相当の時間を要しました。
その結果、個人情報の漏えいの可能性が確認され、一定の事実関係を確認できた段階で、速やかに公表を行ったものです。

Q：なぜ、事案発見から公表まで時間を要したのですか。

A： 本事案については、不正アクセスを検知した直後から、被害の拡大防止措置を講じるとともに、外部の専門事業者の協力を得ながら事実関係の調査と漏えいした可能性のある情報の内容の確認を進めているところです。
検知当初の段階では、不正アクセスの有無や影響範囲が判明しておらず、侵入経路の分析や漏えいした可能性のある情報の特定、漏えいした可能性のある個人情報の対象者の確認などに相当の時間を要したものです。
その結果、個人情報の漏えいの可能性が確認され、一定の事実関係を確認できた段階で、速やかに公表を行ったものです。

2. 原因について

Q：なぜこのようなことが起こったのですか。原因は。

A： 今回の事案は、第三者がVPN機器の脆弱性を悪用して不正アクセスを行ったものであり、その結果、個人情報を含むファイルが外部へ漏えいした可能性があることを確認しており、デジタル庁として重く受け止めております。
デジタル庁としては、今回の事案を踏まえ、脆弱性対策については、政府情報システムの重要性を考慮し、より実質的なリスクに基づいて迅速かつ先行的な対応を行うことができるよう、脆弱性管理の強化に取り組んでまいります。

Q：本事案で悪用された脆弱性とは何ですか。

A： 今回の事案で悪用された脆弱性は、当初公表されていた脆弱性評価においては、中（CVSS値※Mediumレベル）のものでした。
具体的な脆弱性の内容については、今後のセキュリティ確保に支障を及ぼすおそれがあることから、お答えを差し控えさせていただきます。

  • ※CVSS（共通脆弱性評価システム(Common Vulnerability Scoring System)） 脆弱性の危険度・深刻度を0.0～10.0のスコアで評価する国際的な指標です。

Q：脆弱性は既知のものだったのでしょうか。また、適切な対策を行っていたのでしょうか。

A： 本事案の脆弱性については、攻撃が確認される前に、公表されていたものです。
デジタル庁においても、本件脆弱性について、公表された際の脆弱性の深刻度評価に応じた一般的対応よりも早く対処を進めました。
結果として、修正プログラムの適用前に当該脆弱性が悪用される事態となったことについては重く受け止めております。
今回の事案を踏まえ、脆弱性対策については、政府情報システムの重要性を考慮し、実質的なリスクに基づいて、一層迅速かつ先行的な対応を行うことができるよう、脆弱性管理の強化に取り組んでまいります。

Q：すでに脆弱性は解消されていますか。

A： 現時点では、修正プログラムを適用するとともに、確認された不正アクセスに対して、関係アカウントの認証情報の変更、外部との通信遮断などの必要な封じ込め措置を実施しており、その後、新たな不正アクセスや不審な通信は確認されておりません。引き続き監視強化を継続し、安全性の確保に努めてまいります。

3. 被害規模・件数について

Q：被害規模と人数はどのくらいですか。

A： 本事案で漏えいした可能性のある個人情報約24.6万件の内訳は、以下の通りです。

  • GSS利用機関の職員及びGSS利用機関の業務に携わった公務員等（※独立行政法人の職員を含む） の情報：約18.9万人
  • GSS利用機関の業務に携わった事業者及び個人の情報：約5.7万人

また、漏えいした可能性のある個人情報の属性は、多いものから主に

  • 氏名：約23.6万件
  • メールアドレス：約23.1万件
  • 電話番号：約 9.4万件
  • 住所：約 0.1万件

などとなっております。

Q：個人情報とはどんなものですか。

A： 漏えいした可能性があるファイルには、職員等の氏名、メールアドレス、電話番号、住所等の個人情報が含まれていることを確認しております。
システムを利用するにあたり、利用者登録等の申請書を提出する必要があり、そこに代表者の氏名や、業務に利用する電話番号、勤務先の住所などを記載する必要があり、その情報が漏えいした可能性があるというものです。
そのため、電話番号や住所の多くは個人のものではなく、各府省庁の庁舎所在地や、公務に使用する連絡先として登録されたものが大半であることを確認しております。
調査の結果、漏えいした可能性がある情報の中に、マイナンバー、金融機関口座情報、年金番号等の情報は含まれていないことを確認しております。

Q：一般の国民の個人情報は含まれますか。

A：一般の国民の個人情報は含まれません。
公務員以外の国民の個人情報については、GSSを利用している省庁等の業務に携わった企業の従業員や個人事業主、当該省庁等が行ったWEB会議に参加した者の氏名のほか、業務で使用するメールアドレスや電話番号、事業所の所在地が含まれています。

Q：24万件が漏えいしたのですか。「可能性」とはどういうことですか。

A： 不正アクセスの痕跡が確認された情報については、対象者の保護を最優先に考え、漏えいした可能性が否定できないものも含めて対象としているため、「可能性がある」という表現を使わせていただいております。

Q：GSSを利用する政府の業務に支障は生じなかったのですか。

A：本事案への対応として、侵害を受けた機器と外部との通信を遮断したものであり、GSSを利用する政府の業務に支障は生じておりません。

4. 管理体制・責任について

Q：VPN機器の管理体制を教えてください。

A：VPN機器は、GSSのシステムの一部として、デジタル庁が責任を持って管理をしているものです。マニュアル等整備をして、職員、それから場合によっては外部事業者に委託して適切に管理をしているという体制になっています。

Q：他に同様の不備のあったシステムや機器はないですか。

A： 本事案の影響は当該システムに限定されており、他のシステムへの不正アクセスや情報漏えい等の被害は確認されておりません。
本事案と同様の被害につながる事象は確認されておりませんが、サイバー攻撃の手法は日々高度化していることから、引き続き継続的な点検や監視を行うとともに、必要な対策を講じてまいります。

Q：脆弱性管理はどのように実施していたのですか。

A：当該システムにおいては、脆弱性情報の収集・評価を継続的に実施するとともに、システムで利用している機器やソフトウェアについて、ベンダーから公表される脆弱性情報や各種注意喚起情報を確認し、影響を評価した上で、必要な対策を講じる運用を行っておりました。
一方で、今回の事案については、攻撃者により脆弱性が悪用された結果、不正アクセスを許すこととなりました。この点については重く受け止めており、脆弱性情報の把握から評価・対策実施までのプロセスを改めて点検し、より迅速かつ確実に対応できるよう運用の強化を進めてまいります。

Q：GSSはゼロトラストアーキテクチャを採用していることから安全ではなかったのですか。

A： ゼロトラストアーキテクチャを採用しておりましたが、結果として不正アクセス及び情報漏えいの可能性が生じたことを重く受け止めております。
なお、GSSにおいて講じている具体的なセキュリティ対策の内容やシステム構成の詳細については、これを明らかにした場合、我々のシステムやセキュリティ対応に関する情報を開示することとなり、攻撃者を利するため、詳細は差し控えさせていただきます。
本事案で得られた知見を踏まえ、更なるセキュリティ強化に取り組んでまいります。

5. 今後の対応について

Q：個人情報が漏えいした可能性のある対象者への対応はどうなるのですか。

A： まず、漏えいした可能性がある個人情報の対象となる皆様に、多大な御迷惑と御心配をお掛けしておりますことを改めてお詫び申し上げます。
デジタル庁では、現在、漏えいした可能性がある個人情報の精査を進めており、連絡先の特定ができた方から順次、個別に御連絡を差し上げてまいります。
また、専用の問い合わせ窓口を設置し、対象となる皆様からの御相談や御質問に丁寧に対応してまいります。
なお、現時点において、本事案に起因する個人情報の悪用などの二次被害は確認されておりませんが、引き続き状況を注視し、必要な対応を講じてまいります。

【対象となる皆様のお問い合わせ窓口】
省庁業務サービスグループ　GSS班

  • 専用フリーダイヤル：0120-360-036
  • 専用お問い合わせメールアドレス：kojin-info_atmark_digital.go.jp
    • ※迷惑メール防止のため、「@」を「atmark」と表示しています。メールをお送りになる際には、「atmark」を「@」（半角）に直してください。

Q：デジタル庁はどのような再発防止策やセキュリティ強化策を講じるのですか。

A：本事案の発生を受け、外部専門事業者の協力も得ながら原因分析などを行い、脆弱性管理の強化や外部からの接続環境の見直しを進めるとともに、不正な侵入を防ぐ対策に加え、仮に侵入があった場合でも影響を最小限とする対策を強化し、さらにそれに対して不断の見直しを実施するなど、必要な再発防止策を講じてまいります。
なお、具体的な対策内容につきましては、今後のシステム防御やセキュリティ確保に関わる事項であることから、お答えを差し控えさせていただきますが、デジタル庁として、セキュリティ対策の強化に取り組んでまいります。