デジタル庁は9月11日、政府職員向けの共通業務環境サービス「ガバメントソリューションサービス（GSS）」が外部からの不正アクセスを受け、取り扱っていた職員や業務関係者の個人情報を含むファイルの一部が外部へ漏えいした可能性があると発表した。
漏えいした可能性がある個人情報は約24万6000件。対象はGSSを利用する各府省庁などの職員や業務に携わった公務員、事業者および個人で、一般利用者の情報は含まれていない。
VPN機器の脆弱性を悪用した侵入
2026年6月25日、デジタル庁は保守運用担当者のアカウントを使ったサーバー上の大量ファイルへのアクセスを検知し、調査を開始。7月9日、第三者がネットワーク接続機器であるVPNの脆弱性を悪用してシステムへ侵入し、不正アクセスしていたことが判明した。
同日、悪用されたアカウントを停止し、侵害を受けた機器と外部との通信を遮断。以降の不正アクセスを防止したとしている。外部の専門事業者の協力を得た調査の結果、個人情報を含むファイルが外部へ漏えいした可能性が確認された。
氏名約23万6000件、メール約23万1000件が対象
漏えいの可能性がある情報のうち、GSS利用機関の職員や業務に携わった公務員などの情報は約18万9000件、事業者および個人の情報は約5万7000件。属性別では氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件など。複数の属性が同じ人物に含まれるため、各件数には重複がある。
一方、マイナンバー、金融機関口座情報、年金番号などは含まれていないことを確認した。
対象者への連絡と再発防止策
デジタル庁は漏えいの可能性がある対象者を特定し、順次個別に連絡を行う。9月11日時点で二次被害は確認されていないが、氏名やメールアドレス、電話番号がなりすましメールやフィッシング、電話、SMSなどに悪用される可能性があるとして、デジタル庁や関係機関を装った不審な連絡に注意し、心当たりのないメールのリンクや添付ファイルを開かないよう呼びかけている。メールや電話でパスワードやクレジットカード情報を尋ねることはないとしている。
GSSは各府省庁などに共通の業務環境を提供する政府情報システムで、職員の業務に必要なネットワークやクラウドサービスを集約。今回の事案ではVPN機器の脆弱性が侵入経路となり、保守運用担当者のアカウントを悪用する形で大量のファイルへのアクセスを許した。デジタル庁は脆弱性の管理方法の見直しや外部接続方法の改善など、再発防止に向けたセキュリティ対策を強化するとしている。
