デジタル庁システムに不正アクセス、政府職員ら24.6万人分の個人情報が漏えいの可能性

デジタル庁は9月11日、各府省庁向けに同庁が提供・運用するコンピューターネットワークシステム「ガバメントソリューションサービス（GSS）」に外部から不正アクセスがあり、氏名やメールアドレスなど政府職員ら約24万6000件の個人情報が漏えいした可能性があると発表しました。松本尚デジタル相は同日午前の記者会見において、被害の重大性を認め陳謝しました。

不正アクセスの原因について松本デジタル相は、第三者がVPN（仮想プライベートネットワーク）機器の既知の脆弱性を悪用してシステムに侵入したためだと説明しています。緊急度の高い他の脆弱性への対応を優先して進めている最中に、今回の脆弱性を突かれる形となりました。

時系列としては、5月下旬ごろから第三者による侵入が始まりました。その後、6月25日にGSSの保守運用担当者のアカウントを利用した不審な大量のファイルへのアクセスをデジタル庁が検知し、調査を開始しました。7月9日に不正アクセスであることが判明したため、当該保守アカウントを速やかに停止し、被害を受けた機器と外部との通信を遮断する措置を実施しました。

漏えいした可能性がある個人情報の内訳は、GSSを利用する政府機関や独立行政法人職員の約18万9000件に加え、これらの機関の業務に携わった民間事業者や個人の約5万7000件です。重複を含む情報の属性別の件数としては、氏名が約23万6000件、メールアドレスが約23万1000件、電話番号が約9万4000件、住所が約1000件に上ります。

GSSは、各省庁が独自に整備していたネットワークの縦割りの弊害を解消し、国家公務員のテレワークなど働き方改革を進める目的で2021年に導入された政府共通の重要なネットワーク基盤です。今年7月末時点では、農林水産省や宮内庁、人事院など23機関の約15万4000人が利用しています。

一般国民の個人情報や、マイナンバー、金融機関の口座情報、年金番号は流出対象に含まれていないことが確認されています。デジタル庁は今回の事案を個人情報保護委員会に報告するとともに、警察にも相談し情報共有を進めています。

被害状況と今後のセキュリティ対策・再発防止策

現時点において、漏えいした個人情報が悪用されたといった二次被害は確認されていません。しかしながら、流出した氏名や連絡先を悪用し、デジタル庁や政府機関を装ったフィッシングメールやなりすましメールなどの新たな詐欺被害が広がる恐れがあるとして、同庁は強く注意を呼びかけています。また、対象となる関係者には、本人を特定した上で順次個別に連絡を行うとしています。

木原稔官房長官は9月11日午後の記者会見で、「多層的なセキュリティー対策や24時間365日の監視体制の下で運用を行ってきたにもかかわらず、事案が発生したことを重く受け止めている」と述べました。デジタル庁は、全ての通信にサイバー攻撃の可能性を疑う「ゼロトラスト」の環境を導入して安全性を高めていたものの、今回の侵入を防ぐことはできませんでした。

この事態を深刻に受け止め、デジタル庁は今後、脆弱性管理方法の抜本的な見直しや外部からの接続方法の改善を急ぐ方針です。政府全体のシステム運用における信頼性の回復と、これ以上の被害拡大を防ぐための再発防止策に全力を挙げて取り組むことが求められています。