政府共通システムで24.6万件の情報漏えいのおそれ、取引先も対象に｜2026年9月12日版
デジタル庁は9月11日、政府機関が使う「ガバメントソリューションサービス（GSS）」への不正アクセスで、約24.6万件の個人情報が漏えいした可能性があると発表した。対象には政府職員だけでなく、業務に携わった企業や個人も含まれる。
一般の国民の個人情報やマイナンバー、金融機関口座情報は含まれていないと同庁は説明している。関係者にとって当面の注意点は、氏名や連絡先を使ったなりすましメールなどの二次被害だ。デジタル庁の発表
- 対象は職員や業務関係者。民間の事業者・個人の情報も約5.7万件含まれる。
- 漏えいは「可能性」の段階で、約24.6万件すべての流出が確定したという発表ではない。
- 公表時点で個人情報の悪用による二次被害は確認されていない。
何が起きたのか――6月の検知から9月の公表へ
問題の発端は、保守運用担当者のアカウントによる大量のファイルへのアクセスだった。
デジタル庁が公表した経過は次の通りだ。
- 6月25日：大量アクセスを検知し、調査を開始。
- 7月9日：第三者がVPN機器の脆弱性を利用して侵入したことが判明。該当アカウントを停止し、侵害された機器と外部との通信を遮断。
- 9月11日：個人情報を含むファイルが漏えいした可能性を公表。
ここでいうVPNは、ネットワークへの接続に使う仕組みだ。職員が普段扱うファイルに、保守運用用のアカウントを通じて不正にアクセスされたことになる。公式発表の経緯
公表まで時間がかかった理由について、同庁は侵入経路の分析、情報の内容や対象者の確認に時間を要したと説明している。また、漏えいを否定できない情報も対象に含めているため、「可能性がある」と表現している。デジタル庁のQ&A
影響は役所の中だけにとどまらない
業務で政府機関と接点を持つ民間の人も、今回の対象になっている。
情報の内訳は、GSS利用機関の職員や関係する公務員などが約18.9万件、業務に携わった事業者・個人が約5.7万件。含まれる情報は氏名、メールアドレス、電話番号、住所などで、項目ごとの件数には重複がある。Impress Watchの報道
公式Q&Aによると、民間側の対象には企業の従業員や個人事業主のほか、省庁などのウェブ会議に参加した人の氏名も含まれる。電話番号や住所は、業務用の連絡先や庁舎・事業所の所在地が大半だという。
「一般の国民の情報は含まれない」という説明を、「公務員以外は関係ない」と読み替えてはいけない。 政府機関との仕事や会議を通じて提供した情報も、確認の対象になる。対象範囲に関する公式Q&A
関係者が注意したい連絡
デジタル庁は対象者を特定したうえで、順次、個別に連絡するとしている。同時に、不審なメールや電話、SMSへの注意も呼びかけた。
- 身に覚えのない連絡のリンクや添付ファイルを開かない。
- 「確認が必要」と求められても、パスワードやカード情報を入力しない。
- 連絡の真偽に迷う場合は、公式発表に掲載された問い合わせ窓口を確認する。
同庁は、パスワードなどの認証情報やクレジットカード情報をメールや電話で尋ねることはないと明記している。対象者への案内
なぜ重要か――監視していても防げなかった侵入
今回問われるのは、政府の業務を支えるシステムで、把握した危険にどれだけ早く対処できるかだ。
公式Q&Aでは、悪用された脆弱性は攻撃確認前に公表済みで、当初の深刻度評価は「中」だったと説明されている。同庁は通常より早く対処を進めたものの、修正プログラムの適用前に悪用されたとしている。
この説明から見える課題は、危険度の評価に加えて、機器が置かれた場所や、侵入後に触れられる情報の重要性を対応の速さにどう反映するかだ。点検や更新の手順があっても、攻撃に間に合わなければ被害を防げない。原因と対策に関する公式Q&A
木原官房長官も、多層的な対策と24時間365日の監視体制で運用してきた中での発生を重く受け止めると述べた。政府は外部の専門事業者の協力を得て原因究明を進めるとしている。テレビ朝日の報道
ネットでは公表時期にも疑問、次に見るべき点は
ネット上では、検知から公表までの時間や、既知の脆弱性への対応を疑問視する投稿が見られる。ただし、一部の投稿から社会全体の評価を判断することはできない。Yahoo!リアルタイム検索で確認できる投稿
調査に時間が必要だったという政府の説明と、対象者へ早く注意を促す必要性。その両方を踏まえて、今後の説明を確認したい。
- 個別通知：対象者に、どの情報が関係するのか具体的に伝わるか。
- 初動の検証：検知後、各段階で何を把握し、どう被害拡大を防いだのか。
- 再発防止：脆弱性の把握から修正までを、どう短縮するのか。
関係者に必要なのは、自分の情報の扱いを確認できる通知と、不審な連絡を見分けるための案内だ。政府には、対策を強化するという方針に加え、実際の対応がどう変わったのかを示す説明が求められる。