【デジタル庁】国の職員が使う共通システムに外部から侵入、職員など約24.6万件の個人情報が漏えいの可能性

Security Note

2026/9/30

2026/10/2

公表：2026年9月11日／記事更新：10月1日

3行でわかるポイント

各省庁の職員が仕事で使う、デジタル庁の共通システムに外部から侵入されました。
職員や仕事で関わった人など約24.6万件の氏名やメールアドレスが漏れた可能性があります。対象は省庁の職員や業務で関わった人で、国民全体の情報ではありません。
入口の機器の弱点を使った侵入でした。デジタル庁は、修正作業を前倒しで進めたものの、完了前に攻撃されたと説明しています。

何が起きたか

デジタル庁は、各省庁が共通で使う業務システム「ガバメントソリューションサービス（GSS）」に外部から不正な侵入があり、個人情報を含むファイルの一部が漏れた可能性があると発表しました。対象は省庁の職員や、その仕事に関わった事業者・個人です。オンライン会議に参加した人なども含まれ得ます。国民全体の個人情報を保管する仕組みへの侵入という意味ではありません。

6月25日、システムの保守を担当する人のアカウントを使って、大量のファイルが読み出されていることに気づきました。調べたところ7月9日に、外部の攻撃者が侵入していたことが分かりました。異常に気づいてから公表までは約2か月半かかっています。

漏れた可能性のある情報

合計約24.6万件：省庁などの職員や関係する公務員（独立行政法人の職員を含む）約18.9万件、仕事に関わった事業者や個人約5.7万件
内容別（重複あり）：氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件など
マイナンバー、銀行口座の情報、年金番号などは含まれていないと発表

原因

外部から組織のネットワークに入るための機器（VPN機器）に弱点（脆弱性）があり、そこを突かれて、保守担当者のアカウントでシステムに入り込まれました。デジタル庁は7月9日にこのアカウントを止め、侵入された機器と外部との通信を遮断しています。

公式の質疑応答では、機器の弱点の深刻度が当初「中程度」とされ、通常より早めに修正を進めたものの、完了前に攻撃を受けたと説明しています。本件を「弱点を放置した」と断定することは避ける必要があります。

対象の人が今すべきこと

対象の人には、デジタル庁から順番に個別の連絡があります。今のところ、情報が悪用された被害は確認されていません。
デジタル庁や関係機関を名乗るメール、電話、SMSに注意し、リンクや添付ファイルを開いたり、パスワードやカード番号を入力したりしないでください。
問い合わせ先や受付時間などの最新情報は、公式発表の案内をご参照ください。

私たちが学べること

機器やソフトの「弱点」は、メーカーが修正版を出しても、更新しなければ残ったままです。パソコン、スマホ、Wi-Fiルーターなどの更新はこまめに行いましょう。
強い権限を持つアカウントほど狙われます。会社では、重要なアカウントにパスワードだけでなくスマホでの確認（二段階認証）などを組み合わせましょう。
「いつもと違う大量のデータの持ち出し」に気づける仕組みがあったことが、今回の発見につながりました。
取引先に渡した名刺やメールアドレスも、相手の組織から漏れることがあります。

経過

2026年6月25日：保守担当者のアカウントによる大量のファイルの読み出しに気づき、調査を開始
2026年7月9日：VPN機器の弱点を使った侵入が判明。アカウントを止め、外部との通信を遮断
2026年9月11日：個人情報が漏れた可能性を公表

出典

10月1日修正：対策を「放置」したと受け取れる表現と、対象者の説明を見直し、デジタル庁の公式質疑応答（9月12日更新）を反映しました。

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。

コメントはまだありません。