今回のニュースのポイント
デジタル庁は11日、同庁が運用する「ガバメントソリューションサービス（GSS）」が外部から不正アクセスを受け、個人情報約24.6万件が外部へ漏えいした可能性があると発表しました。対象はGSS利用機関の職員や業務に携わった公務員等（独立行政法人の職員を含む）約18.9万人、および業務に携わった事業者・個人約5.7万人です。属性別では氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件などが含まれます。マイナンバーや金融機関口座情報、年金番号等は含まれておらず、一般国民の個人情報の漏えい可能性も確認されていません。侵入にはVPN機器の脆弱性が悪用されており、同脆弱性は攻撃前に公表され対応を進めていたものの、修正プログラム適用前に悪用された形となりました。
本文
デジタル庁は11日、府省庁等の共通業務環境である「ガバメントソリューションサービス（GSS）」において、第三者による不正アクセスが発生し、個人情報約24.6万件が外部に漏えいした可能性があると発表しました。
発表によると、漏えいした可能性のある個人情報の対象者は、GSS利用機関の職員およびGSS利用機関の業務に携わった公務員等（独立行政法人の職員を含む）が約18.9万人、GSS利用機関の業務に携わった事業者および個人（委託事業者従業員、有識者会議参加者、Web会議参加者等）が約5.7万人となっています。重複を含む情報の属性別件数は、氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件などです。デジタル庁は、一般国民の個人情報は含まれておらず、マイナンバー、金融機関口座情報、年金番号等も含まれていないとしています。また、電話番号や住所についても、その多くは各府省庁等の所在地や公務上の連絡先であるとしています。
侵入経路の調査において、保守運用担当者のアカウントを利用した不正アクセスが確認されました。6月25日に大量のファイルへのアクセスを検知して調査を開始したところ、7月9日に第三者がVPN機器の脆弱性を利用してシステム内へ侵入していたことが判明しました。デジタル庁は同日、該当アカウントの停止と侵害された機器の外部通信遮断を実施し、外部専門事業者とともに詳細な影響範囲の特定を進めました。
同庁が公表したQ&A資料によると、悪用されたVPN機器の脆弱性は攻撃前に公表されていた既知のものであり、当初公表された共通脆弱性評価システム（CVSS）の評価レベルは「Medium（中）」でした。デジタル庁は一般的な対応よりも早いタイムラインで修正プログラムの適用を進めていたとしていますが、結果としてパッチの適用前に脆弱性が悪用される形となりました。
検知から公表まで約2カ月半を要した経緯について、デジタル庁は、検知当初は不正アクセスの有無や影響範囲が未確定であり、ログ分析による侵入経路の解明、漏えいした可能性のあるファイルの抽出、対象者の特定等に相当の時間を要したためと説明しています。調査によって一定の事実関係が確認できた段階で公表に至ったとしています。
GSSはセキュリティモデルとして「ゼロトラストアーキテクチャ」を採用していましたが、今回の不正アクセスと情報漏えいの可能性が生じたことを重く受け止めると回答しています。現時点では該当機器へ修正プログラムを適用済みで、アカウントの認証情報変更や通信遮断等の応急措置を完了しており、その後の新たな不正アクセスや二次被害は確認されていません。今後は対象者への個別連絡を進めるとともに、脆弱性管理の強化や外部接続環境の見直しなどを実施する方針です。（編集担当：エコノミックニュース編集部／Editorial Desk: Economic News Japan）
