デジタル庁GSSに不正アクセス、職員ら約24.6万件の個人情報漏えいの可能性

　デジタル庁は2026年9月11日、同庁が運用する「ガバメントソリューションサービス」（GSS）において、外部からの不正アクセスにより、GSS上で取り扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があることが判明したと発表した。漏えいした可能性がある個人情報は約24.6万件で、GSSを利用する各府省庁など（GSS利用機関）の職員およびその業務に携わった人々に関するものであり、一般の人の個人情報は含まれていないことを確認したという。

　事案の経緯は次の通り。2026年6月25日、保守運用担当者のアカウントを利用してサーバ上の大量のファイルへのアクセスが行われたことを検知し、調査を開始した。7月9日、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが判明。同日、当該保守運用担当者のアカウントを停止するとともに、侵害された機器と外部との通信を遮断し、以後の不正アクセスを防止した。その後、外部専門事業者の協力を得て調査を進めた結果、個人情報が外部に漏えいした可能性があることを確認した。

　漏えいした可能性があるファイルには、氏名、メールアドレス、電話番号、住所などの個人情報が含まれていたという。対象はGSS利用機関の職員、GSS利用機関の業務に携わった公務員など、GSS利用機関の業務に携わった事業者および個人。内訳は、GSS利用機関の職員および業務に携わった公務員など（独立行政法人の職員を含む）の情報が約18.9万件、業務に携わった事業者および個人の情報が約5.7万件となっている。属性別（重複あり）では、氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件などとした。なお、マイナンバー、金融機関口座情報、年金番号などは含まれていないことを確認している。

　デジタル庁は、漏えいした可能性がある個人情報の対象者を特定した上で、順次、個別に連絡を行う予定だ。現時点で本件に関連する個人情報の悪用などの二次被害は確認されていないとしつつ、なりすましメールやフィッシングメールなどに悪用される可能性があるとして、同庁や関係機関を装った不審なメール、電話、SMSに注意し、身に覚えのない連絡のリンクや添付ファイルを開かず、認証情報やクレジットカード情報を入力しないよう呼びかけている。同庁がパスワードなどの認証情報やクレジットカード情報をメールや電話で尋ねることはないと呼びかけた。

　今後の取り組みとして、脆弱性管理方法の見直しや外部からの接続方法の改善などにより、セキュリティ対策の強化と再発防止に取り組むとした。対象者向けの問い合わせ窓口として、省庁業務サービスグループGSS班に専用フリーダイヤルと専用メールアドレスを設けている。

【関連記事】
・TOPPAN・NTTデータら3社、デジタル庁「ガバメントAI源内」のデータセット整備を推進
・ガバメントAI源内、「さくらのクラウド」上で国産AI基盤モデルの試用を開始──デジタル庁
・デジタル庁、約18万人対象のガバメントAI「源内」大規模実証を開始　既に10万人が利用可能に