9月11日、デジタル庁は、政府共通業務実施環境の「ガバメントソリューションサービス」（GSS）への不正アクセスがあったと公表しました。GSSは、ゼロトラストネットワークアーキテクチャなどの技術を活用して各府省庁の業務用PCやネットワーク環境を統合する、政府共通の業務環境です。23機関、約15.4万人が利用しています。

　攻撃した第三者は、2026年5月下旬ごろからGSSのシステムに侵入してており、外部からの保守運用に利用していたVPN機器の脆弱（ぜいじゃく）性を突いたとみられています。この結果、最大で約24.6万件もの個人情報が外部に流出した可能性があるとされています。

　脆弱性を突かれたVPN機器は、GSSのシステムの一部としてデジタル庁が管理しているものです。保守用の通信経路を「裏口」と称することがありますが、システム全体から見れば正規の管理対象機器です。つまりVPNは「裏口」ではありません。

　さらに良くないことに、悪用された脆弱性はデジタル庁自身が事前に把握していました。松本大臣は、脆弱性の存在を事案発生前から認識しており、緊急度の高い他の脆弱性から順に対応を進めていたさなかに悪用されたと説明しました。

　当初の脆弱性評価はCVSS（共通脆弱性評価システム）で「中」（Medium）程度。つまり「優先度は中程度だから後で直そう」と後回しにし、修正プログラムやパッチの適用前に悪用されたのです。

　検知から公表までの時間も気になります。デジタル庁は6月25日に、保守運用担当者のアカウントを利用した大量のファイルへのアクセスを検知しました。しかし公表は9月11日です。約2.5カ月が経過しています。調査、影響範囲の特定、漏えい可能性の確認に時間を要したと説明していますが、その間、対象者は自分たちの情報が漏れているかもしれないことを知らされずにいたわけです。

　漏えいの可能性がある個人情報は約24.6万件。その内訳は、GSS利用機関の職員などが約18.9万件、業務に携わった事業者と個人が約5.7万件。また、漏えいした可能性のある個人情報の属性には、氏名が約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件が含まれます。

　説明の中で「一般人の個人情報は含まれていない」という趣旨の発言もありましたが、それは安心材料ではありません。一般の人の情報ではないからといって、リスクが小さいとは限りません。実在する公務員や関係事業者の氏名、メールアドレス、電話番号などが大量に漏えいすれば、本人になりすましたメールや電話などに悪用される可能性があります。 

https://news.yahoo.co.jp/articles/f05c6a750201940733a472627ae0f854c1c9b210


関連スレ
【自己防衛が重要】不正アクセス頻発「自分の情報は自分で守って」　古川デジタル相
https://talk.jp/boards/newsplus/1791263838

>>1
お前ら管理アクセスをVPNでやってたんか
専用線ぐらい引けよ
アフォみたいに税金使うのに、そういうところはケチるんじゃねーよ