デジタル庁でも情報漏洩。今回の件を見て、社内SEとして少し考えたこと

最近、IT関連のニュースを見ていて、ちょっと気になったものがありました。

デジタル庁が運用する「ガバメントソリューションサービス（GSS）」が不正アクセスを受け、個人情報を含むファイルの一部が外部に漏えいした可能性がある、というニュースです。

「デジタル庁で情報漏洩」という見出しだけを見ると、かなり大きな話に感じますよね。

実際、漏えいした可能性がある個人情報は、重複を含めて氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件など。

ただし、ここは少し落ち着いて見たほうがよさそうです。

今回の対象はGSSを利用する府省庁などの職員や、その業務に携わった人たちで、一般の人の個人情報は含まれていないとデジタル庁は説明しています。また、マイナンバーや金融機関の口座情報、年金番号なども対象には含まれていません。

とはいえ、24万件規模です。

これは「一般利用者じゃないから大丈夫」で片付けられる話でもないんですよね。

そもそも、何が起きたのか

今回の流れを見ると、入口になったのはVPNの脆弱性でした。

デジタル庁の説明によると、2026年6月25日に、保守運用担当者のアカウントを利用してサーバー上の大量のファイルへアクセスする動きが検知されました。

そこから調査が始まり、7月9日に第三者がVPNの脆弱性を利用してシステムへ侵入していたことが判明。

同日に保守運用担当者のアカウントを停止し、侵害された機器と外部との通信を遮断したとのことです。

その後の調査で、個人情報を含むファイルが外部に漏えいした可能性が確認されました。

この流れを見ると、

「VPNの脆弱性があった」
↓
「そこから侵入された」
↓
「保守運用担当者のアカウントが使われた」
↓
「大量のファイルへアクセスされた」

という形です。

ここで個人的に気になったのが、最後の「大量のファイルへアクセスされた」という部分でした。

「侵入されない」だけでは足りない

セキュリティの話になると、どうしても最初に考えるのが「どうやって侵入を防ぐか」ですよね。

もちろん、それはものすごく大事です。

VPNの脆弱性を放置しない。
OSやネットワーク機器を最新の状態にする。
不要な外部接続を減らす。

こういう基本的な対策は、やっぱり必要です。

ただ、今回の件を見ていると、それだけでは足りないんじゃないかと思うんです。

なぜなら、攻撃者に一度侵入されてしまったあと、どこまで動けるのかという問題があるからです。

例えば、あるアカウントが乗っ取られたとして、そのアカウントから社内のほぼ全部が見えてしまう状態だったらどうでしょう。

入口を突破された瞬間に、一気に被害が広がります。

逆に、

「このアカウントでは、このサーバーしか見られない」

「この担当者は、このファイルにはアクセスできない」

「この操作をするときだけ追加認証が必要」

となっていれば、仮に侵入されても被害を小さくできる可能性があります。

このあたりは、いわゆるゼロトラストの考え方にもつながってきますよね。

保守用アカウントって、やっぱり怖い

今回、保守運用担当者のアカウントが不正に利用されたという点も、かなり気になります。

社内SEをやっていると分かるのですが、保守用のアカウントって便利なんですよね。

トラブルが起きたときに調査できる。
設定を変更できる。
サーバーに入れる。
ログを確認できる。

普段の業務では必要ないような権限まで持っていることがあります。

そして、便利なものほど、攻撃者から見ると魅力的だったりする。

ここが怖いところです。

一般ユーザーのアカウントを1つ奪っただけなら、できることは限られるかもしれません。

でも、管理者に近い権限を持つアカウントだったら話が変わります。

だからこそ、

「誰がログインできるか」だけではなく、「ログインしたあと何ができるか」

まで考えないといけないんですよね。

これ、意外と大事です。

「脆弱性を直しました」で終わらせない

もう一つ、今回の件で考えたいのが脆弱性管理です。

脆弱性という言葉を聞くと、

「じゃあ、パッチを当てればいいんでしょ」

と思ってしまいがちです。

もちろん、それで終われば楽なんですが、現実はそう簡単でもありません。

業務で使っているシステムの場合、アップデートすると別のところが動かなくなることがあります。

古いシステムとの連携がある。
業務時間中に止められない。
検証環境が十分にない。
ベンダー側の対応を待つ必要がある。

こういう事情が重なって、どうしても対応に時間がかかることがあります。

だから、脆弱性対応は単純に「全部すぐ更新」という話だけではなく、

「この機器が止まったら業務への影響はどれくらいか」

「この脆弱性を放置した場合のリスクはどれくらいか」

「外部から直接触れる状態なのか」

「代替の防御策は取れるのか」

みたいなところまで含めて判断することになります。

いや、これが意外と難しい。

現場では「止められないシステム」が普通にあったりしますからね。

今回は「デジタル庁だから特別」という話でもない

今回のニュースを見て、

「デジタル庁なのに情報漏洩したのか」

という感想を持つ人もいると思います。

自分も最初はそう感じました。

でも、少し考えてみると、むしろ逆なのかもしれません。

デジタル庁のような組織でも、外部接続機器の脆弱性を突かれ、アカウントを悪用され、情報へアクセスされる。

だったら、一般企業が同じような攻撃を受ける可能性も当然あります。

「うちはそんなに狙われないから大丈夫」

という考え方は、少し危ないですよね。

攻撃する側からすると、相手が大企業か地方の会社かなんて、そこまで関係ないこともあります。

侵入できる穴があれば狙われる。

アカウントを取れれば使われる。

見られるデータがあれば持っていかれる。

かなり身も蓋もない話ですが、そういう世界なんだと思います。

もう一つ気になるのが「検知までの時間」

今回、6月25日に大量のファイルへのアクセスを検知し、7月9日にVPNの脆弱性を利用した侵入だったことが判明しています。

ここで個人的に重要だと思ったのが、「侵入されないこと」だけではなく、「侵入されたあとに、どれだけ早く気づけるか」です。

完全に防ぐのが難しい以上、検知と対応のスピードはかなり重要になります。

例えば、

「普段この時間に、この担当者はログインしない」

「このアカウントが急に大量のファイルへアクセスしている」

「今まで使っていなかったサーバーへアクセスしている」

こういう普段との違いを拾える仕組みがあるだけでも、対応は変わってきます。

人間が毎日ログを見て、

「今日は23万件くらいファイルアクセスがあったな」

なんて確認するわけにもいきません。

そこはもう、機械に頑張ってもらうしかないところです。

情報漏洩は「件数」だけで見ないほうがいい

今回、約24.6万件という数字がかなり目立っています。

もちろん、大きな数字です。

ただ、個人的には件数だけで怖がるよりも、「どんな情報が漏れた可能性があるのか」を見ることも大事だと思っています。

氏名だけなのか。

メールアドレスもあるのか。

電話番号まであるのか。

住所もあるのか。

複数の情報が組み合わさっているのか。

ここでリスクはかなり変わります。

例えば、名前とメールアドレスがセットで漏れた場合、そこからフィッシングメールを送ることができます。

さらに電話番号まで分かれば、メールだけではなくSMSや電話を使った攻撃にもつながります。

今回、デジタル庁も、漏えいした可能性のある情報がなりすましメールやフィッシングなどに悪用される可能性があるとして注意を呼びかけています。

現時点では、今回の件に関連する二次被害は確認されていないとのことです。

ただ、情報漏洩って「漏れた瞬間に被害が発生する」とは限らないんですよね。

数週間後、数か月後に、別の攻撃に使われることもあります。

このあたりは少し嫌な話ですが、気にしておいたほうがいいところです。

8月にも別の個人情報漏洩があった

そして、今回のニュースを見ていてもう一つ気になったことがあります。

デジタル庁は8月にも、国家資格等情報連携・活用システムの運用で、職員150名分の個人情報が別の省庁へ送付したファイルに含まれていたことを公表しています。

こちらは不正アクセスではありません。

原因は、複数のデータから対象となるユーザーだけのログイン履歴を作る作業の中で、作業手順書の曖昧な記載によって別の資格管理団体のユーザーまで含まれてしまったことでした。

つまり、

「外部から攻撃された情報漏洩」

と

「人の作業による情報漏洩」

が、どちらも起きています。

ここはけっこう重要なんじゃないかと思います。

セキュリティというと、どうしてもハッカーやマルウェアの話になりがちです。

でも実際には、Excelの添付ミスだったり、宛先間違いだったり、権限設定だったり、手順書だったり。

地味なところからも漏れます。

むしろ、こういうところが一番悩ましかったりするんですよね。

社内SEとして今回の件から考えたこと

今回の件を見て、自分なら何を確認するか。

まずは外部から入れる場所です。

VPNはあるのか。
誰が使えるのか。
不要になったアカウントが残っていないか。
多要素認証は入っているか。
脆弱性情報を誰が確認しているか。

次に、入ったあとの権限です。

一つのアカウントで、どこまで見えるのか。

ここは本当に重要です。

「管理者だから全部見える」という設計は、管理する側からすると楽です。

でも、そのアカウントが乗っ取られた瞬間、楽だったことがそのままリスクになります。

それからログですね。

何か起きたときに、

「いつ」
「誰が」
「どこから」
「何に」
「何件アクセスしたのか」

が追える状態になっているか。

これが分からないと、事故が起きたあとに調査するのがものすごく大変です。

たぶん、セキュリティ対策って派手な機器を入れることより、こういう地味な確認の積み重ねのほうが多いんですよね。

「完璧に防ぐ」より「被害を広げない」

今回のニュースを見て、個人的にはここが一番大きなポイントでした。

セキュリティ対策というと、

「絶対に侵入されないシステムを作る」

という方向に考えがちです。

でも、実際にはかなり難しい。

脆弱性は出てきます。
設定ミスもあります。
人が操作する以上、間違いもあります。

だから、

侵入される可能性を下げる

ことに加えて、

侵入されたとしても被害を広げない

という考え方が必要なんだと思います。

権限を絞る。

ネットワークを分ける。

重要なデータを分離する。

多要素認証を使う。

ログを残す。

異常なアクセスを検知する。

そして、何か起きたときにすぐ止められるようにしておく。

一つ一つを見ると、どれも派手ではありません。

でも、こういう地味なところが最後に効いてきます。

デジタル庁だからこそ、今回の対応を見ておきたい

今回の件は、単純に「デジタル庁も攻撃された」で終わらせるのは少しもったいない気がします。

むしろ、政府の共通基盤で実際にこういうインシデントが起きたからこそ、その後どう改善していくのかを見ておきたい。

デジタル庁は今回の事案を受けて、脆弱性の管理方法や、外部からシステムへ接続する方法の改善など、GSSのセキュリティ対策を強化するとしています。

ここはぜひ、具体的な内容まで追ってみたいところです。

「再発防止に努めます」だけでは、正直なところ少し分かりにくい。

どの機器をどう変えるのか。

権限管理をどうするのか。

ログ監視をどう強化するのか。

外部接続をどう見直すのか。

そのあたりまで出てくると、民間企業のIT担当者にとってもかなり参考になるはずです。

今回のニュース、最初は「デジタル庁でも漏れるのか」という驚きから入りました。

でも調べていくと、VPN、アカウント、権限、ログ、脆弱性管理と、普段の社内SEの仕事にもかなり近い話が並んでいます。

そう考えると、遠い世界のニュースでもないんですよね。

明日、自分たちの会社の管理画面を開いたときに、

「このアカウント、まだ必要だっけ？」

「この人、こんなところまでアクセスできたっけ？」

と、一度立ち止まって確認してみる。

案外、そういう小さな確認が一番効くのかもしれません。

セキュリティって、何かすごいことをやるより、こういう地味なところをサボらないことなのかもしれないな、と今回あらためて感じました。

そして、こういうニュースが出たときこそ、自分たちの環境を見直すいいタイミングだったりします。

※詳細は以下をご確認お願いします。
https://www.digital.go.jp/news/2026-0911-01