デジタル庁が運用するガバメントソリューションサービス（GSS）で、保守運用向けに設置されていたVPN機器の既知の脆弱性を悪用した不正アクセスが発生し、約24.6万件の個人情報を含むファイルが外部に漏えいした可能性があることが明らかになった。
事案の詳細
公表された情報によると、今回の不正アクセスは、GSSの保守運用向けに利用されていたVPN機器の脆弱性を利用して行われた。攻撃者は、この脆弱性を突くことで機器に侵入し、GSSの環境にアクセス可能な状態となったとされている。侵入後にどの範囲へ到達したのかといった技術的な細部は現時点で詳細は不明だが、少なくともVPN機器のセキュリティ上の弱点が入口となり、GSSが攻撃対象となったことが確認されている。
被害として、約24.6万件の個人情報が漏えいした可能性があるとされる。「漏えいした可能性」という表現は、個人情報を含むファイルの一部が外部に持ち出されたことが確認されている一方で、すべての件数について流出の事実が確定しているわけではないことを意味する。漏えいした可能性がある個人情報には、氏名、メールアドレス、電話番号、住所などが含まれていることが公表されている。対象は、GSSを利用する各府省庁など（GSS利用機関）の職員、およびその業務に携わった公務員等（独立行政法人職員を含む）、さらにGSS利用機関の業務に携わった事業者および個人の情報であり、一般の国民の個人情報は含まれていないことが確認されている。約24.6万件の内訳として、職員・公務員等に関する情報が約18.9万件、事業者および個人に関する情報が約5.7万件とされている。
また、本件は「デジタル庁が運用する」政府共通の業務基盤サービスに対する不正アクセスである点が特徴だ。GSSは各府省庁が利用する政府共通のデジタル基盤・業務環境として扱われるサービスであり、各機関の職員等に関する個人情報や業務関連情報が取り扱われる環境であることから、今回の漏えい可能性の指摘は、政府の業務基盤におけるセキュリティ確保の重要性を改めて示す事例となっている。現時点で、漏えいした可能性のある個人情報の悪用などの二次被害は確認されていないと公表されている。
影響と背景
影響としては、約24.6万件という規模で職員や業務従事者などの個人情報の漏えい可能性が示されたこと自体が大きい。政府共通の業務基盤として利用されるGSSで、氏名や連絡先などを含むファイルが外部に持ち出された可能性があることは、行政機関の業務遂行や職員の安全・プライバシー保護に対する信頼に影響を与え得る。また、対象に一般の国民の個人情報は含まれていないことが確認されている点は、想定される影響範囲を理解する上で重要な情報である。
侵入経路が保守運用向けVPN機器の既知の脆弱性とされていることから、組織が外部接続のために用いる装置や仕組みが、適切に更新・管理されなければ攻撃の起点になり得ることが改めて示された事案といえる。脆弱性は公開済みであり、本来はベンダーから提供される修正プログラムや設定変更等により対処可能であったにもかかわらず、何らかの理由で対応が不十分だったために悪用された可能性が示唆されている。公的機関が運用するサービスであっても、外部から到達できる入口、特に保守向けの経路が狙われるという事実が、社会的な関心を集める要素となっている。
対策・今後の展望
今回の公表内容から一般化できる観点として、VPNの脆弱性が悪用された以上、同種の機器やサービスを利用する組織は、脆弱性情報の把握と更新を継続する必要がある。特に、保守運用向けやリモート接続向けに設置された機器は、日常業務で利用されるシステム本体よりも更新が後回しになりやすく、管理の抜けが生じやすい。個人情報を扱う環境では、侵入経路になり得る外部公開の接点を洗い出し、更新状況の確認を定期的に行うことが重要になる。
- VPN機器・サービスの更新状況確認：管理画面や運用台帳で、現在のバージョンや更新の適用状況を把握し、ベンダーから公表されている既知の脆弱性情報と照合する。未反映の修正があれば優先的に対応し、保守向け経路やリモート接続装置も例外なく対象とする。
- 外部公開されている接点の棚卸し：VPNを含め、インターネットから到達できる入口を一覧化し、保守用・業務用を問わず、誰が管理し、いつ点検するかを運用として固定する。設定変更や機器追加の際には、台帳やネットワーク図を更新し、未管理の入口が残らないようにする。
- 個人情報を扱う範囲の再確認：どのシステムに職員や事業者などの個人情報が置かれているかを整理し、侵入を想定した点検（アクセス制御や監視）の強化を行う。VPN経由で到達可能な範囲にあるシステムについては、認証強化、多要素認証の導入、アクセスログの保全・分析などを組み合わせ、万一侵入があった場合でも被害範囲を限定し、早期に検知できる仕組みを整えることが求められる。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断では、VPNやリモート接続の機器が「設置したまま」で、更新確認の担当者が不在の例が少なくない。保守用の接続機器が社内システムとは別扱いになり、運用や台帳への記載が十分でないケースも見られる。監視サービスなど（MDR等）でも、VPN経由の不審なログイン試行や、普段使われない時間帯の接続が最初の兆候として挙がることが多く、今回のような保守経路の悪用は他組織でも起こり得るリスクとして認識されている。
【観点②：平易な解説】例えるなら、VPNは社内へ入るための「裏口の鍵付き通路」のようなものです。つまり、その通路に鍵穴の欠陥（脆弱性）が見つかると、正しい鍵がなくてもこじ開けられる危険がある、ということです。今回のように保守用の通路が狙われると、通常業務の入口を守っていても、別の通路から中に入られてしまう可能性があります。入口が破られると中の情報まで影響し得るため、鍵（認証）の強さだけでなく、通路自体の欠陥を早期に修正することが重要になります。
【観点③：今週中にできること】まず自社で使っているVPNやリモート接続の種類と管理者を確認し、保守用・業務用を区別した上で、更新が自動か手動かを明確にしてください。次に管理画面で更新状況と最終更新日を見て、既知の脆弱性に対する修正が未適用のまま放置されていないかを確認し、放置があれば今週中に適用計画を立てます。最後に、接続ログを誰が週次で見るかを決め、異常の連絡先を共有します。特に、深夜・休日など通常利用されない時間帯のアクセスや、海外からの接続試行などを重点的に確認し、兆候を早期に検知できる体制づくりを進めてください。
参照: VPNの脆弱性を利用 ～ デジタル庁が運用するガバメントソリューションサービス（GSS）に不正アクセス、約24.6万件の個人情報が漏えいした可能性