デジタル庁GSSに不正アクセス、約24.6万件が漏えいした可能性――GSSとは？誰の情報が対象？

デジタル庁が運用するGSSで、不正アクセスが確認されました。2026年9月11日の発表によると、職員や業務に関わった人たちの氏名・連絡先など、約24.6万件の個人情報が外部に漏えいした可能性があります。

気になるのは「自分の情報も含まれるのか」という点です。デジタル庁は、一般の方の個人情報は含まれておらず、マイナンバー、金融機関の口座情報、年金番号なども含まれないと説明しています。ただし、省庁の業務に携わった民間の事業者や個人は対象に含まれます。デジタル庁の発表（9月11日）

以下は2026年9月11日に確認した公表内容です。不正アクセスが起きたことと、実際にどの情報が外部へ流出したかは、分けて読む必要があります。

GSSとは、省庁の職員が仕事に使う共通のパソコン・ネットワーク環境

GSSは「ガバメントソリューションサービス」の略称です。職員が文書を作る、仕事の連絡をする、離れた場所から業務を進める。そのためのパソコン、ソフトウェア、ネットワーク、セキュリティ対策などを、デジタル庁が共通の環境として提供します。

各府省庁の仕事の環境を順次統合し、仕事の進めやすさと安全性を高めることが目的です。今回の発表で問題になっているのは、そのGSSで扱っていたファイルへの不正アクセスです。GSSの公式説明

約24.6万件は誰の情報か――職員に加えて、業務に関わった事業者や個人も

デジタル庁が示した対象の内訳は次のとおりです。「一般の方は含まれない」という説明を、「民間の人は誰も関係ない」と読み替えることはできません。

含まれる情報を項目別に見ると、氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件などです。項目には重複があり、これらを足して被害の総数にはできません。また、公表の単位は「件」です。「24.6万人の情報が流出した」と人数や流出の確定を言い切るのも避けるべきです。

マイナンバー、金融機関の口座情報、年金番号などは含まれないとされています。一方、氏名や連絡先だけでも、本人や関係機関を装った連絡に使われるおそれがあります。デジタル庁は、発表時点では、この事案に関連する悪用などの二次被害は確認されていないと説明しています。対象と情報の内訳・二次被害について

6月に大量アクセスを検知、7月に不正アクセスが判明

1. 6月25日：大量のファイルへのアクセスを検知

   システムの保守・運用を担当する人のアカウントが使われており、調査を開始しました。

2. 7月9日：VPN機器の弱点を使った侵入が判明

   第三者による不正アクセスと判明。同日、使われたアカウントを停止し、侵害された機器と外部との通信を遮断しました。

3. 9月11日：個人情報が漏えいした可能性を公表

   外部の専門事業者の協力による調査を経て、対象や件数、連絡対応などを発表しました。

VPNは、離れた場所のネットワークへ接続するための仕組みです。今回の発表では、その接続に使う機器の弱点（脆弱性）が侵入に利用されたとされています。保守担当者のアカウントが使われたという記述だけで、担当者本人の不正と判断することはできません。

公式の概要図には、初動対策としてVPNの修正プログラムの適用も挙げられています。デジタル庁は、アカウント停止や通信遮断によって、それ以降の不正アクセスを防止したと説明しています。経緯と実施した対策

対象の可能性がある人は、届いた連絡と公式窓口を分けて確かめる

デジタル庁は、対象者を特定したうえで順次、個別に連絡するとしています。省庁の職員や、その業務に携わった人は、所属先・取引先からの案内も確認してください。

ただし、「漏えいの確認が必要」といった連絡が届いても、本文のリンクや添付ファイルをすぐに開かないでください。公式発表のページを自分で開き、そこに記載された窓口から確認する方法が取れます。

デジタル庁は、メールや電話でパスワードなどの認証情報やクレジットカード情報を尋ねることはないと明記しています。デジタル庁や関係機関の名前が表示されていても、それだけで本物の連絡とは判断できません。

対象者向けの専用フリーダイヤルは0120-360-036、メールはkojin-info@digital.go.jpです。連絡前には、公式発表のお問い合わせ窓口で最新の案内を確かめてください。

原因の詳細と、公表までの経緯には続報が必要

今回確認した9月11日の発表本文と概要図には、悪用されたVPN機器の製品名や具体的な弱点の識別番号、侵入が始まった日時、実際に外部へ持ち出された情報の確定範囲は記載されていません。既知の問題への修正が遅れたのか、未知の弱点を突かれたのかも、この資料だけでは判断できません。

6月の検知から9月の公表までに調査が行われたことは説明されています。ただし、公表の時期を決めた具体的な理由は、この資料からは分かりません。同日の大臣会見ページでは、確認時点で会見要旨は後日掲載の案内でした。会見動画の内容は本稿には反映していません。

政府の職員が仕事で使う環境で侵入が起き、業務上の連絡先などに影響が及んだ可能性があります。今後の説明で確かめたいのは、どう侵入を許したのか、アクセスできる範囲がどう管理されていたのか、そして対策がどこまで完了したのかです。デジタル庁は、機器の弱点を管理する方法や外部からの接続方法を見直すとしています。

カバー写真：東京ガーデンテラス紀尾井町。デジタル庁の所在地の建物であり、被害機器や保管場所を示す写真ではありません。Akonnchiroll撮影／CC BY-SA 4.0。切り抜き・文字入れを行ったカバーも同ライセンス。本文の概念図はAI画像生成を使って本稿用に作成。