デジタル庁の情報漏洩はなぜ起きた?VPNの穴と、公表まで2カ月半の空白
デジタル庁が運用するシステムに何者かが侵入し、政府職員らの個人情報24万6千件が外部に漏れた可能性があると発表されました。原因は、ニュースで何度も見た覚えのある「VPN機器の脆弱性」です。しかし本当に気になるのは、原因を特定してから公表するまでに2カ月以上の空白があったことです。この空白の中身を追うと、官公庁のセキュリティ事故がなぜ何度も同じ形で起きるのかが見えてきます。
何が起きたのか、まず事実を整理する
デジタル庁は2026年9月11日、同庁が運用する「ガバメントソリューションサービス(GSS)」に不正アクセスがあり、政府職員らの個人情報が最大24万6千件漏洩した可能性があると発表しました。内訳は氏名が約23万6千件、メールアドレスが約23万1千件、電話番号が約9万4千件、住所が約1千件。マイナンバーや金融機関口座情報、年金番号は含まれていないとしています。
経緯はこうです。6月25日、保守運用担当者のアカウントを使って大量のファイルへアクセスがあったことを検知し、調査を開始。7月9日、第三者がネットワーク接続機器(VPN)の脆弱性を悪用して侵入していたと判明し、同日中に該当アカウントを停止し、外部ネットワークとの通信を遮断しました。現時点で情報の悪用による二次被害は確認されていないとしています。
📌 出典: デジタル庁公式発表、 時事ドットコム、 CNET Japan(Yahoo!ニュース)。 解釈と考察は当サイトが独自に執筆しています。
なぜ「VPN機器」ばかりが破られるのか
ここ数年、日本の情報漏洩のニュースを追いかけていると、同じ単語に何度もぶつかります。VPN機器です。今回もそうでした。VPN機器は、社外から社内ネットワークへ安全に接続するための「玄関」にあたる装置です。テレワークが広がった今、ほぼすべての組織がこの玄関を持っています。
この玄関が狙われやすいのには理由があります。VPN機器は社内ネットワークの境界そのものを守る装置であり、ここを一つ突破されれば、内側にあるファイルサーバーや業務システムへの道が一気に開きます。個々の社員のパソコンを一台ずつ狙うより、はるかに効率のいい侵入経路なのです。セキュリティ企業の分析によれば、2023年に実際に悪用されたゼロデイ脆弱性97件のうち、VPN機器を含むセキュリティ機器を狙ったものが36件と最多だったとされています。
VPN機器が繰り返し破られるのは、そこが一番弱いからではない。そこを破れば、内側の全部に届くからだ。
2024年1月には米Ivanti社のVPN製品で認証を回避できる脆弱性が悪用され、JPCERT/CCが国内でも侵害の可能性を注意喚起しました。同年4月にはPalo Alto Networks製品の脆弱性を突いた攻撃も確認されています。2022年以降はFortiNet製VPN機器についても繰り返し注意喚起が出ています。今回のデジタル庁の一件は、特殊な事故ではなく、この数年ずっと続いている攻撃の波の延長線上にあると見るのが実情に近いはずです。
VPN機器を突破する攻撃の多くは、OSやアプリのように「ウイルスに感染させる」タイプの手口とは少し違います。機器そのものの持つ欠陥(脆弱性)を突いて認証を丸ごと回避し、いきなり管理者に近い権限を手に入れてしまう手口が中心です。今回のデジタル庁の事案でも、保守運用担当者の正規のアカウントが使われてファイルへのアクセスが行われたと説明されています。IDとパスワードを盗むより手前の、そもそも認証の仕組み自体をすり抜ける攻撃だったからこそ、社内側からは「いつもの担当者の作業」に見え、発見が遅れやすくなります。
それでも「なぜパッチを当てておかなかったのか」という疑問は残ります。ここに、一般論としてよく指摘される運用上の壁があります。VPN機器は24時間稼働が前提のシステムの入り口であることが多く、更新作業にはメンテナンス時間の確保が要ります。さらに保守運用は多重の委託構造になっていることが珍しくなく、誰が脆弱性情報を日々追い、誰がパッチ適用の判断を下すのかという役割分担があいまいになりやすい、という課題は業界内でたびたび指摘されてきました。同じ構造の危うさは、ランサムウェアが日本企業を狙い続ける理由を追ったときにも見えてきたものです。
発覚から公表まで2カ月半、隠蔽ではなく構造の遅れ
今回、SNSやまとめサイトで目立ったのは「なぜこんなに公表が遅いのか」という声でした。時系列を並べ直すと、6月25日に検知、7月9日に原因を特定、そして公表は9月11日。原因が分かってからでも、公表までにさらに2カ月かかっています。「隠していたのではないか」という疑いの目が向くのは、自然な反応です。
- 6月25日 ── 異常なファイルアクセスを検知、調査開始
- 7月9日 ── VPN機器の脆弱性を悪用した侵入と特定、アカウント停止・外部通信遮断
- 9月11日 ── 漏洩の可能性を公表、個別連絡・問い合わせ窓口の開設
ただ、私たちはこれを単純な「隠蔽」と決めつけることには慎重でありたいと考えます。原因を特定したあとにやるべき作業は、実際には膨大です。どのファイルに誰の情報が含まれていたかを一件ずつ洗い出す作業、対象者への通知文面の作成、問い合わせ窓口の準備、監督にあたる機関への報告——これらを終えて初めて、責任を持って「何件、何の情報が、どういう経緯で漏れた可能性がある」と言い切れる状態になります。
この種のタイムラグは、今回に限った話ではありません。2015年、日本年金機構が標的型メール攻撃によって125万件の年金情報を流出させた事件では、職員がウイルス付きメールを開封したことが発端でした。この事件を受けて、翌2016年にはサイバーセキュリティ基本法が改正され、公的年金関連機関などが情報処理推進機構(IPA)による監視対象に加えられています。手口も組織も違いますが、「発覚から社会への説明まで、想定より長い時間がかかる」という構図は今回とよく似ています。
原因を1日で言い切れないことは、隠しているサインではなく、調べることの多さのサインでもある。
もちろん、これは「だから今回の対応が完璧だった」という意味ではありません。公表までの期間中、対象者は自分の情報が漏れているかもしれないと知らないまま過ごしていたわけで、通知のタイミングをもっと早められなかったかは、検証されるべき論点です。LINEヤフーの情報漏えいが繰り返された経緯でも、行政指導のたびに再発防止策が積み上がっていった経緯があり、今回もそうした検証のプロセスをたどることになりそうです。
「デジタル庁だから起きた」という見方への反論
ここまでの話に対して、当然、強い反論が予想されます。自分で書いておきます。
「デジタル庁は、行政のデジタル化を主導するために作られた組織のはずだ。それが民間企業でも徹底されているはずのVPN機器のパッチ管理という初歩でつまずいたのは、『構造の問題』と一般化して済ませていい話ではなく、この組織固有の体制の甘さそのものではないか」。ネット上で「素人集団」という厳しい反応が出ているのも、この感覚があるからでしょう。行政のデジタル化を看板に掲げる庁だからこそ、他の省庁以上に厳しい目で見られるのは当然であり、この批判には理があります。
それでも私たちは、こう考えます。VPN機器の脆弱性を突かれた被害は、この数年、民間の大企業や他の省庁・自治体でも繰り返し起きています。Ivanti、Fortinet、Palo Alto Networksといった主要メーカーの製品で、日本国内の被害の可能性がJPCERT/CCなどから複数回にわたって注意喚起されてきました。デジタル庁だけが際立って無能だったと片付けてしまうと、「次の担当者がもっと優秀なら、もう起きない」という誤った安心につながりかねません。
本気で再発を防ぐなら、必要なのは個人や一組織の能力を責めることではなく、境界を守る一枚のVPN機器に依存したネットワーク設計そのものを見直すことです。侵入されても被害が広がらないように内部でも都度認証を求める設計(いわゆるゼロトラスト的な考え方)への移行や、脆弱性情報を継続して追いかける専任体制の確保は、一つの庁の頑張りだけでは片づかない、行政全体の課題です。デジタル庁への批判と、行政全体の構造を見直す議論は、両立して進めるべきものだと考えます。
官公庁の情報漏洩、発覚から公表まで2カ月半かかったのは妥当だと思いますか?
よくある質問
今回の情報漏洩で、マイナンバーなど重要な情報も漏れていますか?
いいえ。デジタル庁の発表によると、漏洩した可能性があるのは氏名(約23万6千件)、メールアドレス(約23万1千件)、電話番号(約9万4千件)、住所(約1千件)で、マイナンバーや金融機関口座情報、年金番号は含まれていないとされています。
なぜ発覚から公表まで2カ月半もかかったのですか?
デジタル庁は6月25日に異常なファイルアクセスを検知し、7月9日にVPN機器の脆弱性を悪用した不正アクセスだと特定して、該当アカウントの停止と外部通信の遮断を行いました。原因の特定後も、漏洩した情報の範囲の洗い出しや対象者への連絡体制の準備に時間がかかったとみられ、9月11日の公表に至っています。
自分の情報が漏れたかどうかはどうすれば分かりますか?
デジタル庁は該当者への個別連絡と、専用の問い合わせ窓口(0120-360-036)を設けています。対象は政府職員らの関係者で、一般の国民の個人情報は含まれていないとされています。
まとめ
デジタル庁の情報漏洩は、VPN機器の脆弱性という、この数年見慣れた手口によって起きました。発覚から公表までの2カ月半は、隠蔽と見るにはあまりに長く、調査の丁寧さと見るには短すぎる、判断の難しい期間です。
はっきりしているのは、この種の事故を「今回の担当者が悪かった」で終わらせている限り、次も同じ穴を誰かが突かれるということです。官公庁と民間企業のどちらにとっても、境界の一枚の鍵に頼り切った設計を見直す機会として、この一件を記憶しておく価値があります。
関連記事:LINEヤフー情報漏えいの理由と繰り返す訳 / ランサムウェア半年116件、日本企業を狙う理由
▶ 次に読む
📰 時事・社会
物議玉木雄一郎氏、対抗馬に5分説教→「器小さい」批判
玉木雄一郎氏が国民民主党代表選の討論会後、対抗馬の橋本幹彦氏を控室で5分以上説教していたと週刊文春が報じた。Xでは「器が小さい」との批判が広がる一方、内容の真偽を疑う声もある。経緯と両論を整理する。
