デジタル庁GSSに不正アクセス、VPN脆弱性悪用で24.6万件漏えいの可能性
政府共通基盤ネットワークGSSがVPNの既知脆弱性を突かれ、職員ら24.6万件の個人情報が漏えいした可能性が判明した。
今何が起きているか
デジタル庁が運営する政府共通基盤ネットワーク「ガバメントソリューションサービス（GSS）」に不正アクセスがあり、国家公務員や職員など約24万6000件の個人情報が漏えいした可能性があるとデジタル庁が発表した。攻撃にはVPNの既知の脆弱性が利用された。松本デジタル相は、脆弱性への対応が完了する前に悪用されたと説明している。
なぜ起きているか
VPN機器の既知の脆弱性に対する修正プログラムの適用が完了する前に攻撃を受けたことが直接の原因とされる。政府共通基盤という複数省庁が接続するネットワークであるため、一つの入口の弱点が広範囲に波及しやすい構造だった。既知の脆弱性が残存していた期間の管理と、パッチ適用を待つ間の暫定防御策の運用が課題として浮上している。
影響範囲
漏えいの可能性があるのはGSSを利用する国家公務員や関係職員ら約24万6000人分の個人情報で、各省庁の業務システムにも影響が及ぶ可能性がある。個人情報の内容や悪用の兆候は現時点で明らかにされていないが、対象者には確認と注意が必要になる。政府の共通基盤への信頼にも影響が及ぶ。
今後どうなりそうか
デジタル庁は影響範囲の調査と再発防止策の検討を進めるとみられる。VPNのパッチ適用状況の総点検や、政府共通基盤の認証・監視体制の見直しが議論になる可能性が高い。漏えいが確定した場合、対象者への通知や対応が順次進む見通しだが、詳細な原因や被害の全容は今後の調査結果を待つ必要がある。
今意識したほうがいいこと
GSSを利用する職員や関係者は、所属組織からの案内や通知を確認し、不審な連絡やアクセスがないか注意する。政府の発表やデジタル庁の続報を追い、必要に応じてパスワード変更などの指示に従うことが求められる。VPN機器を運用する組織は、既知の脆弱性への対応状況を点検する必要がある。
社会への影響
政府の共通基盤が狙われたことで、行政のデジタル化を支えるセキュリティ体制への信頼が問われる。既知の脆弱性への対応の遅れが広範な情報漏えいにつながり得ることを示す事例となり、公的機関のパッチ管理やインシデント対応の標準化を求める議論が強まる可能性がある。