デジタル庁の政府共通システムに不正アクセス
2026年9月11日、デジタル庁は、同庁が運用するガバメントソリューションサービス（GSS）に外部から不正アクセスがあり、個人情報を含む一部のファイルが外部に漏えいした可能性があると発表しました。
漏えいした可能性がある個人情報は約24.6万件。
今回のニュースで、特に衝撃を受けた方も多いのではないでしょうか。
なぜなら、被害を受けたのが民間企業ではなく、日本政府のデジタル政策と政府情報システムを担う「デジタル庁」だからです。
デジタル庁は行政DX、ガバメントクラウド、マイナポータル、政府情報システムの統括など、日本のデジタル化を推進する中心的な組織です。
そのデジタル庁が運用する政府共通システムで不正アクセスが発生したという事実は、「十分なIT人材や予算を持つ組織であればサイバー攻撃を防げる」という考えが、もはや通用しないことを改めて示しています。
これから企業がAIやDXをさらに進めていく中で、今回の事案は非常に重要な教訓を含んでいます。
デジタル庁 個人情報流出の時系列。 公式発表を整理
デジタル庁の公式発表によると、最初に異常を検知したのは2026年6月25日です。
保守運用担当者のアカウントを使い、サーバ上の大量のファイルへアクセスが行われていることを検知し、調査を開始しました。
その後、7月9日の調査によって、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムへ侵入していたことが判明しました。
デジタル庁は同日、問題となった保守運用担当者のアカウントを停止するとともに、侵害された機器と外部との通信を遮断しています。
外部の専門事業者も交えて調査を進めた結果、GSS上で管理されていた個人情報を含むファイルの一部について、外部に漏えいした可能性があることが確認されました。
デジタル庁 個人情報流出 時系列 今回の流れ
- 2026年6月25日：保守運用担当者のアカウントによる大量ファイルアクセスを検知
- デジタル庁が調査を開始
- 2026年7月9日：VPN機器の脆弱性を利用した外部からの侵入が判明
- 問題となったアカウントを停止
- 侵害された機器と外部との通信を遮断
- 外部専門事業者を交えて影響範囲を調査
- 個人情報約24.6万件が漏えいした可能性を確認
- 2026年9月11日：デジタル庁が事案を公表
ここで重要なのは、今回の事案が単純なパスワード漏えいではなく、VPN機器の脆弱性を入口としてシステムへの侵入が行われたとデジタル庁自身が説明している点です。
漏えいした可能性がある個人情報は約24.6万件
デジタル庁によると、漏えいした可能性がある個人情報は約24.6万件です。
| 対象 | 件数 |
|---|---|
| GSS利用機関の職員、業務に携わった公務員等 | 約18.9万件 |
| GSS利用機関の業務に携わった事業者・個人 | 約5.7万件 |
情報の種類別では、氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件などとされています。
一方で、今回の漏えい対象にはマイナンバー、金融機関口座情報、年金番号などは含まれていないことが確認されています。
また、一般の国民の個人情報は今回の対象には含まれていないとデジタル庁は説明しています。
2026年9月11日時点で、漏えいした可能性のある情報が悪用された二次被害も確認されていません。
デジタル庁に不正アクセスへのネット上の反応
やはりデジタル庁という名前を冠した組織が攻撃されたことに衝撃を覚える方が多かったです
そもそも攻撃を受けたGSSとは何なのか
今回不正アクセスを受けたGSSとは「ガバメントソリューションサービス」の略称です。
デジタル庁はGSSについて、政府共通の標準的な業務実施環境として整備を進めています。
行政機関の職員が利用するPC、ネットワーク、コミュニケーション環境などを共通化し、各府省庁がより安全かつ効率的に業務を行える環境を提供することが目的です。
デジタル庁はGSSにおいて、ゼロトラストネットワークアーキテクチャなどの最新技術を活用し、行政機関の生産性とセキュリティの双方を向上させることを掲げています。
つまり今回の事案は、単に「ある省庁の一つのシステムが攻撃された」という話ではありません。
政府全体のデジタル化を支える共通IT基盤の一部が攻撃対象になったという点に大きな意味があります。
DX推進とセキュリティ対策を
別々に考えていませんか？
クラウド利用、SaaS導入、ERP刷新が進むほど、ID・権限・認証情報の管理は重要になります。システム導入だけでなく、運用設計やガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。
無料相談する「デジタル庁ですら被害を受ける」という事実
今回のニュースを見て、「デジタル庁なのにハッキングされるのか」と感じた方もいるかもしれません。
しかし企業のIT担当者や経営者が学ぶべきなのは、デジタル庁を批判することだけではありません。
むしろ重要なのは、サイバー攻撃を完全に防ぐこと自体が、極めて難しい時代になっているという現実です。
十分なセキュリティ体制を整備していたとしても、
- VPN
- ルーター
- ファイアウォール
- クラウドサービス
- SaaS
- 端末
- 外部委託先
など、企業や組織が利用するIT環境のどこかに新しい脆弱性が発見される可能性があります。
つまり、セキュリティ対策を「侵入されないための対策」だけで考えること自体が危険なのです。
今回の事案で注目すべき「VPNの脆弱性」
VPNは、社外などから企業のネットワークへ安全に接続するため、多くの企業や行政機関で利用されています。
しかしVPN機器もソフトウェアを搭載したIT機器であり、脆弱性が発見されることがあります。
脆弱性が公表された場合には、
- 対象製品を把握する
- 自社環境への影響を確認する
- 修正プログラムを適用する
- 必要に応じてアクセスを制限する
- 侵害の痕跡がないかログを確認する
といった対応が必要になります。
今回、デジタル庁は再発防止策として、脆弱性管理方法の見直しと、外部からの接続方法の改善を進めるとしています。
これは民間企業にとっても重要なポイントです。
セキュリティ製品を導入しただけで安心するのではなく、導入した機器そのものを継続的に更新・監視していく必要があります。
AI・DXが進むほどサイバー攻撃の「入口」も増えていく
企業では現在、生成AI、クラウド、ERP、CRM、SaaSなどの導入が急速に進んでいます。
これらの技術は業務効率を大きく改善する一方、企業のIT環境を複雑にしていきます。
従来であれば社内ネットワークの中だけで完結していた業務が、
- クラウド
- 外部SaaS
- API
- 外部ベンダー
- リモートアクセス
- 生成AI
などと接続されるようになります。
つまりDXとは、単に便利になることではありません。
デジタル化が進むほど、企業が守らなければならない接続点も増えるということです。
以前の記事「DXが現場に定着しない理由」でも触れていますが、DXは新しいツールを導入するだけでは成功しません。
業務、組織、運用、ガバナンスを含めた全体設計が必要です。
そこに今後は「セキュリティ」をさらに強く組み込む必要があります。
AI時代は情報そのものの価値がさらに高まる
特に生成AIが企業へ普及すると、情報管理の重要性はこれまで以上に高まります。
企業がAIを活用するためには、
- 社内文書
- 顧客情報
- 製品情報
- 経営データ
- 業務マニュアル
- 営業情報
など、大量の企業データをデジタル化する必要があります。
しかし、データを集約してAIから利用しやすくするということは、別の視点では攻撃者にとって価値の高い情報資産が増えることでもあります。
そのため「とりあえずAIを導入する」「とりあえずクラウドに移す」という考え方は危険です。
AI活用については「AI活用の前に整理すべき業務課題」でも解説していますが、AI導入前には業務だけでなく、データの保存場所、アクセス権限、利用範囲などを整理する必要があります。
DX推進とセキュリティ対策を
別々に考えていませんか？
クラウド利用、SaaS導入、ERP刷新が進むほど、ID・権限・認証情報の管理は重要になります。システム導入だけでなく、運用設計やガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。
無料相談する「ゼロトラスト」でも絶対安全ではない
デジタル庁はGSSにおいて、ゼロトラストの考え方を取り入れています。
ゼロトラストとは、社内だから安全、社外だから危険と単純に判断するのではなく、アクセスのたびにユーザーや端末などを確認し、必要な権限だけを与えていく考え方です。
これは現代のセキュリティにおいて非常に重要な設計思想です。
しかし、ゼロトラストを導入したからといって攻撃を完全に防げるわけではないことが今回の事案で表面化しました。
ネットワーク機器、ソフトウェア、認証、端末など、システムを構成するどこかに脆弱性が存在すれば攻撃を受ける可能性があります。
だからこそ重要になるのが、
- 侵入を防ぐ
- 侵入を早期に検知する
- 侵入された場合の影響を限定する
- 速やかに復旧する
という多層的な考え方です。
重要なのは「侵入ゼロ」よりサイバーレジリエンス
今後の企業経営で重要になるキーワードの一つが「サイバーレジリエンス」です。
これは、サイバー攻撃を完全に防ぐことだけを目指すのではなく、
攻撃を受けたとしても、被害を限定し、業務を継続し、速やかに復旧できる企業をつくる
という考え方です。
デジタル庁自身も「常時リスク診断・対処（CRSA）」の導入を進め、政府情報システムの状態を継続的に診断し、リスクを可視化して対処する仕組みを整備しています。
つまり、国レベルでもセキュリティ対策は「一度対策したら終わり」ではなく、常時監視・診断する方向へ変化しています。
企業がデジタル庁個人情報流出の事案から確認すべき7つのポイント
今回のデジタル庁の事案を受け、企業でも以下を確認しておくことをおすすめします。
1．VPNやネットワーク機器の脆弱性を把握できているか
社内サーバだけでなく、ルーター、VPN、ファイアウォールなども重要なIT資産です。
2．セキュリティパッチを速やかに適用できる体制があるか
脆弱性が判明しても、誰が判断し、誰が更新するのか決まっていなければ対応が遅れます。
3．外部からのアクセス経路を把握しているか
テレワーク、外部ベンダー、クラウドなど、社外から接続できる経路を棚卸しする必要があります。
4．管理者・保守アカウントの権限は適切か
保守運用アカウントは大きな権限を持つケースが多く、攻撃者に狙われた場合の影響も大きくなります。
5．大量アクセスなど異常を検知できるか
今回の事案も、大量のファイルアクセスの検知が調査開始のきっかけになっています。
6．侵害された際に通信を即座に遮断できるか
攻撃を100％防げない以上、被害拡大を止める仕組みが必要です。
7．経営層がセキュリティをIT部門だけの問題にしていないか
現在の企業経営では、サイバー攻撃によって営業、製造、物流、決済などが止まる可能性があります。
セキュリティは情報システム部門だけではなく、事業継続そのものに関わる経営課題です。
最近のシステム障害から見える「デジタル依存」のリスク
企業や行政がデジタル基盤へ依存するほど、一つの障害や攻撃による影響は大きくなります。
ASCENDではこれまでにも、全国の自治体公式ホームページで相次いだ閲覧障害について「全国で自治体公式HPが相次ぎ閲覧不能に。共通クラウド基盤とBCPの盲点」として解説しました。
また、「Microsoft Teamsで発生した障害」のように、企業が日常的に利用するクラウドサービスでも障害は発生します。
これらはサイバー攻撃とは性質が異なります。
しかし共通しているのは、企業活動のデジタル依存度が高まるほど、IT基盤の停止や侵害がそのまま事業リスクになるという点です。
「DXを進める」と「セキュリティを強くする」はセットで考える
これから日本企業では、生成AI導入、ERP刷新、クラウド移行、業務自動化などがさらに進むでしょう。
こうした取り組み自体は、企業競争力を高めるために必要です。
一方で、デジタル化すればするほど、
- 管理するアカウント
- クラウドサービス
- 外部接続
- API
- ネットワーク機器
- 保守ベンダー
も増えていきます。
そこで求められるのは、
「DXを進めてからセキュリティを考える」のではなく、「DXと同時にセキュリティを設計する」
という考え方です。
デジタル庁の事案は日本企業にとって他人事ではない
今回の不正アクセスについて、「デジタル庁なのに」という見方は確かにあります。
しかし、企業経営の視点で考えるなら、そこだけで終わらせるべきではありません。
むしろ、日本のデジタル行政を担う組織でさえサイバー攻撃を完全には防げなかったという事実こそ、企業が真剣に受け止めるべきポイントではないでしょうか。
これからAIとDXが進展するほど、企業の競争力はデジタル技術への依存度を高めていきます。
だからこそ、今後重要になるのは、
「攻撃されない会社」を目指すだけではなく、「攻撃されることも前提として、早く気づき、被害を限定し、事業を止めない会社」をつくることです。
今回のデジタル庁GSSへの不正アクセスは、AI・DX時代における企業のセキュリティ戦略を改めて考える非常に象徴的な事案だといえるでしょう。
DX / SECURITY SUPPORT
お困りではありませんか？
クラウド利用、SaaS導入、ERP刷新が進むほど、ID・権限・認証情報の管理は重要になります。システム導入だけでなく、運用設計やガバナンスまで含めたDX推進について、現状の課題整理からご相談いただけます。
無料相談する