「国が一番サイバー防御できていない」…デジタル庁の不正アクセス問題、システムの脆(東京 - 七転八起 Shichitenhakki

2026/09/17 (Thu) 14:03:40

「国が一番サイバー防御できていない」…デジタル庁の不正アクセス問題、システムの脆弱性に専門家が苦言：東京新聞デジタル
https://www.tokyo-np.co.jp/article/515917





　国のデジタル政策を進める「司令塔」のセキュリティーの甘さを露呈する大失態だ。デジタル庁が不正アクセスで、政府職員らの個人情報24万件超を流出させた可能性がある問題。発足から5年、識者は「デジタル庁の存在意義が問われる」と指摘する。（松島京太）

◆政府職員らの個人情報約24万6000件が流出か

　「本事案を極めて重く受け止めております」。松本尚デジタル相は今月11日の記者会見で陳謝した。

　デジタル庁によると、不正アクセスがあったのは、デジタル庁が発足時から運用している政府機関向けのネットワークシステム「ガバメントソリューションサービス（GSS）」。

　6月25日、不審なアクセスを検知。7月9日になって、第三者が組織外からシステムに接続する仕組みである「VPN」の脆弱（ぜいじゃく）性を悪用し、5月下旬ごろに不正に侵入していたことが発覚した。GSSを利用していた政府職員らの氏名やメールアドレス、電話番号、住所など約24万6000件が流出した可能性がある。

◆侵入されたシステムがGSSだったことが問題

　デジタル庁は、官民のデジタル化推進の司令塔として、2021年9月1日に発足。行政手続きのオンライン化やマイナンバーカードの普及、自治体システムの統一・標準化などを推進する行政機関だ。今回の不正アクセスによる流出では、マイナンバー、金融機関口座情報、年金番号などは含まれていないという。

　デジタル庁の担当者によると、攻撃を受けたVPNは「中程度」の脆弱性があると把握していたが、修正プログラムを適用する前に攻撃を受けたという。担当者は「今後の対策については具体的には言えないが、管理方法や外部からの接続方法の見直しなどを行っていきたい」と話した。

　今回の情報流出は、単なるミスとして片付けられるレベルの話なのだろうか。ITジャーナリストの三上洋氏は、侵入されたシステムがGSSだったことを問題視する。

　「GSSの目的は各省庁でバラバラに使われていたシステムを統一して、より安全なものにすることだ」とし、「各省庁に導入したGSSは『閉域網』のシステムとされ、外部のインターネットから遮断し、政府機関だけのやりとりを許す安全な環境のはずだった。しかし、このシステムも外部の誰かが保守点検をする必要があり、その担当者のVPNの脆弱性が狙われて入り口になった」。

◆「今回の失態を重く受け止めるべき」

　その上で、三上氏は、デジタル庁がVPNの脆弱性を以前から把握していたことについて「なぜこの穴を放置していたのか。サイバー防御に対する考えの甘さがあったと言わざるを得ない」と指摘する。

　セキュリティー会社「S＆J」（東京）社長の三輪信雄氏も「国の大事なシステムとしてふさわしいセキュリティーではなかった。一般企業のシステムのようなつくりだ」と苦言を呈する。

　三輪氏は、不正アクセスの検知まで1カ月ほどかかった点も問題視する。

　「金融機関などでは組織外のアカウントが保守点検する場合、例えば『何時何分にメンテナンスでログインします』と事前に申請し、それ以外のアクセスは許さない。そのため、仮に申請のないアクセスがあった場合はすぐ検知できるようになっている。デジタル庁のGSSではシステム構成が脆弱かつ異常の検知ができなかったなど、基本的なセキュリティー対策ができていなかったと考えられる」

　前出の三上氏は「国としてサイバー防御の重要性を打ち出す中で、今回のデジタル庁の失態を重く受け止めるべきだ。このままでは『国が一番サイバー防御に取り組めていないじゃないか』と突っ込まれてしまうのではないか」と語る。