政府の共通基盤に、外から入られました。ただ、デジタル庁が示した24.6万件は、確定した流出件数ではありません。痕跡が確認された情報について、漏えいを否定できないものまで含めて数えた、保護を優先した数です。数字の大きさより先に、その読み方を確かめておきたいと思います。
デジタル庁は2026年9月11日、同庁が運用する政府共通の業務環境「ガバメントソリューションサービス」（GSS）が外部から不正アクセスを受け、約24.6万件の個人情報が漏えいした可能性があると発表した。6月25日に保守運用担当者のアカウントによるサーバ上の大量ファイルへのアクセスを検知して調査を開始し、7月9日に第三者がネットワーク接続機器（VPN）の脆弱性を利用した侵入と判明した。
同日、当該アカウントを停止し、侵害された機器と外部との通信を遮断した。対象は氏名、メールアドレス、電話番号、住所等で、内訳はGSS利用機関の職員および公務員等が約18.9万件、事業者および個人が約5.7万件。マイナンバー、金融機関口座情報、年金番号と一般の個人情報は含まれない。二次被害は確認されていない。
From: 
ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について｜デジタル庁
【編集部解説】
まず押さえておきたいのは、今回の入口が外部からの攻撃だったという点です。1か月前にデジタル庁が公表した150名の漏えいは、他省庁へ渡すファイルの作り方を誤った作業ミスでした。今回は、ネットワーク接続機器の脆弱性を突かれて第三者が入り込んでいます。同じ官庁が続けて出した公表でも、性質はまったく違います。
次に、24.6万件という数字の読み方です。内訳は二段構えで示されています。ひとつは対象者による区分で、GSS利用機関の職員および業務に携わった公務員等が約18.9万件、業務に携わった事業者および個人が約5.7万件。同じ数値をQ&Aは「万人」と書いており、件で数えたのか人で数えたのかは、原典のなかで揃っていません。ここでは公表文に合わせて件と記します。もうひとつは項目による区分で、氏名が約23.6万件、メールアドレスが約23.1万件、電話番号が約9.4万件、住所が約0.1万件です。後者には「重複あり」と明記されています。足し上げて総数を出す種類の数字ではありません。
項目別で目を引くのは、住所が約0.1万件にとどまることです。GSSを使うには利用者登録の申請書を出す必要があり、そこに代表者の氏名や業務に使う電話番号、勤務先の住所を書きます。Q&Aによれば、登録された電話番号や住所の大半は個人のものではなく、各府省庁の庁舎所在地や公務に使う連絡先でした。自宅住所が24万件流れたという話ではありません。
含まれないものも明確です。マイナンバー、金融機関口座情報、年金番号は、調査の結果いずれも含まれていません。一般の国民の個人情報も含まれません。ただし、ここで言う一般の国民に入らない人の範囲は広めです。各府省庁の業務に携わった企業の従業員や個人事業主、省庁が開いたWeb会議に参加した人が含まれます。公務員でなくても、省庁の仕事に関わったことがある人は対象になり得ます。
「可能性」という言葉の設計も見ておく価値があります。デジタル庁は、不正アクセスの痕跡が確認された情報について、対象者の保護を最優先に考え、漏えいが否定できないものまで含めて数えたと説明しています。24.6万件は確定した流出件数ではなく、広めに取った数です。
初動として実施されたのは、VPNへのパッチ適用、当該アカウントの停止、外部との通信遮断の3点です。公表文の本文で説明されているのは後ろの2点で、パッチ適用は概要図のほうに示されています。
対象になり得る方が今日からできることは、デジタル庁の呼びかけどおりです。氏名が約23.6万件、メールアドレスが約23.1万件。両方が同じ人について揃っていた件数までは公表されていませんが、この規模でメールアドレスが含まれている以上、想定しやすい二次被害の一つがフィッシングやなりすましのメールです。デジタル庁や省庁を名乗る連絡であっても、心当たりのないリンクや添付ファイルは開かない。認証情報やクレジットカード情報を入力しない。デジタル庁は、そうした情報をメールや電話で尋ねることはないと明言しています。対象者には順次、個別に連絡が入ります。
最後に時間の話です。検知が6月25日、侵入の判明が7月9日、公表が9月11日。検知から公表まで78日かかっています。デジタル庁はこの期間を、侵入経路の分析と漏えいした可能性のある情報の特定、対象者の確認に要した時間として説明し、一定の事実関係を確認できた段階で速やかに公表したとしています。
制度の側も見ておきます。個人情報保護法68条は、一定の漏えい等について、行政機関の長等に個人情報保護委員会への報告を義務付けています。施行規則43条が挙げる対象は、本人の数が100人を超える事態だけではありません。要配慮個人情報、財産的被害のおそれ、そして不正の目的をもって行われたおそれがある行為による漏えい等も、それぞれ独立した対象です。公表内容に照らせば、外部からの不正アクセスによる今回は、件数にかかわらず3号に該当すると考えられます。報告は、知った時点で速やかに出す速報と、原則30日以内（不正の目的による場合は60日以内）の確報の二段構えです。
この報告は委員会に対して行うもので、報道発表とは別の手続です。今回の公表文とQ&Aには、委員会への報告や本人への通知の実施状況は書かれていません。報告していないという意味ではなく、公表された文章からは確認できないということです。
調査は現在も続いており、デジタル庁自身が、今後の調査により内容が更新される場合があると書いています。事案の輪郭は、これからの続報で定まっていきます。
【関連記事】
デジタル庁の150名漏えい｜焦点は外部提供ファイルの作成手順
1か月前にデジタル庁が公表した事案。原因が外部からの攻撃ではなく作業手順書の記載だった点で、今回とちょうど対をなす内容である。
さくらインターネット136万563の読み方｜確定件数ではない、それでも今日やること
公表された件数が確定値ではない場合に、その数字をどこまで読めてどこから読めないのかを整理した記事。読み方の型がよく似ている。
【解説】イエローハット180万人漏えい｜4項目で止まった理由
漏えいした項目の範囲が被害の性質を決めることを扱った記事。含まれなかった情報にも意味があるという読み方を今回と共有している。
日本医科大学武蔵小杉病院、ナースコールシステムへのランサムウェア攻撃で約1万人の患者情報が漏洩
保守用VPN装置が侵入経路になった国内の医療機関の事例。組織の種別を問わず、同じ構図が繰り返されていることがよくわかる。
【編集部後記】
Q&Aには、政府の業務に支障は生じなかったのかという問いがあります。答えは、遮断したのは侵害を受けた機器と外部との通信であり、GSSを使う業務に支障は生じていない、というものでした。
遮断は7月9日です。そこから公表まで2か月、各府省庁の職員はいつもどおりの環境で働いていたことになります。止めずに調べ切る。78日という期間の中身は、その判断だったのだと思います。
【用語解説】
ガバメントソリューションサービス（GSS）
デジタル庁が各府省庁向けに一括して調達・提供する、政府共通の業務実施環境。職員が使うPCやネットワーク、認証、セキュリティ機能までを包括して扱う。各府省庁が個別に整備していた基盤を統合する目的で進められてきた。
VPN
公衆回線を経由して、外部から組織内のネットワークへ安全に接続するための仕組み。本件では、その接続を担う機器の脆弱性が侵入の入口となった。製品名は公表されていない。
行政機関の長等
個人情報保護法が、保有個人情報の取扱いについて義務を課す主体。国の行政機関の長のほか、独立行政法人等、地方公共団体の機関、地方独立行政法人が含まれる。漏えい等の報告義務は、この主体に対して定められている。
速報と確報
漏えい等の報告は二段構えになっている。事態を知った時点で速やかに出すものが速報、事実関係を確認したうえで出すものが確報である。確報の期限は原則30日以内、不正の目的をもって行われたおそれがある行為による場合は60日以内とされる。
二次被害
漏えいした情報が実際に悪用されることで生じる被害。なりすましや不審な連絡が典型で、漏えいの発生とは別に確認される事実である。
フィッシング
実在する組織を装った連絡で偽サイトへ誘導し、認証情報やクレジットカード情報を入力させる手口。氏名とメールアドレスが揃った情報は、この種の働きかけの起点になり得る。
【参考リンク】
「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」に関するQ&A｜デジタル庁（外部）
公表文とは別に出された一問一答。件数の内訳や住所と電話番号の性質、「可能性」という表現が何を含んだ数え方なのかまで説明されている。
松本大臣記者会見（令和8年9月11日）｜デジタル庁（外部）
本件が公表された日の記者会見ページ。会見要旨は後日掲載される旨が案内されており、発言の全文は現時点ではまだ読むことができない。
漏えい等の対応とお役立ち資料｜個人情報保護委員会（外部）
漏えい等が起きた際の報告先と報告様式をまとめた公式ページ。行政機関等と民間事業者とで提出先が分かれている点に注意したい。
個人情報の保護に関する法律についてのガイドライン（行政機関等編）｜個人情報保護委員会（外部）
規則43条が定める報告対象の四つの類型を、条文番号とともに整理した公式ガイドライン。行政機関等に向けて書かれた版である。
デジタル庁（外部）
デジタル社会形成の司令塔となる行政機関の公式サイト。GSSを所管しており、本件を含む報道発表はプレスルームに掲載されている。
【参考記事】
国の機関の業務環境GSSに不正侵入、職員の氏名など24万6000件漏洩の恐れ｜日経クロステック（外部）
最大約24万6000件という規模と、VPNの脆弱性が悪用された経緯を、発表の当日に技術的な観点から詳しく報じた記事である。
政府システムに不正アクセス、個人情報24.6万件漏えいか 原因は「既知のVPN脆弱性」 なぜ防げなかった？｜ITmedia ビジネスオンライン（外部）
約18.9万件と約5.7万件という内訳を示したうえで、悪用された脆弱性が既知のものであった点に焦点を当てて掘り下げている。
デジタル庁のGSSに不正アクセス、約24万6000件の個人情報が漏えいした可能性｜マイナビニュース（外部）
6月25日の検知から7月9日の判明までの時系列を、デジタル庁が公表した概要図の内容とあわせて丁寧に整理している記事である。
政府システムに不正アクセス、職員ら情報24万件漏洩か デジタル庁｜日本経済新聞（外部）
再発防止に全力で取り組むとした担当大臣の発言を含め、この日の発表の骨子を短くまとめた記事。政府側の受け止め方がよくわかる。
デジタル庁 GSS（ガバメントソリューションサービス）に不正アクセス、VPN脆弱性を悪用 職員等約24.6万件の個人情報漏えいの可能性｜セキュリティ対策Lab（外部）
属性別の件数を列挙したうえで、製品名やCVE番号、脆弱性の公表時期、攻撃者の情報が公表されていない点をはっきり明示している。
