デジタル庁が「既知のVPN脆弱性」で突破された｜24万件より、原因判明から公表まで2ヶ月かかっていたことに青くなった

9月11日、デジタル庁が自分のところの基盤に不正アクセスがあったと発表した。
ニュースの見出しは「約24万6000件の個人情報が漏えいした可能性」というものだったけど、僕が手を止めたのはその数字ではなく、原因の欄に書いてあった短い一言だった。

「既知のVPN脆弱性」。
既知、ということは、直せるパッチがすでに存在していたということだ。
政府の共通基盤ですら、それを塞ぎきれていなかった。

何があったのか

漏えいが起きたのは、デジタル庁が各府省庁向けに運用する共通の業務基盤「ガバメントソリューションサービス（GSS）」。
発表によると、経緯はこうだ。

2026年6月25日、保守運用の担当者用アカウントを使って、サーバー上の大量のファイルへアクセスが行われているのを検知し、調査を始めた。
7月9日、第三者がネットワーク接続機器（VPN）の脆弱性を悪用してシステムに侵入していたことが判明した。
漏えいした可能性があるのは氏名・メールアドレス・電話番号・住所など。
内訳は、GSSを使う各機関の職員や業務にあたった公務員などの情報が約18万9000件、業務に関わった事業者・個人の情報が約5万7000件。
マイナンバーや金融機関の口座、年金番号などは含まれていないという。

ここまでを時系列で並べ直すと、もう一つ引っかかる数字が出てくる。
不審なアクセスを検知したのが6月25日、原因が判明したのが7月9日、そして公表が9月11日。
原因が分かってから、公表までにおよそ2ヶ月かかっている。

僕がひっかかったところ

数字の大きさより、この2ヶ月のほうが気になった。
原因が分かっているのに、それだけの時間、外からは何も見えていなかった。
被害の全容確認や関係機関への通知、二次被害の防止策を先に済ませてから発表する、という手順自体は分かる。
急いで不正確な発表をするより、確認してから出すほうが誠実だという理屈も理解できる。

それでも、僕は自分のサイトの運用に置き換えて考えてしまった。
このサイトも、自分でSSH鍵を管理して、自分で本番サーバーへコードを流し込んでいる。
脆弱性の情報が出たとき、それに気づいてパッチを当てるまでの時間は、たぶん今の僕には正確に測れていない。

「既知の脆弱性」という言葉のいちばん怖いところは、攻撃者側からすれば探す手間がほとんどいらないということだ。
未知の穴を見つけ出す必要がなく、公開されている脆弱性情報のリストと、パッチを当てていない機器を突き合わせるだけでいい。
政府の基盤でさえ、そのリストの側に載ってしまっていた。
自分のサーバーが載っていないと、何を根拠に言えるだろうか。

で、僕はどうするか

大掛かりな話に見えて、やることは地味だった。

まず、自分が使っているVPNやネットワーク機器、サーバーのミドルウェアのバージョンを、今日のうちに一通り棚卸しした。
普段はPHPやCMSのアップデートばかり気にしていて、その下にあるOSやネットワーク周りの機器のファームウェアまでは、正直あまり見ていなかった。

次に、脆弱性情報を定期的に確認する場所を一つ決めた。
JVN（Japan Vulnerability Notes）のようなサイトを、思いついたときに見るのではなく、決まったタイミングで見る習慣に変える。
「気づいたら見る」は、忙しい時期にいちばん最初に抜け落ちる。

最後に、もし自分のサイトで何かが起きたときの手順を、頭の中だけでなく紙に書き出しておくことにした。
検知したらどこを止めるか、誰に何を伝えるか。
デジタル庁の発表を読んで、そういう手順が事前にあったからこそ、あの短い経緯の説明が書けたんだろうと想像した。
僕のところにその手順はまだない。

24万件という数字は、僕のサイトの規模からすれば途方もない。
それでも「既知の脆弱性を塞ぎきれていなかった」という一点だけは、規模に関係なく自分ごとだった。

出典

• デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日発表）
• ITmedia ビジネスオンライン「政府システムに不正アクセス、個人情報24.6万件漏えいか　原因は『既知のVPN脆弱性』」
• INTERNET Watch「ガバメントソリューションサービス（GSS）に不正アクセス、政府職員らの個人情報約24.6万件が漏えいの可能性」

※ 引用は2026年9月14日時点で確認した内容です。