VPNの脆弱性を利用 ～ デジタル庁が運用するガバメントソリューションサービス（GSS）に不正アクセス、約24.6万件の個人情報が漏えいした可能性

　デジタル庁は9月11日、ガバメントソリューションサービスへの不正アクセスについて発表した。

　これはデジタル庁が運用するガバメントソリューションサービス（GSS）に外部から不正アクセスがあり、GSS上で取り扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性が判明したというもの。

　同庁では6月25日に、保守運用担当者のアカウントを利用したサーバ上の大量のファイルへのアクセスを検知したため、調査した結果、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが7月9日に判明したという。

　同庁では7月9日に、当該保守運用担当者のアカウントを停止するとともに、侵害された機器と外部との通信を遮断している。

　漏えいした可能性があるファイルには、約24.6万件の氏名、メールアドレス、電話番号、住所等の個人情報が含まれており、その内訳は下記の通り。

・GSS利用機関の職員及びGSS利用機関の業務に携わった公務員等の情報：約18.9万件 ・GSS利用機関の業務に携わった事業者及び個人の情報：約5.7万件

　同庁では対象者を特定の上で、順次、個別に連絡を行う。

　同庁では7月9日に不正アクセスが判明し、個人情報の漏えいのおそれがあることを確認した後、7月15日に個人情報保護委員会に報告を行っている。

　同庁では事案発見から公表まで時間を要した理由について、検知当初の段階では不正アクセスの有無や影響範囲が判明しておらず、侵入経路の分析や漏えいした可能性のある情報の特定、漏えいした可能性のある個人情報の対象者の確認などに相当の時間を要したが、個人情報の漏えいの可能性が確認され、一定の事実関係を確認できた段階で、速やかに公表を行ったとしている。

　なお、今回の事案で悪用された脆弱性は、当初公表されていた脆弱性評価においてCVSS値 中（Medium）のものであった。

　同庁では今後、脆弱性管理方法の見直しや外部からの接続方法の改善等、セキュリティ対策の強化に努め、再発防止に取り組むとのこと。