公式発表の範囲で整理する
デジタル庁の公式発表（2026年9月11日）によると、GSSへの不正アクセスの経緯は以下のとおりです。
- 2026年6月25日：保守運用担当者のアカウントによる、通常とは異なる大量のファイルへのアクセスを検知した。
- 2026年7月9日：調査の結果、第三者がVPN機器の既知の脆弱性を悪用して侵入していたことが判明した。同日、当該アカウントを停止し、侵害された機器の外部との通信を遮断した。
- 2026年7月15日：個人情報保護委員会へ報告した。
- 2026年9月11日：事案を公表した（検知から78日）。
漏えいした可能性がある情報は、氏名・メールアドレス・電話番号・住所などです。マイナンバー・金融機関口座情報・年金番号は含まれていないことを確認したとされています。公表時点で、二次被害は確認されていないとされています。
VPN機器の製品名と脆弱性の識別番号は、公式発表では公表されていません。本稿は原因の詳細を推測するものではなく、公式発表の範囲から読み取れる一般的な教訓を整理するものです。
この事案から読み取れる3つの論点
公式発表の内容だけでも、自社システムの管理を見直すうえで参考になる論点が3つあります。
論点1：「CVSSでMedium」でも、実際の侵入に使われる
CVSSはセキュリティの世界で広く使われる脆弱性の深刻度評価の指標で、0〜10の数値で表します。Mediumは4.0〜6.9の範囲で、Criticalの9.0〜10やHighの7.0〜8.9と比べると「すぐに対応が必要とは限らない」とみなされがちです。
今回の事案では、Mediumに分類されていた既知の脆弱性が実際の侵入に使われました。CVSSの数値は脆弱性そのものの特性を示す指標のひとつです。実際の攻撃のしやすさは、その脆弱性がどの機器にあるか・その機器がインターネットに公開されているかといった環境の要因にも左右されます。深刻度の高いものだけを優先してその他を放置するという運用は、見直しが必要なケースがあります。
論点2：VPN機器のパッチ管理は「誰の担当かが曖昧」になりやすい
テレワーク対応を進めた2020〜2021年に、VPN機器や多機能ルーターを導入した会社は多くあります。しかし、導入後の保守体制が整わないまま来ているケースも少なくありません。
パッチ（ファームウェアの更新）の適用は、機器の保守を担当している会社または担当者が行う必要があります。「誰かがやっているはず」という前提で動いていると、気づかないまま脆弱な状態が続きます。特に、導入を担当した外注先との保守契約が切れていたり、担当者が退職していたりすると、機器のアップデートが止まったまま稼働し続けます。
論点3：「検知の仕組み」がないと気づくのが遅れる
今回のGSSの場合、不正アクセスを検知できたのは「保守運用担当者のアカウントによる通常とは異なる大量のファイルへのアクセス」という異常なログがあったからです。もしログの監視体制がなければ、気づくことが難しかった可能性があります。
中小企業では、ファイルアクセスのログを日常的に確認している会社は少ないのが実態です。ただ、VPN機器やサーバーのログは記録されている場合が多く、「記録されているが誰も見ていない」状態から「定期的に確認できる状態」にするだけでも、早期発見の可能性は上がります。
自社で確認できる7項目
社内の担当者、または外注先・保守業者に質問することで確認できる項目です。
| # | 確認すること | 答えられないときの論点 |
|---|---|---|
| 1 | 自社でVPN機器・UTM・セキュリティアプライアンスを使っているか（テレワーク用ルーター含む） | 機器の存在自体が把握されていない |
| 2 | 使っている機器のメーカー・製品名・現在のファームウェアバージョンが分かるか | パッチ情報と照合できない |
| 3 | 最後にファームウェアを更新したのはいつか | 既知の脆弱性が残ったままの可能性 |
| 4 | パッチ適用の担当者（社内の誰か、または外注先）が今もいるか | 誰も対応できない状態になっている |
| 5 | メーカーからのセキュリティ通知（アップデート情報）が届く設定になっているか | 新しい脆弱性の情報を受け取れない |
| 6 | VPN接続のログイン成功・失敗の記録を確認できるか | 不審なアクセスに気づけない |
| 7 | 管理用アカウントは担当者ごとに分かれているか（共有アカウントを使っていないか） | アカウントが侵害された範囲の特定が難しくなる |
1〜3に答えられない場合は、まず機器の現状把握から始めることをおすすめします。
「パッチ管理」と「アクセス管理の見直し」で何ができるか
脆弱性対策として、すぐ始められることと、段階的に整えることの2つに分けて考えると進めやすくなります。
すぐ始められること：パッチ管理の「台帳化」
VPN機器を含むネットワーク機器の一覧（メーカー・製品名・バージョン・保守担当者・最終更新日）を1枚のスプレッドシートにまとめるだけで、「誰が・いつ・何を確認するか」が明確になります。機器メーカーのサポートページには、最新ファームウェアのバージョン情報とリリースノート（修正内容の一覧）が公開されているため、定期的に照合する習慣が作れます。
保守契約がある機器については、契約内容に「パッチ適用作業」が含まれているかを確認し、含まれていなければ追加で依頼するか、契約の見直しを検討します。
段階的に整えること：アクセスログの定期確認
多くのVPN機器やファイアウォールは、接続ログ（いつ・誰が・どこから接続したか）を記録しています。このログを月1回程度確認し、心当たりのないIPアドレスや時間帯のアクセスがないかチェックするだけでも、異常の早期発見につながります。
より体制を整えたい場合は、ログ管理ツールを導入して異常なアクセスパターンをアラート通知する仕組みを作ることもできます。ただし、これはツール導入以前に「ログを見る担当者と手順」を決めることが先決です。
中長期で検討できること：VPNに依存しないアクセス設計
VPN機器はインターネットに公開された入口であるため、脆弱性が見つかると攻撃対象になりやすいという構造的な面があります。近年は、ゼロトラストと呼ばれる考え方（「内側は安全」という前提を置かず、すべてのアクセスを都度認証・認可する設計）に基づくリモートアクセス環境を採用する企業が増えています。
一度に移行する必要はありません。まず現状のVPN環境を把握し、パッチ管理を整えたうえで、次のステップとして検討できます。現状の把握から段階的に進めることが、無理のない改善につながります。
よくある質問
自社にVPN機器はないと思いますが、確認が必要ですか？
CVSSでMediumとは何ですか？危険ではないのですか？
VPN機器のパッチ適用は自分たちでできますか？
デジタル庁GSSへの不正アクセスの原因は何ですか？
出典：デジタル庁「ガバメントソリューションサービス（GSS）における不正アクセスについて」2026年9月11日／Japan Security Summit Update「デジタル庁GSSに不正アクセス、約24.6万件の個人情報漏えいの可能性 VPN脆弱性を悪用」2026年9月14日
関連記事：タイムズカーの個人情報漏えいから考える、古いシステムの点検と刷新。自社で確認できる10項目
株式会社DnDは、セキュリティ対策を標準で組み込んだシステム開発を行うDX/AX（AIによる業務変革）パートナーです。
- 既存システム・ネットワーク環境のセキュリティ確認：VPN機器・アクセス管理・ログ体制など、現状を確認してリスクを深刻度順に整理します。対象システムの権利をお持ちの方からのご依頼に限ります。
- セキュリティを組み込んだシステム開発・刷新：認証・アクセス権限の設計、ログの記録、アクセス異常の検知など、基本的なセキュリティを標準で組み込んで開発します。「今のシステムが安全かどうか分からない」「保守担当者がいなくなった」という段階からご相談いただけます。
確認は、あらゆる攻撃に対する安全を保証するものではありません。ただ、「担当者が分からない機器がある」「最後にパッチを当てたのがいつか分からない」という状態を解消することはできます。