デジタル庁が9月11日に公表したGSSへの不正アクセスでは、約24.6万件の個人情報が漏えいした可能性がある。大量のファイルへのアクセスを検知した6月25日から公表まで、暦日差は78日だ。ただし、その間ずっと報告も対応もなかったわけではない。翌12日更新の公式Q&Aには、7月15日の個人情報保護委員会への報告が記載されている。検知、封じ込め、報告、本人への連絡、公表を別々に追う必要がある。
1. 78日間にあった四つの日付
デジタル庁の9月11日発表と9月12日更新Q&Aを基に作成。日数は編集部の暦日差計算で、初日を含む法定期限の算定ではない。
| 2026年の日付 | 公式発表で確認できる経過 | 日数の意味 |
|---|---|---|
| 6月25日 | 保守運用担当者のアカウントによる大量ファイルへのアクセスを検知、調査開始 | 公表まで78日の起点 |
| 7月9日 | VPNの脆弱性による侵入が判明、対象アカウント停止と外部通信遮断 | 検知から14日 |
| 7月15日 | 個人情報保護委員会へ報告 | 侵入判明から6日 |
| 9月11日 | 漏えいの可能性を一般公表 | 委員会報告から58日 |
78日は、6月25日から9月11日までの単純な日付の差である。侵入判明の7月9日からは64日、委員会への報告後は58日となる。この三つを同じ「対応までの時間」として使わない。何を起点とし、何が終点なのかによって、答える問いが変わる。
公式Q&Aは、検知当初は不正アクセスの有無や影響範囲が分からず、侵入経路や対象情報・対象者の確認に時間を要したと説明する。これは庁側の説明であって、全調査記録を外部から検証した結果ではない。それでも、旧稿の「この間に何が行われたかは公表資料から直接読めない」という記述は広すぎた。確認できる説明と、なお公表されていない詳細を分ける。
とくに7月15日の報告を抜いたまま、64日や78日を監督機関への未報告期間とみなすと、事実関係を変えてしまう。報告の存在を加えることは、公表の時期を無条件に肯定することではない。批判する場合にも、実際に確認できた日付を土台にする必要がある。
2. 漏えいの可能性と、確定した被害は違う
発表は「漏えいした可能性」があるとする。対象ファイルに個人情報が含まれ、不正アクセスの痕跡が確認された情報について、漏えいを否定できないものも対象に含めているという説明だ。24.6万件全ての外部流出や悪用を確認したという意味ではない。反対に、可能性という表現を理由に影響をゼロと扱うこともできない。
内訳は、GSS利用機関の職員や業務に携わった公務員等が約18.9万件、事業者や個人が約5.7万件で、表示値の合計は24.6万件となる。独立行政法人の職員も前者に含まれる。件数をそのまま重複のない被害者数に読み替えない。原発表もQ&Aも件数で示している。
一般の国民の情報は含まれないとの説明は、公務員以外は全て対象外という意味ではない。省庁業務に携わる事業者・個人は対象に含まれる。マイナンバー、金融機関口座情報、年金番号等は含まれていないと発表されているが、それは氏名や連絡先の漏えいリスクまで否定する説明ではない。対象の範囲と情報の属性を分けて読む。
3. 約56.2万の属性を、約24.6万件に足さない
氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件という属性別の表示には、重複がある。四項目を足した約56.2万は、全体の約24.6万件を超えるが矛盾ではない。同じ情報に複数の属性が含まれ得るためだ。属性の合計を新しい漏えい総件数として見出しにしない。
表示値を全体24.6万で割れば、氏名約95.9％、メール約93.9％、電話約38.2％、住所約0.4％となる。これは丸められた件数同士の概算で、どの属性が一緒に含まれるかは示さない。氏名のない実人数が正確に1万人、住所とメールが重なる人数が何人、といった細かい結論をここから作ることはできない。
公式Q&Aは利用者登録等の申請書に業務上の連絡先を記載することを説明し、電話番号や住所の多くが公務用の連絡先や庁舎所在地だとしている。旧稿は属性の割合から登録簿の形を推測したが、今回は説明された範囲に置き換える。全ファイルが一つの登録簿だった、全アドレスが個人用だった、という断定はしない。
業務用の情報であっても、なりすましへの警戒は必要だ。ただし「攻撃者が23万件のアドレスを資産として持っている」という表現は、持ち出しと悪用を既に確認したかのように響く。公表時点で二次被害は確認されていないという発表と、今後悪用されるおそれを区別する。危険を説明するために、未確認の被害を既成事実にはしない。
4. VPNという名前だけで原因を説明しない
公式Q&Aによると、悪用された脆弱性は攻撃確認前に公表されており、当初の深刻度評価は中程度だった。修正プログラムの適用前に悪用されたという。具体的な内容は非公表である。既知の脆弱性だったことと、どの製品のどの欠陥かまで特定できたことは別だ。
旧稿の「正規アカウントならシステムは不正と判定できない」という一般化も撤回する。今回は大量アクセスが検知された事実を確認できる一方、使われていた検知規則や認証・権限の全構成は公表されていない。攻撃が見えなかった理由を、アカウントの種類だけから決めることはできない。
また、VPNだから必ず危険、古典的な経路だから対策も単純だった、とだけ評価しない。問うべきなのは、脆弱性情報の把握から対処までの時間と、その間の代替的な防御である。特定の製品や攻撃方法を推測して埋めるより、何が説明され、何が伏せられたかを残したほうが検証を進められる。
5. 委員会への報告、本人通知、一般公表は別の手続き
個人情報保護委員会の案内は、漏えい等の速報を速やかに、確報を原則30日以内、不正目的で行われたおそれがある場合は60日以内と説明し、行政機関等も報告義務の対象として整理している。旧稿の「民間の期限を行政の目安として借りる」という説明は改める。
ただし、この数字は委員会への報告の期限であり、社会への一般公表が必ず60日以内という意味ではない。本件でいう7月15日の報告と、9月11日のウェブ公表を同じものにしない。速報・確報の区分や内容、法的な起算点と期限算定を確認せず、78日という暦日差だけで違法か適法かを判断することはできない。
本人への連絡も一般公表と同じではない。発表は対象者を特定して順次連絡するとし、Q&Aは連絡先を特定できた方から個別に連絡すると説明する。全対象者への最初の通知日や完了日は、今回確認した資料から確定できない。「全員が78日後に初めて知った」という旧稿の読み方は撤回する。
対象者にとって重要なのは、調査全体が終わったかだけでなく、自分に必要な注意が届いたかである。庁の発表は、不審な連絡のリンクや添付を開かず、認証情報などを入力しないよう注意を促している。個別通知を装う連絡自体にも警戒が必要で、公式発表に載る窓口を自分で確認するという順序を守りたい。
独自の視点――公表の速さを、守る行動につなげる
編集部が考える検証の物差しは、78日を短くすることだけではない。侵入を確認して止めるまで、委員会に報告するまで、対象者を特定して連絡するまで、社会へ事実を示すまでを分け、それぞれの到達点を追うことだ。全てを公表日一つで測ると、封じ込めが実施されたことも、個別通知の進み方がなお分からないことも見えなくなる。
例えば将来の説明で、分かった情報と未確定の範囲、対象者が取れる行動、次に情報を更新する条件を同時に示せれば、調査中でも役立つ公表となる。これは編集部の提案で、本件でその全てが実施されたとの認定ではない。攻撃に悪用される技術詳細を伏せることと、本人が判断するための説明を出すことも区別できる。
約24.6万件は集約された情報の規模を示すが、共通基盤に集めたことだけが侵入の原因と証明されたわけではない。集約の便利さを残しつつ、権限、保管期間、侵害時の影響範囲をどう制限するかが次の問いになる。公表した数字と日付を、対策の宣言だけでなく、後から確かめられる記録につなげることが、信頼を取り戻す一歩だ。
訂正・補足（2026年10月10日）：旧注意欄で未確認としていた行政機関等の報告制度を委員会案内で確認し、民間の目安を借りる説明を改めた。9月12日追記の7月15日報告を補い、一般公表と本人通知・委員会報告を区別。全対象者が78日後に初めて知ったとの断定、正規アカウントの検知不能、漏えい件数から実人数や攻撃者の保有情報を確定する説明を撤回。78日は暦日差で、法定期限や法令違反の判定ではない。漏えいの可能性と確認済み被害を区別する。
［文・構成＝編集長 麻生 矩暉］
出典とメモ
- デジタル庁：GSS不正アクセスによる職員等の個人情報漏えいの可能性、9月11日発表。検知・侵入判明・停止、対象と属性（重複あり）、二次被害は発表時点の説明。表と概算は本発表等を基に作成。
- 本事案のQ&A、9月12日更新。7月15日報告の追記、業務用連絡先、既知脆弱性・修正前の悪用、順次連絡を照合。情報公開の制限と継続調査に留意。10月10日に再確認。
- 個人情報保護委員会：漏えい等の対応とお役立ち資料。報告期限と行政機関等の対象を確認。一般制度の案内であり、本件の報告書、起算点、法的適否を確定したものではない。
- 旧参照先の時事、マイナビ、EnterpriseZine、セキュリティ対策Labは参照履歴として保持。今回は公式発表等を根拠とする。全対象者の実人数、通知完了日、全調査記録、具体的脆弱性と技術構成、速報・確報の全内容、現在の二次被害、法的適否は未検証。最終節は編集部の分析・検証提案である。
