デジタル庁「GSS」に不正アクセス、既知のVPN脆弱性の放置で職員ら24.6万件の情報流出か

概要

デジタル庁は9月11日、政府共通の業務実施環境「ガバメントソリューションサービス（GSS）」が不正アクセスを受け、国家公務員や関連事業者ら合計約24万6000件の個人情報が流出した可能性があると発表した。原因は外部からの保守運用に使われていたVPN機器の既知の脆弱性を突かれたことで、松本尚デジタル相は「事案を極めて重く受け止めている」とコメントしている。マイナンバーや口座情報、年金番号といった機微情報は含まれていないとするが、既知の脆弱性への対応が後手に回ったことで被害が拡大した経緯が明らかになっている。

侵入から発覚までの経緯

security-nextなどの報道によれば、攻撃者は5月下旬頃からVPN機器の脆弱性を悪用してGSSへの侵入を開始していたとみられる。デジタル庁が異常を検知したのは6月25日で、保守運用担当者のアカウントを使った大量のファイルアクセスが確認された。その後、外部の協力を得て調査を進めた結果、7月9日にVPN脆弱性を突いた不正アクセスであったことが判明。該当アカウントを停止し、機器を外部通信から遮断する対応を取った。BleepingComputerの報道では、7月15日に個人情報保護委員会への通知が行われたとしており、検知から公表まで2カ月半以上を要したことになる。悪用された脆弱性自体はゼロデイではなく、深刻度が「中」程度の既知の脆弱性だったとされ、パッチ適用などの基本的な対策が遅れていた可能性が指摘されている。

流出した情報と被害範囲

流出の可能性がある情報は合計約24万6000件で、内訳は関係機関の職員・国家公務員に関する情報が約18万9000件、GSSを利用する関連事業者の従事者に関する情報が約5万7000件となっている。含まれるのは氏名、メールアドレス、電話番号、住所、所属といった個人情報で、BleepingComputerが伝えた数値では氏名約23万6000件、メールアドレス約23万1000件、電話番号約9万4000件、住所約1000件が対象という。デジタル庁はマイナンバーや口座情報などの重要情報は含まれておらず、現時点で情報の悪用は確認されていないとしている。

対応の遅れと今後の課題

今回の事件では、既に対策が公表されていたVPN機器の脆弱性が長期間放置され、侵入を許した点が最大の問題として指摘されている。ITmediaによれば、デジタル庁は脆弱性を深刻度別に優先して対応する方針を取っていたが、中程度とされた今回の脆弱性は対応の順番待ちの間に突かれたと説明している。デジタル庁は悪用されたアカウントの停止や機器の切り離しといった応急対応に加え、今後は脆弱性管理プロセスの見直しやセキュリティ対策の強化に取り組む方針を示した。政府の基幹システムにおける既知脆弱性への対応体制が改めて問われる事案となった。