デジタル庁GSSに不正アクセス｜個人情報24.6万件は誰が対象？マイナンバーへの影響は

デジタル庁GSSに不正アクセス｜24.6万件は誰が対象？マイナンバーへの影響を整理

2026年9月11日、デジタル庁は政府共通の業務環境「ガバメントソリューションサービス（GSS）」が不正アクセスを受け、個人情報を含むファイルの一部が外部へ漏えいした可能性があると発表しました。

漏えいした可能性がある個人情報は約24.6万件です。

ただし、この「24.6万件」という数字だけを見ると、実際の対象範囲を誤解しやすいところがあります。

約24.6万件は「一般国民24.6万人の情報が流出した」という意味ではありません。

デジタル庁は、対象となるのはGSSを利用する各府省庁などの職員や、その業務に携わった人に関する情報であり、一般の方の個人情報は含まれていないと説明しています。

さらに、漏えいした可能性がある情報にマイナンバー、金融機関口座情報、年金番号等は含まれていません。

一方で、国家公務員などだけの問題でもありません。約24.6万件のうち約5.7万件は、GSS利用機関の業務に携わった事業者や個人に関する情報です。

では、普通にマイナンバーカードや行政サービスを利用している人も対象なのでしょうか。

今回何が起きたのか、マイナンバーやマイナポータルへの影響はあるのか、自分が何か対応する必要があるのかまで整理します。

デジタル庁GSSで何が起きた？約24.6万件に漏えいの可能性

不正アクセスを受けたのは、デジタル庁が運用する「ガバメントソリューションサービス（GSS）」です。

デジタル庁によると、2026年6月25日、保守運用担当者のアカウントを使ってサーバー上の大量のファイルへアクセスする動きを検知し、調査を開始しました。

その後の調査で、第三者がネットワーク接続機器であるVPNの脆弱性を利用してシステムへ侵入し、不正アクセスを行っていたことが判明。7月9日には、悪用された保守運用担当者のアカウントを停止し、侵害された機器と外部との通信を遮断しています。

さらに外部の専門事業者と調査を進めた結果、GSS上で扱っていた個人情報を含むファイルの一部について、外部へ漏えいした可能性が確認されました。

デジタル庁が公表した対象別の内訳は次のとおりです。

公務員等には独立行政法人の職員も含まれます。

ここで注意したいのが、公式発表では「24.6万人」ではなく、「約24.6万件」と表現されていることです。

件数には重複が含まれており、今回の発表だけから「24.6万人の情報が漏れた」と読み替えることはできません。

また、不正アクセスそのものは確認されていますが、個人情報についてはあくまで「漏えいした可能性がある」という段階です。

約24.6万件すべてについて、外部への流出が確定したという発表ではありません。

一般の人も対象？行政サービスを利用しただけなら今回の対象ではない

今回のニュースで最も気になるのは、「自分の情報も含まれているのではないか」という点でしょう。

デジタル庁は、漏えいした可能性がある個人情報について、GSSを利用する各府省庁などの職員と、その業務に携わった人に関するものであり、一般の方の個人情報は含まれていないとしています。

つまり、

マイナンバーカードを持っている。

マイナポータルを利用したことがある。

確定申告をした。

行政窓口で手続きをした。

こうした理由だけで、今回の約24.6万件に含まれるわけではありません。

GSSは一般の人が行政手続きに使うサービスではなく、行政機関の職員が仕事をするための共通業務環境だからです。

一方で、ここから「民間人は全員対象外」と考えるのも正確ではありません。

約24.6万件のうち約5.7万件は、GSS利用機関の業務に携わった事業者及び個人に関する情報です。

そのため、政府機関の業務との関係でGSS上に個人情報が保存されていた民間事業者や個人は、対象になり得ます。

ただし、9月11日時点の発表では、この約5.7万件が委託企業の従業員、個人事業主、取引先担当者などにどのように分かれているのか、細かな内訳までは示されていません。

したがって、逆に「政府の仕事をしたことがある人は全員対象」とまで広げることもできません。

対象となった人については、デジタル庁が特定したうえで順次個別に連絡するとしています。

マイナンバー・銀行口座・年金番号は含まれていない

今回の事案とマイナンバー制度を直接結び付けて不安に感じている人もいるかもしれません。

しかし、この点についてはデジタル庁が明確にしています。

漏えいした可能性がある情報に、

マイナンバー、金融機関口座情報、年金番号等は含まれていません。

そのため、今回の発表から、

「デジタル庁が攻撃されたのでマイナンバーも流出した」

「公金受取口座が漏れた」

「年金番号が漏れた」

と判断することはできません。

マイナンバーカードそのものが侵害されたという発表でもありません。

また、今回不正アクセスを受けたのはGSSであり、マイナポータルが不正アクセスを受けたという事案でもありません。

マイナポータルは、マイナンバーカードを利用して行政手続きを行ったり、自分の情報を確認したりする個人向けのオンライン窓口です。

今回狙われたGSSとは用途が異なります。

ここで重要なのは、「デジタル庁」という共通点だけで複数のシステムを一緒に考えないことです。

少なくとも2026年9月11日に公表された今回のGSS事案では、マイナンバー、金融機関口座情報、年金番号等は対象データに含まれていないことが確認されています。

漏えいした可能性があるのは氏名・メール・電話番号など

では、実際にはどのような個人情報が含まれていたのでしょうか。

デジタル庁が公表した属性別の件数は次のとおりです。

これらの数字には重複があります。

例えば、同じ人について氏名、メールアドレス、電話番号が含まれていれば、それぞれの属性でカウントされます。

そのため、

「氏名23.6万件＋メールアドレス23.1万件＋電話番号9.4万件……」

と単純に足して、漏えいした可能性がある人数を求めることはできません。

住所約0.1万件についても、公式発表では「住所」とされているだけで、そのすべてを自宅住所と読み替えることはできません。

今回の数字を見るときは、人数と情報項目の件数を混同しないことが大切です。

そもそもGSSとは？マイナポータルやガバメントクラウドとは別

「政府のデジタルサービスが攻撃された」と聞くと、マイナポータルやマイナンバー制度そのものを思い浮かべる人も多いでしょう。

しかし、GSSはそれらとは別の仕組みです。

デジタル庁はGSSを、「政府共通の標準的な業務実施環境」と位置付けています。

行政機関の職員が使用する業務用PCやネットワーク環境、オフィスソフト、コミュニケーションツール、セキュリティ対策などを共通化し、各府省庁の業務環境を支えるための仕組みです。

大まかに分けると、

GSS
行政機関の職員が仕事をするための共通業務環境。

マイナポータル
一般の人が行政手続きや自分の情報の確認などに利用するオンライン窓口。

ガバメントクラウド
政府や地方自治体などが情報システムを構築・運用するために利用する政府共通のクラウド利用環境。

という違いがあります。

したがって、

「GSSが不正アクセスされた＝マイナポータルがハッキングされた」

ということではありません。

同様に、ガバメントクラウド全体が突破されたという発表でもありません。

不正アクセスはいつ分かった？6月25日から9月11日までの経緯

今回の事案は、異常なアクセスを検知してから公表まで約2カ月半あります。

発表内容を時系列にすると、次のようになります。

6月25日の時点で分かっていたのは、保守運用担当者のアカウントを使った大量のファイルアクセスです。

その後の調査によって7月9日に侵入経路などが判明し、さらに外部の専門事業者と影響範囲の確認が進められました。

「6月に異常を検知していたのに、なぜ発表が9月11日になったのか」と疑問に感じる人もいるでしょう。

公開されている資料からは、異常検知後に侵入方法の特定、封じ込め、漏えいの可能性や対象範囲の調査を続けていたことまでは確認できます。

一方、なぜ9月11日を公表日としたのか、約2カ月半の各段階でどのような判断が行われたのかという詳細までは、今回の発表だけでは分かりません。

確認できない部分まで「隠蔽していた」などと断定することはできません。

侵入経路はVPNの脆弱性｜製品名や攻撃者は未公表

デジタル庁によれば、第三者はネットワーク接続機器（VPN）の脆弱性を利用してシステムへ侵入しました。

その後、保守運用担当者のアカウントが悪用され、サーバー上の大量のファイルへアクセスしたことが確認されています。

デジタル庁は7月9日、悪用されたアカウントを停止するとともに、侵害された機器と外部との通信を遮断しました。

一方、9月11日時点の公表内容では、VPN製品の具体的な名称やメーカー、脆弱性を示すCVE番号など、技術的な詳細までは明らかにされていません。

攻撃者の身元や国籍、特定の国家や組織が関与しているのかといった情報も公表されていません。

政府機関が標的になったという事実だけから、特定の国や攻撃グループを結び付けることはできません。

対象者には順次個別に連絡｜自分で調べる検索ページは案内されていない

デジタル庁は、漏えいした可能性がある個人情報について、対象者を特定したうえで順次個別に連絡するとしています。

一方、9月11日時点では、全対象者への連絡がいつまでに完了するのか、具体的にどのような方法で連絡するのかといった詳細までは公表されていません。

氏名などを入力して自分が対象かどうか確認できる「対象者検索ページ」も案内されていません。

今回の対象となる可能性に心当たりがある場合は、SNSなどで拡散された連絡先ではなく、デジタル庁の公式情報や、正式な個別連絡を確認するのが基本になります。

本件についてはデジタル庁が問い合わせ窓口も案内しています。

二次被害は現時点で確認されていない｜なりすましには注意

9月11日時点でデジタル庁は、今回の事案に関連する個人情報の悪用などの二次被害は確認されていないとしています。

ただし、氏名やメールアドレス、電話番号などが漏えいした可能性がある以上、今後なりすましメールやフィッシング、電話、SMSなどに悪用される可能性には注意が必要です。

特に対象となる可能性がある人は、デジタル庁や関係機関を装った連絡であっても、心当たりのないメールやSMSに記載されたリンクを安易に開かず、添付ファイルにも注意した方がよいでしょう。

デジタル庁は、メールや電話でパスワードなどの認証情報やクレジットカード情報を尋ねることはないと注意を呼びかけています。

今回の公式発表ではマイナンバーは漏えいした可能性がある情報に含まれていません。

そのため、「今回マイナンバーが漏れたので確認が必要」などとして認証情報やカード情報を求める連絡があれば、今回の発表内容とは一致しません。

一般の人はいま何か対策する必要がある？

今回のニュースを見て、

「マイナンバーカードを作り直した方がいいのか」

「マイナポータルのパスワードを変更した方がいいのか」

「銀行口座を変更した方がいいのか」

と不安になった人もいるかもしれません。

しかし、9月11日時点でデジタル庁は、今回の事案を理由として一般のマイナンバーカード所有者にカードの再発行やマイナンバーの変更、銀行口座の変更などを求めていません。

そもそも一般の方の個人情報は今回の対象に含まれておらず、マイナンバー、金融機関口座情報、年金番号等も漏えいした可能性がある情報には含まれていないためです。

一般のマイナポータル利用者に対し、今回の件だけを理由としてパスワードを一斉に変更するよう求める案内も出ていません。

一方、GSS利用機関の業務に携わったことがあり、今回の対象となる可能性がある人は、デジタル庁からの正式な連絡を確認し、不審なメールや電話などへの警戒を強めておく必要があります。

数字の大きさだけを見て手続きを増やすより、まず自分が今回の対象範囲に入るのかを正しく切り分けることが重要です。

GSSや政府サービス全体が停止したわけではない

今回確認されている対応は、悪用された保守運用担当者のアカウントの停止と、侵害された機器と外部との通信遮断です。

GSS全体を停止したという発表ではありません。

今回の不正アクセスによって政府の行政サービス全体が停止した、あるいはマイナポータルが利用できなくなったという発表もありません。

再発防止についてデジタル庁は、脆弱性の管理方法を見直すほか、外部からシステムへ接続する方法を改善するなど、GSSのセキュリティ対策を強化するとしています。

今回の侵入経路がVPN機器の脆弱性だった以上、今後は脆弱性をどのように把握・管理するのか、外部からシステムへ接続する仕組みをどう安全にするのかも重要な論点になります。

まとめ｜一般の行政サービス利用者ではなく、GSSの業務関係者が対象

今回のデジタル庁GSSへの不正アクセスでは、個人情報を含むファイルの一部が外部へ漏えいした可能性があり、対象となる個人情報は約24.6万件と発表されています。

ただし、「一般国民24.6万人の情報が流出した」という意味ではありません。

対象は、GSS利用機関の職員やその業務に携わった公務員等の情報約18.9万件と、GSS利用機関の業務に携わった事業者・個人の情報約5.7万件です。

デジタル庁は、一般の方の個人情報は含まれていないと説明しています。

また、今回漏えいした可能性がある情報に、マイナンバー、金融機関口座情報、年金番号等は含まれていません。

現時点で本件に関連した個人情報の悪用などの二次被害も確認されていませんが、氏名、メールアドレス、電話番号などが漏えいした可能性があるため、対象者は今後のなりすましやフィッシングに注意が必要です。

一般のマイナポータル利用者やマイナンバーカード所有者が、今回の発表だけを理由にカードを再発行したり、銀行口座を変更したりするような案内は出ていません。

「デジタル庁で約24.6万件」という数字だけを見て全国民のマイナンバー情報の問題と受け取らず、GSSという政府職員向けの業務環境で起きた事案として、誰のどの情報が対象なのかを分けて見る必要があります。