デジタル庁GSSで24.6万件の個人情報が漏えい可能性、VPN既知脆弱性の放置が招いた政府機関の大規模侵害

「政府のシステムって、本当に守られてるの？」
「CVSSスコアが『中程度』なら、急いで直さなくてよい？」

ボス

チップス、デジタル庁が運用する政府向け業務基盤でVPN脆弱性が悪用されてな、職員ら24.6万人分の個人情報が漏えいした可能性が出た。

チップス

24.6万件でしゅか……政府機関まで狙われるでしゅか？

ボス

それより深刻なのは、攻撃者が使ったのが『既知の脆弱性』だった点だ。CVSSスコアが『中程度（Medium）』に分類されていたのに、パッチを当てる前に悪用された。

後回しにしていた脆弱性が実際に悪用される——これは他人事ではない。
今回の事件から、脆弱性管理の優先度の見直し方と保守アカウント管理の盲点を理解できる。

この事件の経緯を知れば、自社の脆弱性対応の見直しポイントが明確になる。

政府業務基盤GSSへの不正侵入、24.6万件が漏えいの可能性

「ガバメントソリューションサービス（GSS）」は、各府省庁の職員が日常業務で使う政府共通の業務環境だ。
メール、ファイル共有、ビデオ会議などを統合した国の基盤システムで、数十の機関が利用している。

チップス

そんな大事なシステムが侵害されたでしゅか？

ボス

そうだ。しかも被害が公表されたのは、侵入から3か月以上経ってからだ。

今回の経緯を時系列で整理すると、以下のとおりだ。

漏えいした可能性がある情報は、氏名・メールアドレス・電話番号・住所など。
対象は各府省庁の職員等18.9万件と、業務に関わった事業者等5.7万件の計約24.6万件だ。
マイナンバー、金融口座情報、年金番号は含まれていない。

攻撃者は保守アカウントを乗っ取って内部に潜伏し、大量のファイルにアクセスした。
デジタル庁の発表では、データが外部に持ち出された証拠は確認されていないとしているが、VPN脆弱性の詳細については「公表を控える」としている。

CVSS「Medium」の既知脆弱性を放置した代償——保守アカウントが「鍵」になった

ボス

今回の事件で最も教訓になるのは、使われた脆弱性が『既知』かつ『Medium（中程度）』のCVSSスコアだったことだ。

チップス

Mediumなら急がなくてよいんじゃないでしゅか……？

ボス

それが危ない考え方だ。攻撃者はCVSSスコアを参照しない。悪用できると分かれば使う。

実際に、松本尚デジタル相は「順番にパッチを当てる作業がある中で、その間にハッキングをされた」とコメントしている。
パッチ適用の順番待ちの間に突かれた、ということだ。

危険な思い込みとしてよく見られるのは、次のような判断だ。

今回の攻撃者は侵入後、保守運用アカウントを悪用することで内部に溶け込んだ。
通常の業務アカウントと区別がつきにくいため、大量アクセスを検知するまでに時間がかかった。

対策として取り組むべきポイントは次のとおりだ。

デジタル庁は再発防止策として、脆弱性管理方法の見直し、外部接続方法の改善、セキュリティ対策強化を挙げている。
これらは、どの組織にも共通して必要な取り組みだ。

まとめ——政府でも起きた「当たり前の失敗」から何を学ぶか

ボス

政府機関でも、CVSSスコアが中程度の既知脆弱性から侵入されて大規模漏えいが起きた。この事実は重い。

チップス

うちの会社も、後回しにしてる脆弱性があるかもでしゅ……。

ボス

それを今日確認するのが、最初にやるべきことだ。

今回の事件は、特別な高度攻撃ではなく「既知の穴を放置していた」ことが原因だった。
24.6万件の個人情報漏えいリスクと、政府システムへの信頼への影響は重大だ。
脆弱性対応をCVSSスコアだけで判断せず、「既知の脆弱性は早期に塞ぐ」という原則を改めて徹底したい。

今すぐできることをまとめておく。