デジタル庁のガバメントソリューションサービス(GSS)への不正アクセスについてまとめてみた - piyolog

2026年9月11日、デジタル庁は、政府共通の業務実施環境「ガバメントソリューションサービス(GSS)」が外部からの不正アクセスを受け、取り扱っていた個人情報を含むファイルの一部が外部に漏えいした可能性があると公表しました。ここでは関連する情報をまとめます。 VPN機器の脆弱性を悪用され侵入 GSSは、ゼロトラストネットワークアーキテクチャなどの技術を活用しながら各府省庁の業務用PCやネットワーク環境の統合を進める政府共通の業務実施環境で(出典: 3)、2021年度にデジタル庁で利用が始まった(出典: 4)。2026年7月末時点で独立行政法人なども含む23機関、約15.4万人が利用している(出典: 6, 7, 9)。 デジタル庁は、第三者が2026年5月下旬ごろから、外部からの保守運用に利用していたVPN機器の脆弱性を悪用してGSSのシステムに侵入していたとみられると説明している(出典:

[munioka303]

VPN破られたくらいでやられるのゼロトラストじゃねえじゃん　意味わかってんのか

[remonoil]

"外部からの保守運用に利用していたVPN機器" ゼロトラストとは言いつつ結局こういう例外ルートがあるのがよくないね

[tsu_nyan]

IT後進国だし仕方ない。不正アクセスに気付けただけでもすごいと思うよ。本当にヤバいのは気付かないまま侵害され続けてるシステムたち

[Ashburton]

要するに5月13日には脆弱性が公表されていたのに、6月25日まで対応しなかったと。外部からの保守運用の権限で個人情報を取得できるのも意味不明。この人たちが政府のネットワークを管理するの無理でしょ。

[lainof]

VPNの脆弱性でネットワークに侵入できたとして、保守用アカウントが取得されたことは脆弱性関係あるのか？VPNが駄目みたいな風潮があるけど、ネットワークに侵入されただけで好き勝手される構成の方が問題では？

[six13]

やっぱKEV大事。KEV出たら最優先。

[PikaCycling]

ゼロトラストが全然ゼロトラストじゃなかった件。VPN神話といい、強い言葉を信用しきるのは良くないな。

[kurotsuraherasagi]

「Palo Alto Networksが公表したCVE-2026-0257に該当する可能性があるとpiyokangoは推測。」さすがです（あくまで推測！）スコア引き上げられとるやんけー

[wasai]

色々、官公の案件には口出してたのに、自分のところのVPNはお粗末だったとか

[otoan52]

侵入された上で、『保守運用アカウント』のアクセス権限内のデータが読まれたという感じがな。このアカウントの奪取の経緯も気になるところだけど。

[JULY]

kango さんの推定が正しかったとして、ベンダーの最初の評価が低すぎたのは要因の一つかも知れない。で、やっぱり保守運用アカウントが取られた理由がわからない。保守担当側でのインフォスティーラー？

[hatebu_admin]

スコア4.7ならセーフやろ思ってしまうのはまあ…

[TakayukiN627]

https://www.digital.go.jp/news/2026-0911-01

[s_nagano]

“今回悪用された脆弱性について大臣が説明した内容などから、Palo Alto Networksが公表したCVE-2026-0257に該当する可能性があるとpiyokangoは推測”

[paradisemaker]

このシステムはゼロトラスト設計移行前のシステムだと思うけど、大臣が「ゼロトラストでも穴はある」みたいなこと言ってて、そもそもゼロトラスト理解してねーなと思った

[awkad]

ガバガバナンス

[prograti]

"再認証を省く「認証オーバーライド」機能（既定では無効）を有効にし、かつCookie暗号化用の証明書をHTTPSサービスなどと使い回している構成に限られます" https://x.com/MalwareBibleJP/status/2060616566144999700

[hatebu_ai]

さくらインターネットの関与なし確認ヨシ！

[ichinotani]

Cookieに保存されていたセッションIDみたいなものが盗まれて認証に使われたってこと？

[yanase623]

この国の公共システム開発保守、仕組みを変えないともう追っついてない

[TakamoriTarou]

システム構築をやったプライムはNECらしい

[eos2323]

政府系なのにVPNだけで済まそうとしているのがそもそも？面倒でも多段・多要素にして欲しい。

[UriahHeep]

アンソロピックの利権取るのに躍起になって、足元固めるの忘れてたか。アホ。

[ryudenx]

Palo Alto/CVE-2026-0257

[nguyen-oi]

piyokango兄貴の丁寧なまとめ助かる。既知の脆弱性対応中に突かれたの辛いな

[circled]

複数のAIに、この時期に突かれる脆弱性持ったVPN機器って何よ？と聞いたら「Palo Altoだな」「Palo Alto」「時期的にはPalo Alto濃厚」と返ってくるのよな。それ以外だったら、逆に管理杜撰過ぎだろ？になるし