日本のデジタル庁は、政府職員の個人情報を含む約24万6,000件のレコードが流出した可能性があるデータ侵害を確認したと発表しました。
同庁によると、攻撃者はガバメントソリューションサービス(GSS)が使用するVPN機器の脆弱性を悪用して初期侵入を行ったとのことです。
調査は6月25日、保守運用担当職員のアカウントから大規模なファイルアクセスが検知されたことをきっかけに開始されました。
「7月9日、第三者がネットワーク接続機器(VPN)の脆弱性を悪用してシステムに侵入し、不正アクセスを行っていたことが判明しました」と発表文には記載されています。
「同日中に、該当する保守運用担当者のアカウントを停止し、侵害を受けた機器と外部との通信を遮断することで、それ以上の不正アクセスを防止しました」
侵害を受けたVPN製品や悪用された脆弱性の詳細は明らかになっていません。しかし同庁は別のQ&Aで、この問題は深刻度が「中」であり、ゼロデイ脆弱性ではなかったと説明しています。
調査の結果、以下のデータが流出した可能性があることが判明しました。
- 氏名 236,000件
- メールアドレス 231,000件
- 電話番号 94,000件
- 住所 1,000件
流出の対象には、政府職員や公務員のほか、GSSシステムを利用する関連事業者や個人が含まれます。
ただし、今回の事案で一般市民の個人情報が流出したわけではなく、流出した可能性のある情報にマイナンバー、銀行口座情報、基礎年金番号は含まれていません。
また同庁は、流出した情報が実際に悪用された事例は現時点で確認されていないとしながらも、なりすましやフィッシングのリスクが高まっているとして注意を呼びかけ、身に覚えのない連絡に含まれるリンクや添付ファイルを開かないよう促しています。
デジタル庁は、メールや電話でパスワードやクレジットカード情報を尋ねることは一切ないと改めて注意喚起しています。
影響を受けた個人には個別に連絡を行うとしており、同庁は専用の相談窓口も設置しました。
同庁は7月15日に個人情報保護委員会へ通知を行っており、一般への公表が遅れた理由については、侵入経路の特定、流出した可能性のある情報の洗い出し、対象者の特定に時間を要したためだと説明しています。
同庁によると、今回の影響は該当システムに限定されており、他システムへの不正アクセス、データ漏洩、同様の侵害は確認されていないとのことです。また、今回の事案および対応作業が政府サービスの提供に影響を及ぼすことはなかったとしています。
