日本では9月11日金曜日、攻撃者がデジタル庁にアクセスし、約24万6,000件の個人データ記録を流出させる、また新たな大規模サイバーセキュリティ侵害が発生した。

このインシデントでは、日本の国家公務員や請負業者の氏名、メールアドレス、電話番号が影響を受けた。同庁によると、攻撃者は政府機関が共同利用するネットワークに侵入した。デジタル庁は、流出した情報が、フィッシングキャンペーンから暴力的な攻撃まで、さまざまな形態を取り得る悪用の確認事例とは結び付いていないと説明した。

流出したデータは何か？

攻撃者は、全国の省庁や機関が利用する共同業務プラットフォーム、Government Solution Service（GSS）を通じて、実名にひも付いた政府のメールアドレスや個人の電話番号にアクセスした。このプラットフォームは政府組織間で共有されているため、流出した記録は単一の部署ではなく、複数の公共部門利用者に関連していた。

今回の侵害の規模は、一般市民に影響を及ぼしたMy Number関連のインシデントより小さい。データの種類別では、流出した情報は氏名23万6,000件、メールアドレス23万1,000件、電話番号9万4,000件、住所1,000件だった。

攻撃者はどのようにネットワークへ侵入したのか

デジタル庁によると、保守・運用を担当する請負業者のアカウントが大量のファイルにアクセスした後、6月25日に不審な活動を検知した。調査では、侵入は5月下旬に始まっていたと判断された。

数週間後、調査担当者はVPN機器の脆弱性を侵入経路とみられる要因として特定した。同庁は、7月9日の更新情報を発表した当日に、アカウントを停止し、侵害された機器を外部ネットワークから切断したと説明した。

フランスの税務当局DGFiPも、内部VPNが関与する同様の侵害を通じて攻撃を受けたと、Cryptopolitanは以前に報じている。

日本は依然として頻繁に標的となっている

CloudSEKの2026年サイバー犯罪レポートによると、日本は世界で最も標的にされている国の上位10カ国に入る。今回の侵害が注目されるのは、日本が政府の情報技術を近代化し、安全性を高めるために2021年にデジタル庁を設立したためだ。

7月には、KDDIに関する確認済みの侵害で、約1,223万件のメールアドレスと761万件のパスワードが流出した。

また、中国のハッカーは2023年、日本の内閣サイバーセキュリティセンターに侵入した。この攻撃は、数カ月にわたって検知されなかった可能性があるとみられている。

暗号資産保有者に対する潜在的なリスク

流出した個人情報は、暗号資産保有者を狙う攻撃にも利用される可能性がある。Telegram創設者のPavel Durov氏は、フランスで年初から最初の3カ月半の間に暗号資産に関連する誘拐事件が41件報告された後、フランス政府機関に関係する個人情報の流出を指摘した。

Chainalysisは、2026年上半期に暴力的な攻撃で3,000万ドル超が盗まれたと記録した。この金額は、2025年にこうした攻撃で盗まれた5,800万ドルを上回るペースで推移していた。

アナリストは、日本のデジタル庁への侵害で流出した氏名23万6,000件とメールアドレス23万1,000件が、将来の攻撃やその他の悪用に現れるかどうかを注視する。