日本数字厅 2026 年 9 月 11 日披露了一起安全事件：政府共用工作系统 GSS 被人通过 VPN 漏洞闯入，约 24.6 万条个人信息可能暴露。关键点有两个：这个漏洞不是零日漏洞，补丁没来得及装上；24.6 万是“可能暴露”的数量，不是已确认被盗的数量。事件的早期报道可以看站内的日本数字厅披露 VPN 漏洞致政府共用系统被入侵。
事件时间线
| 时间 | 发生了什么 |
|---|---|
| 6 月 25 日 | 数字厅发现有人用员工账号访问服务器上的大量文件 |
| 7 月 9 日 | 查明第三方利用 VPN 漏洞入侵，当天停用账号、隔离设备、修补漏洞、更换关键登录数据 |
| 7 月 15 日 | 通知日本的个人信息保护监管机构 |
| 9 月 11 日 | 向公众披露 |
从发现到公开隔了近三个月，这个间隔受到了关注。数字厅在问答中解释，需要时间追查入侵路径、确认可能被访问的数据，并在外部专家协助下确定受影响范围。VPN 的品牌和漏洞编号没有公开，理由是公开会增加风险。
漏洞不是新的，是补丁没装上
数字厅说，这个漏洞此前已经有研究者公开，机构也已开始修复，但攻击者利用它的时候，补丁还没有装。它在 CVSS（一种通用的漏洞评分标准）里被评为中等风险，但对 GSS 来说，这台 VPN 设备正好成了进入系统的入口。GSS 服务很多政府部门，而且采用零信任设计，机构也承认仍然可能发生数据泄露。
安全专家近来也提醒，攻击者越来越多地盯上 VPN 漏洞作为入口，尤其是勒索软件，这也是站内文章勒索软件为什么爱攻击 VPN讲到的趋势。
24.6 万条记录是什么
- 约 18.9 万条涉及 GSS 用户机构的员工和相关公务人员，约 5.7 万条涉及合作的企业和个人。
- 文件里可能有约 23.6 万个姓名、23.1 万个邮箱、9.4 万个电话号码和约 1000 个地址。这些数字有重叠，一条记录可以同时含姓名、邮箱和电话。
- 数字厅称没有 My Number、银行账户和养老金号码。
数字厅用了偏宽的统计方式：只要不能排除被访问，就算作有风险，所以 24.6 万是“可能暴露”数量，不是确认被盗数量。目前也没有发现数据被滥用，但提醒可能被用来做诈骗，比如冒充政府人员。
这件事对普通 VPN 用户意味着什么
说白了，就一条：VPN 设备或服务本身也是需要打补丁的软件。个人用户虽然不用管服务器，但可以做到：客户端从官方渠道下载并及时更新；选服务时看有没有公开的更新公告；收到自称“官方”的邮件、电话要求输入密码或银行卡信息，一律不理。
常见问题（FAQ）
这次事件影响了日本政府的正常运作吗？
据披露，没有影响政务运行，也没发现其他系统有同类入侵。
攻击者是谁？
数字厅没有公布，也没有把事件和勒索软件或已知黑客组织联系起来。
数字厅接下来怎么做？
计划复查漏洞跟踪和修补流程、外部用户接入方式，并增加措施限制入侵后的损害范围；调查仍在进行。
来源：日本数字厅的公开通报及相关报道，信息整理于 2026 年 11 月 7 日，后续以官方更新为准。