日本数字厅于 2026 年 9 月 11 日公布，其运营的政府共用业务平台“政府解决方案服务”（ガバメントソリューションサービス，简称 GSS）遭到外部非法访问，约 24.6 万条个人信息可能泄露。入侵者利用的是 VPN 设备的一个漏洞。数字厅强调，这是“可能泄露”的数字，并非已确认被窃取的数量。
事件时间线
- 6 月 25 日：数字厅检测到有人使用运维人员账号，对服务器上的大量文件进行访问，随即展开调查。
- 7 月 9 日：查明第三方利用网络连接设备（VPN）的漏洞入侵系统。当天，数字厅停用该运维账号，并切断被入侵设备与外部的通信。
- 9 月 11 日：数字厅公开披露此事，数字大臣松本尚在记者会上致歉，表示将重新审视漏洞管理方式并改进外部连接方式。
漏洞并非零日漏洞
据数字厅 9 月 12 日更新的问答，被利用的漏洞此前已公开，当时的 CVSS 评分为“中等（Medium）”，修复程序在被攻击前尚未安装。具体的 VPN 产品名称和漏洞编号（CVE）均未公布，数字厅称公开这些信息可能影响安全。这个案例提醒我们：评分不高的漏洞，一旦位于外部入口设备上，同样需要尽快修补。关于 VPN 被冒充、被利用的另一类风险，可参阅：假面试真木马：Sandworm 关联组织用恶意 “SopraVPN” 攻击 IT 从业者。
泄露数据的范围
可能泄露的约 24.6 万条信息中，约 18.9 万条涉及使用 GSS 的各府省厅职员及参与其业务的公务员，约 5.7 万条涉及参与业务的企业和个人。按信息类型统计，姓名约 23.6 万条、电子邮箱约 23.1 万条、电话号码约 9.4 万条、住址约 0.1 万条，各类别之间存在重复。
数字厅确认，数据不包含普通公众的个人信息，也不包含个人编号（My Number）、金融机构账户信息和养老金号码。截至发布时，尚未确认存在信息被滥用等二次受害。尽管如此，姓名与工作联系方式仍可能被用于钓鱼邮件或冒充政府人员的诈骗，相关人员应警惕可疑的邮件、电话和短信。
“零信任”架构也没挡住
GSS 的设计引入了零信任网络架构等理念，但此次入侵仍通过 VPN 设备的漏洞得手。数字厅表示，后续将重新审视漏洞管理方法，并改进外部连接方式，强化安全措施。同类 VPN 事件中，用户隐私与服务商自身的数据保管同样值得关注，例如：SplitVPN 数据泄露：86.5 万邮箱被收录，5800 万条连接记录之争。