日本数字厅政府共享平台GSS遭VPN漏洞入侵：约24.6万条个人信息或泄露，披露滞后78天

时间线显示，攻击者最早于2026年5月下旬利用一台连接GSS网络的VPN设备漏洞进入系统，随后使用维护与运维人员的账户大规模访问服务器文件。数字厅于6月25日发现运维账户异常大量访问文件，7月9日确认入侵原因并当日停用相关账户、切断受损设备与外部网络的连接。

可能泄露的数据包括约23.6万个姓名、23.1万个电子邮件地址、9.4万个电话号码以及约1000个地址。其中约18.9万条涉及使用GSS的机构员工与参与运营的政府官员，约5.7万条涉及作为承包商的机构与个人。日本个人编号（My Number）、金融机构账户信息与年金号码均未涉及。

值得注意的是披露时滞：数字厅在7月15日即完成向个人信息保护委员会（PPC）的报告，距7月9日确认入侵仅6天，符合法定报告义务；但对外公开发布迟至9月11日，距报告完成58天、距首次发现异常78天。依据日本《个人信息保护法》，国家机关负有向委员会报告与通知本人的义务，但公开披露本身未设法定时限。

PPC发布的2026财年第一季度（4至6月）监管统计显示，该季度共作出141件指导与建议，其中76件（逾半数）仅因“泄露等报告延误”而作出，涉及私营企业与行政机关。同期私营主体未授权访问案件中，最常见原因是软件漏洞未及时修补，VPN设备问题尤为突出。该案中VPN漏洞并非零日漏洞，攻击发生时补丁已可用。