会社のVPNは、入れた後の管理で決まる社外からつながる入口が狙われる理由
公開
この記事の目次
2026年9月、複数のガス会社から、お客様の個人情報に関する重要なお知らせが発表されました。
きっかけは、システムの運用などを委託されていた「両毛システムズ」への不正アクセスでした。
同社が9月に公表した調査結果によると、8月12日に第三者がVPN機器のアカウントを悪用して社内ネットワークへ侵入。8月14日に異常を検知し、調査の結果、ランサムウェアによる攻撃を受けていたことが分かりました。
ランサムウェアとは、データを暗号化して使えなくし、復旧などと引き換えに金銭を要求する不正なプログラムです。情報を盗み出し、その公開をちらつかせて金銭を要求する攻撃もあります。
この事件を受け、大東ガスは約12万4,000件のお客様情報が漏えいした可能性を公表しました。対象になったのは、委託先との業務上のやり取りに使われ、両毛システムズの社内ネットワークに残っていた情報です。大東ガスは、顧客管理システム自体への不正アクセスは確認されていないと説明しています。
攻撃を受けた会社だけでなく、業務を任せていた企業や自治体、その先にいるお客様にも影響が及びました。
ここで注目したいのが、侵入の入口に使われた「VPN」という仕組みです。
社外から仕事をするための便利な道具が、なぜ攻撃者の足がかりになるのでしょうか。そして、自分たちの会社では、その入口を誰が管理しているでしょうか。
そもそも、VPNって何をするものなの？
通信を暗号化して、社外から社内へつなぐ仕組みです。安全に使うには、本人確認や機器の管理も必要です。
例えば、会社のファイルサーバーに、見積書や図面、顧客名簿が保存されているとします。社内のパソコンからは開けても、自宅や出張先からは、そのままアクセスできないようにしている会社が多いでしょう。
そこで使われるのが「VPN（Virtual Private Network＝仮想プライベートネットワーク）」です。この記事で扱う企業向けのVPNは、インターネットを通じて、会社と手元の端末の間に暗号化された通信経路を作ります。
在宅勤務で社内のファイルを開いたり、外部の保守会社が遠隔でシステムを点検したりするときに使われています。
VPNには、利用者を確認する認証や、接続先を制限する機能もあります。ただし、VPNにつながることだけで、利用者・端末・接続先のすべてが安全になるわけではありません。
担当者のログイン情報が盗まれたら、本人になりすまして接続され、そのアカウントに許可された社内の情報へアクセスされるおそれがあります。VPN機器そのものに弱点があったら、弱点の種類によっては、IDやパスワードによる確認をすり抜け、機器や社内ネットワークへ侵入されるおそれがあります。
通信を暗号化することに加えて、「誰が、どの端末から、どこへ接続できるのか」を管理する必要があります。
なお、個人がインターネット通信を保護するために使うVPNアプリと、会社のネットワークへ接続するVPNでは用途が異なります。この記事では、主に後者を取り上げます。
本当に、VPNがサイバー攻撃の入口になっているの？
警察庁の調査では、侵入経路が分かったランサムウェア被害の回答のうち、6割以上がVPN機器を経由していました。
警察庁が公表した2025年上半期のランサムウェア被害の集計では、侵入経路について有効な回答が得られた45件のうち、VPN機器からの侵入が28件、62.2％を占めています。リモートデスクトップからの侵入は10件、22.2％でした。
これは被害を受けた組織の回答に基づく割合です。「国内のVPN機器の6割が破られた」という意味ではありません。それでも、社外からの接続経路が、実際の被害で繰り返し悪用されていることが分かります。
また、警察庁は2026年1月に、企業・団体を対象にした別のアンケートの結果と対策を公表しています。その資料では、VPN機器を使っている回答者の52％が最新のセキュリティ修正プログラムを適用しておらず、社外から業務環境へアクセスする際の認証は39.8％が「IDとパスワードのみ」と回答しています。
39.8％の数字はVPNだけに限ったものではありません。外部から業務環境へ接続する仕組み全体についての回答です。
VPN機器の管理が後回しになる理由の一つに、普段は目立たない場所で動いていることが考えられます。
社員が毎日画面を見るパソコンやスマートフォンと違い、通信機器は設置したまま、直接触る機会が少ないものです。
「今日も、普通に社外からファイルを開けている」。
それだけでは、必要な更新が済んでいるかどうかは分かりません。普段どおり動くことと、安全に使うための管理ができていることは、別々に確かめる必要があります。
VPNの更新をしていないと、何が危ないの？
攻撃に悪用される可能性のある弱点を、残したまま使い続けることになります。
パソコンやスマートフォンと同じように、VPN機器の内部でもソフトウェアが動いています。そこに、攻撃へ悪用される可能性のある不具合や設計上の弱点が見つかることがあります。これを「脆弱性」と呼びます。
メーカーが公開するセキュリティ修正プログラムを適用し、こうした弱点を塞ぐことは、基本的な管理の一つです。
ただし、VPN機器の更新には、業務との調整が必要になることがあります。
- 機器の再起動が必要になる
- 作業中は社外からの接続が一時的に止まる
- 更新後に、接続や業務システムの動作を確認する必要がある
そのため、業務時間外の作業や、保守会社との日程調整が必要になります。
ここで曖昧にしてはいけないのが、「誰が更新の必要性を判断し、誰が作業するのか」です。
機器を販売した会社が、その後の更新まで担当する契約になっているでしょうか。毎月の保守費用に更新作業が含まれているでしょうか。緊急の更新が必要になったとき、誰へ連絡すればよいでしょうか。
これらを確認していないと、会社側は「業者がやってくれているはず」、業者側は「依頼があれば対応する契約」と考えたまま、作業が止まってしまうことがあります。
また、機器にはメーカーのサポート期限があります。期限を過ぎると、新しい弱点が見つかっても修正プログラムが提供されなくなることがあります。
壊れていない機器でも、安全に使い続けられるとは限りません。型番とサポート期限まで含めて、保守会社へ確認しておきましょう。
更新をしていれば、侵入は防げるの？
更新は欠かせませんが、対策を進めている途中に攻撃されることもあります。更新と合わせて、接続の制限や監視も必要です。
2026年9月11日、デジタル庁は、政府機関の共通業務ネットワーク「ガバメントソリューションサービス（GSS）」への不正アクセスを公表しました。
6月25日に、保守運用担当者のアカウントで大量のファイルへアクセスする異常を検知。調査の結果、第三者がVPN機器の脆弱性を悪用して侵入していたことが分かりました。
漏えいした可能性がある個人情報は約24万6,000件です。対象は政府機関の職員や関係業務に携わった人の情報で、一般の方の個人情報は含まれていないと発表されています。
デジタル庁の説明によると、悪用された脆弱性は、攻撃前に公表されていました。当初の危険度評価は「中」程度でしたが、一般的な基準より早く修正する方針で対応を進めていたとしています。
それでも、修正プログラムを適用する前に侵入されてしまいました。
この事例から考えたいのは、更新の予定を立てるだけでなく、完了するまでの間をどう守るかという点です。
メーカーの注意情報や実際の悪用状況に応じて、接続元を制限する、一時的に機能を止める、不審な通信を確認するといった対応が必要になる場合もあります。
小さな会社がすべてを判断するのは難しいため、重大な弱点が見つかったときに、保守会社とすぐ相談できる体制を用意しておくことが大切です。
一度VPNから入られると、会社の中は全部見られてしまうの？
必ずそうなるわけではありません。接続後にアクセスできる範囲を絞っておくと、被害が広がる危険を減らせます。
外部の保守会社が、自社の会計システムを点検する場面を考えてみます。
その作業のために必要なのは、保守対象となるシステムへの接続です。顧客名簿や、別の部署が使う共有フォルダまで開ける必要はないはずです。
ところが、同じ接続から社内の様々なシステムへアクセスできる設定になっていると、保守担当者のアカウントが悪用された際に、関係のない情報まで調べられるおそれがあります。
攻撃者は、最初に侵入した場所だけで活動するとは限りません。別のアカウントやサーバーへ移動しながら、情報を探したり、攻撃できる範囲を広げたりすることがあります。こうした動きを「横展開」と呼びます。
警察庁も、利用者ごとの権限やアクセスできる範囲を必要最小限にすることを、被害を抑えるための対策として挙げています。
VPNへの接続を許可することと、社内のすべての情報を見せることは、分けて考えられます。小さな会社でも、「入った後に、どこまで行けるか」を確認しておきましょう。
VPNを使っているかどうかも、分からない場合は？
まずは保守会社に、社外から接続できる仕組みを確認してください。機器の名前を覚えるところから始める必要はありません。
付き合いのあるシステム会社やOA機器の会社から、次のように言われたことはないでしょうか。
「トラブルがあったら、遠隔ですぐに確認できるように設定しておきました」
心強いサポートですが、どんな仕組みで接続しているのかまでは、把握していないこともあるでしょう。
また、在宅勤務のために導入した接続が、出社中心の働き方へ戻った後も残っている場合があります。
使わなくなった接続や、退職者・以前の保守会社のアカウントは、利用をやめただけでは自動的に無効になるとは限りません。
外部からの接続方法には、VPNのほか、リモートデスクトップや遠隔操作ソフトなどもあります。まずは保守会社へ、次の2つを聞いてみてください。
- 「いま、社外から社内へ接続できる仕組みは何がありますか？」
- 「使っていない接続や、過去の担当者のアカウントが残っていませんか？」
仕組みと利用者を一覧にすれば、どれを残し、どれを止めればよいかを相談しやすくなります。
なお、クラウドサービスだけで仕事ができ、社内ネットワークへ接続する必要がなければ、そのためのVPNを新しく導入する必要はありません。自社の業務で何をつなぐ必要があるのかを先に確認しましょう。
VPNを使い続けるなら、何を確認すればいいの？
更新・利用者・接続範囲・記録の4つを、担当者や保守会社と具体的に確認します。
1．誰が機器の更新を担当していますか？
まず、機器の現状を把握します。メーカー名、製品型番、ソフトウェアのバージョン、メーカーのサポート期限を確認します。
そのうえで、更新の担当と連絡先を決めます。重大な弱点が見つかったとき、誰が情報を確認し、誰が作業を判断・実施するのかを決めます。作業中の業務への影響や、更新後に不具合が起きた場合の対応も相談しておきます。
2．いま、誰が接続できますか？
複数人で同じIDとパスワードを使っていると、記録が残っていても、誰の操作だったかを特定しにくくなります。退職者や、契約が終わった業者のアカウントが残っていれば、業務上は不要になった接続手段が、引き続き使える状態です。
利用者ごとにアカウントを分け、不要なものを停止します。対応している機器では、多要素認証も設定します。パスワードが漏れた場合の不正ログインに備えるためです。ただし、認証をすり抜ける脆弱性への対策として、機器の更新も必要です。
3．接続後、どこまでアクセスできますか？
業務に関係のないサーバーや共有フォルダまで開ける状態だと、一つのアカウントが悪用されたときに、被害が広がりやすくなります。
業務や保守作業に必要な接続先だけに制限します。接続先の制限に加え、ファイルを見られる人、書き換えられる人も整理します。
4．不審な接続に気づく仕組みはありますか？
記録を取っていない、異常を確認する担当が決まっていない。この状態では、不正アクセスへの気づきが遅れたり、事故後に経緯を調べにくくなったりします。
接続の記録を保存し、異常時の確認方法を決めます。ログインの失敗が続く、普段と異なる場所や時間帯から接続されるなどの変化を確認できるようにします。記録の保存や通知、調査のどこまでが保守契約に含まれるかも確認してください。
VPNは、もう使わない方がいいの？
VPNを使っていることだけで危険とは判断できません。自社に必要な接続と、その管理方法を見直すことが大切です。
VPNでも、機器を更新し、本人確認を強め、接続できる範囲を制限することはできます。導入しているという理由だけで、すぐに廃止する必要はありません。
一方で、社内ネットワークへ広く接続させる必要がない仕事では、アプリやシステムごとに接続を許可する方法も選択肢になります。
ここで関係するのが、「ゼロトラスト」という考え方です。
従来の境界を中心とした守り方では、社内と社外を分け、社内側の利用者や端末を信頼しすぎる運用になってしまうことがありました。
ゼロトラストでは、社内にいるかどうかだけで判断せず、利用者、端末の状態、アクセスする情報などに応じて、必要な範囲の利用を認めます。
その考え方に基づき、特定のアプリやシステムへの接続を制御する仕組みの一つが「ZTNA（Zero Trust Network Access）」です。
ただし、VPNという通信の仕組みと、ゼロトラストという管理の考え方は、単純に対立するものではありません。VPNを使う環境でも、本人確認や接続範囲の制限は重要です。
また、新しい仕組みへ移っても、アカウントや端末の管理が不要になるわけではありません。既存の業務システムとの相性や費用、運用できる体制も考える必要があります。
「どんな仕事のために、誰が、何へ接続する必要があるのか」。そこを整理したうえで、保守会社と方法を選びましょう。
もし、不正アクセスが疑われたらどうすればいいの？
被害の拡大を防ぐためにネットワークから切り離し、記録を残した状態で、管理者や保守会社へ連絡します。
- 見覚えのない接続記録がある
- 社内のファイルが突然開けなくなり、金銭を要求する画面が表示された
- 作った覚えのない管理者アカウントが追加されている
こうした異変があれば、不正アクセスの可能性を考える必要があります。
感染が疑われる端末は、LANケーブルを抜く、Wi-Fiを切るなどして、ネットワークから速やかに切り離します。同時に、管理者や保守会社へ連絡してください。通信機器やサーバーの切り離し方が分からない場合は、状況を伝えて指示を受けます。
自己判断で再起動や初期化をするのは避け、原則として電源を入れた状態を保ちます。電源を切ると、メモリー上の情報や一部の記録が失われ、調査が難しくなることがあるためです。「とりあえず再起動して、元に戻るか試す」のではなく、発見した時刻や画面の状態を記録し、専門家の指示に沿って対処します。
また、VPN機器の弱点を突かれて侵入された場合、後から修正プログラムを適用するだけでは、対応が終わらないことがあります。
すでに別の不正なプログラムを置かれたり、新しいアカウントを作られたりしている可能性があるからです。侵入経路に加えて、影響を受けた機器や情報、不正な設定が残っていないかを調べる必要があります。
警察庁も、感染拡大の防止、記録の保全、原因や影響範囲の調査、速やかな警察への通報・相談を案内しています。
会社の外からつながる入口、誰が把握していますか？
2026年に公表された2つの事例では、同じVPNに関わる事故でも、説明された侵入の方法が異なります。
- 両毛システムズの事例
- VPN機器のアカウントが悪用され、社内ネットワークへ侵入されました。
- デジタル庁の事例
- VPN機器の脆弱性が悪用され、職員などの個人情報が漏えいした可能性が公表されました。
アカウントを適切に管理することと、機器の弱点を修正することは、どちらも必要です。さらに、接続した後の権限を絞り、異常に気づけるようにしておくことで、被害を抑える備えにつながります。
社外から会社のデータへ接続できる仕組みは、仕事を便利にしてくれます。その便利さを安心して使い続けるために、まずは次の質問をしてみてください。
「いま、会社の外から社内へ接続できる人は、具体的に誰ですか？」
すぐに答えが出てこなければ、保守会社と一緒に、接続方法と利用者を一覧にしてみましょう。そのうえで、不要な接続を止め、更新の担当と緊急時の連絡先を確かめておきます。
VPNは、導入した後も管理を続けて使う道具です。まずは自分たちの会社の入口が、いまどうなっているかを知るところから始めてみてください。
