VPNの脆弱性を狙う不正アクセスとは
VPNの脆弱性を狙う不正アクセスとは、VPN機器やVPN製品のセキュリティ上の欠陥を悪用し、第三者が企業や組織のネットワークへ侵入する攻撃です。
侵入されると、認証情報や機密情報の窃取、マルウェア感染、ランサムウェア攻撃などへ被害が広がるおそれがあります。VPNは社外から内部ネットワークへ接続する入口となるため、脆弱性への迅速な対応が重要です。
デジタル庁でVPNの脆弱性を悪用した不正アクセスが発生
2026年９月11日、デジタル庁は、同庁が運用するガバメントソリューションサービス（GSS）への不正アクセスにより、個人情報を含むファイルの一部が外部へ漏えいした可能性があると公表しました。
調査の結果、第三者が外部との接続に利用していたネットワーク接続機器（VPN）の脆弱性を悪用し、システムへ侵入していたことが判明しています。
最大約24.6万件の個人情報が漏えいした可能性
デジタル庁によると、漏えいした可能性がある個人情報は約24.6万件です。対象には、GSSを利用する府省庁などの職員や、その業務に携わった事業者・個人の情報が含まれています。
主な情報は以下のとおりです。
- ●氏名：約23.6万件
- ●メールアドレス：約23.1万件
- ●電話番号：約9.4万件
- ●住所：約0.1万件
一般の方の個人情報やマイナンバー、金融機関口座情報、年金番号などは含まれていないとされています。また、公表時点では、本件に関連する二次被害は確認されていません。
ただし、漏えいした可能性のある氏名やメールアドレスなどが、なりすましメールやフィッシングメールに悪用されるおそれがあります。情報漏えいだけでなく、その後の二次被害にも注意が必要です。
参考：ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について｜デジタル庁
６月に異常を検知し、７月にVPN経由の侵入が判明
今回の事案では、2026年６月25日、保守運用担当者のアカウントを利用してサーバ上の大量のファイルへアクセスしていることを検知し、調査が開始されました。
その後、７月９日に、第三者がVPNの脆弱性を悪用してシステムへ侵入し、不正アクセスを行っていたことが判明しています。デジタル庁は同日、対象アカウントを停止するとともに、侵害された機器と外部との通信を遮断しました。
VPN機器への侵入だけでなく、侵入後に保守運用担当者のアカウントを利用して内部のファイルへアクセスされた点にも注意が必要です。
参考：「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」に関するQ&A｜デジタル庁
VPNの脆弱性が狙われやすい３つの理由
VPNが攻撃対象になりやすい背景には、インターネットからアクセス可能であることや、侵入後に社内ネットワークへ被害が広がる可能性があることが挙げられます。また、既知の脆弱性が実際のサイバー攻撃に悪用されるケースも確認されています。
ここでは、VPNの脆弱性が狙われやすい主な理由を３つに分けて解説します。
インターネットから直接アクセスできるため
リモートアクセス用VPNは、社外にいる従業員などがインターネット経由で接続するため、外部からアクセス可能な状態になっています。
そのため、VPN機器に脆弱性が存在すると、攻撃者から直接狙われる可能性があります。攻撃が成功すれば、本来は認証されたユーザーだけが利用できる社内ネットワークへの侵入口として悪用されかねません。
侵入後に社内ネットワークへ展開されるため
VPNは、外部から社内ネットワークへ接続するための仕組みです。そのため、VPN機器を突破されると、攻撃者が内部ネットワークへ侵入する足がかりを得る場合があります。
さらに、管理者や従業員のアカウントまで奪われれば、攻撃者による通信が正規ユーザーのアクセスに見える可能性があります。その結果、サーバへの侵入や情報の窃取、マルウェア感染などへ被害が広がるおそれがあります。
既知の脆弱性が攻撃に悪用されているため
IPA（情報処理推進機構）は、VPN機器などネットワーク境界に位置する製品の脆弱性が、実際の攻撃に悪用されるケースについて注意を呼びかけています。
VPN機器が乗っ取られた場合、自社ネットワークへの侵入口になるだけでなく、ほかの組織を攻撃するための中継拠点として悪用される可能性もあります。
VPNを導入しているだけで安全と考えるのではなく、VPN機器そのものも継続して保護・監視する対象として管理する必要があります。
参考：VPN機器等に対するORB（Operational Relay Box）化を伴うネットワーク貫通型攻撃のおそれについて｜IPA 独立行政法人 情報処理推進機構
VPNなどの脆弱性を放置するリスク
脆弱性が発見されても、「すぐに攻撃されるとは限らない」「システムを止められない」といった理由から、対応が後回しになる場合があります。しかし、脆弱性を放置すると、不正アクセスや情報漏えいだけでなく、業務停止や信用低下など事業全体に影響が及ぶおそれがあります。
社内ネットワークへ侵入される
VPNやファイアウォールなど、外部との接点にある機器の脆弱性を悪用されると、攻撃者が社内ネットワークへ侵入するおそれがあります。
一度内部へ侵入されると、ほかの端末やサーバを探索しながら攻撃範囲を広げる「横展開」が行われる場合もあります。入口となった１台の機器だけでは被害が収まらない点に注意が必要です。
個人情報や機密情報が漏えいする
社内システムへのアクセス権限を奪われると、顧客情報や従業員情報、契約情報、設計データなどの重要情報が外部へ流出する可能性があります。
個人情報が漏えいした場合、対象者への対応や原因調査、システム復旧などに多くの時間とコストがかかります。一定の条件に該当する個人データの漏えいでは、個人情報保護委員会への報告や本人への通知も必要です。
ランサムウェアなどの被害につながる
VPN機器の脆弱性や盗まれた認証情報は、ランサムウェア攻撃の侵入口として悪用されることがあります。
攻撃者が内部ネットワークへ侵入したあと、重要なデータを暗号化したり、窃取した情報の公開を盾に脅迫したりすれば、業務停止に発展しかねません。バックアップ環境まで侵害されると、復旧に長期間を要するケースもあります。
取引先や顧客からの信用を失う
情報漏えいが発生すると、被害はシステム内部にとどまりません。顧客への説明や問い合わせ対応、取引先への報告なども必要になります。
事案の規模や対応状況によっては、企業イメージの低下や取引の見直しにつながる可能性もあります。脆弱性管理は情報システム部門だけの課題ではなく、経営上のリスク管理として取り組むことが重要です。
企業が実施すべきVPNの脆弱性・不正アクセス対策
VPNを安全に利用するには、機器を導入するだけでは不十分です。脆弱性対応や認証強化、監視、侵入後の対策まで、複数の施策を組み合わせて備えましょう。
- ■VPNの脆弱性・不正アクセス対策
- ●VPN機器・バージョンの把握と脆弱性情報の確認
- ●セキュリティパッチやファームウェアの迅速な適用
- ●多要素認証による不正ログイン対策
- ●不要なポート・管理画面の外部公開停止
- ●アクセスログの監視による異常の早期発見
- ●EDRやSOCを活用した侵入後の検知・対応
VPN機器を把握し、脆弱性情報を継続的に確認する
まずは、自社で利用しているVPN機器のメーカーや製品名、バージョン、設置場所、管理担当者などを整理します。管理対象を把握していなければ、脆弱性が公表されても対象機器の有無をすぐに判断できません。
メーカーやIPA、JVNなどが公表する脆弱性情報を定期的に確認し、自社環境への影響を判断できる体制を整えましょう。脆弱性対策の進め方や管理方法については、以下の記事も参考にしてください。
セキュリティパッチを迅速に適用する
利用中のVPN機器に脆弱性が確認された場合は、メーカーが提供する修正プログラムやファームウェアを速やかに適用します。
今回デジタル庁への不正アクセスで悪用された脆弱性は、当初のCVSS評価では「Medium」でした。対応の優先順位はスコアだけで判断せず、インターネットへの公開状況や扱う情報の重要度、実際の悪用状況なども踏まえて決めることが重要です。
サポートが終了し、パッチが提供されない機器については、使用を継続せず、新しい製品への更新も検討しましょう。
多要素認証を導入する
IDとパスワードだけによるVPN認証では、認証情報がフィッシングやマルウェアなどで盗まれた場合、不正ログインを防げない可能性があります。
パスワードに加えてスマートフォンの認証アプリや生体認証などを利用する多要素認証（MFA）を導入すれば、認証情報が漏えいしても第三者によるログインを防ぎやすくなります。
多要素認証の導入を検討している方は、以下の記事でおすすめ製品や選び方を比較しています。
不要なポートや管理画面を外部公開しない
外部からアクセスできるシステムやサービスが増えるほど、攻撃対象となる範囲も広がります。不要な通信ポートやサービスは停止し、VPN機器の管理画面をインターネットへ直接公開しないなど、公開範囲を最小限に抑えましょう。
自社が外部公開しているサーバやネットワーク機器を把握するASM（Attack Surface Management）の活用も有効です。外部公開資産の可視化やASM製品の比較については、以下の記事も参考にしてください。
アクセスログを監視して異常を早期発見する
すべての攻撃を入口で防ぐのは困難です。そのため、不正アクセスを受けた場合に早く気づける仕組みも欠かせません。
VPNへのログイン履歴や接続元IPアドレス、ログイン時間、大量のデータアクセスなどを継続的に監視しましょう。普段とは異なる国や地域からのアクセス、深夜の大量通信などを検知できれば、被害拡大を抑えやすくなります。
ログ管理を効率化したい方は、以下の記事で主要製品の機能や選び方を紹介しています。
EDRやSOCなどで侵入後の対策を強化する
VPNなどの境界部分を突破された場合に備えて、端末やサーバ側でも不審な挙動を検知できる体制が必要です。
EDR（Endpoint Detection and Response）は、PCやサーバなどのエンドポイントを監視し、不審な挙動の検知や調査、隔離を支援します。また、自社で24時間の監視体制を構築するのが難しい場合は、SOCやMDRなど外部のセキュリティサービスを活用する方法もあります。
侵入後の検知・対応を強化したい方は、以下の記事でEDR製品を比較できます。
VPNだけに依存せずゼロトラストへの移行も検討する
VPNは現在も企業ネットワークで広く利用されており、適切に管理すれば有効なセキュリティ手段です。一方で、「VPNに接続できたユーザーは信頼できる」という前提だけでは、侵入後の被害を十分に抑えられない場合があります。
そこで検討したいのが、すべてのアクセスを継続的に確認するゼロトラストの考え方です。
ゼロトラストとは
ゼロトラストとは、社内・社外といった接続場所だけで安全性を判断せず、すべてのアクセスを原則として信頼せずに確認するセキュリティの考え方です。
ユーザーのIDだけでなく、利用端末や接続場所、アクセス先、端末のセキュリティ状態などをもとに、アクセスごとに認証・認可を行います。
VPNで一度社内ネットワークへ接続したあと、幅広いシステムへアクセスできる環境と比べて、アカウントや端末が侵害された場合でも、被害範囲を限定しやすくなります。
VPNとゼロトラストを併用しながら段階的に移行する
ゼロトラストを導入するからといって、すべてのVPNをただちに廃止する必要はありません。既存システムや拠点間接続などでは、引き続きVPNが適している場合もあります。
重要なのは、自社の利用環境を整理したうえで、VPN、多要素認証、EDR、ID管理、端末管理、SASEなどを組み合わせ、特定の防御策だけに依存しない仕組みを構築することです。
デジタル庁の事案をきっかけに、自社でも「VPNに接続できれば内部は安全」という前提になっていないかを見直してみましょう。
VPNとゼロトラストの違いや移行時のポイントについては、以下の記事で詳しく解説しています。
VPNを継続して利用する場合は、現在の機器やサービスが自社のセキュリティ要件に合っているか見直すことも重要です。ITトレンドでは、１回の入力で複数のVPN製品・サービスの資料をまとめて請求できます。機能やセキュリティ対策、提供形態を比較する際にお役立てください。
情報漏えいが発生した場合に企業が取るべき対応
十分な対策を講じていても、サイバー攻撃を完全に防ぐことは困難です。不正アクセスや情報漏えいが疑われる場合は、被害拡大を防ぎながら、原因や影響範囲を速やかに確認する必要があります。
- ■企業が取るべき対応
- ●侵害された機器やアカウントの隔離・停止
- ●影響範囲と漏えい情報の調査
- ●関係機関への報告と本人への通知
- ●原因分析と再発防止策の実施
侵害された機器やアカウントを隔離・停止する
不正アクセスが疑われる場合は、対象機器をネットワークから切り離したり、不正利用された可能性のあるアカウントを停止したりして、攻撃者によるアクセスを遮断します。
ただし、原因調査に必要なログや証拠を失わないよう、安易な初期化やデータ削除は避けましょう。必要に応じて、セキュリティ専門事業者への相談も検討してください。
影響範囲と漏えいした情報を調査する
侵入経路だけでなく、「いつから侵害されていたのか」「どのシステムへアクセスされたのか」「どの情報が持ち出された可能性があるのか」まで確認します。
アクセスログや端末の記録などを分析し、被害範囲を特定します。状況によっては、フォレンジック調査が必要になる場合もあります。
関係機関への報告や本人への通知を行う
個人データの漏えいなどが発生し、個人情報保護法上の報告対象事態に該当する場合は、個人情報保護委員会への報告や本人への通知が必要です。
また、顧客や取引先への影響がある場合は、事実関係や想定されるリスク、二次被害を防ぐための注意事項などを整理したうえで、適切に情報提供しましょう。
原因を踏まえて再発防止策を講じる
応急対応だけで終わらせず、侵入原因や被害拡大の要因を分析し、再発防止策につなげることが重要です。
例えば、パッチ管理ルールの見直し、多要素認証の導入、アクセス権限の縮小、ログ監視の強化、古いVPN機器の更新などが挙げられます。あわせて、インシデント発生時の連絡体制や対応手順も見直しておきましょう。
まとめ
デジタル庁で発生した不正アクセスでは、VPNの脆弱性が侵入経路となり、最大約24.6万件の個人情報が漏えいした可能性が明らかになりました。
VPNは社外から内部ネットワークへ接続する重要な仕組みである一方、脆弱性や認証情報の管理不足が攻撃の入口になるおそれがあります。
企業では、迅速なパッチ適用、多要素認証、アクセスログの監視、EDRなどを組み合わせて多層的に対策することが重要です。VPNだけに依存せず、ゼロトラストの考え方も取り入れながら、自社のネットワーク環境や脆弱性管理体制を継続的に見直しましょう。
