古い
2026年の秋も、企業の情報漏洩の公表が相次いでいます。ニュースを見て「インフラ側で何ができるだろう」と気になり、知り合いのインフラエンジニアに聞いてみたところ、真っ先に返ってきたのは「古いVPN機器の穴が残っている」という話でした。
調べてみると、これは一部の現場の話ではありません。警察庁の統計でも、VPN機器は何年も続けて侵入口の筆頭に挙がっています。この記事では、次のことが分かります。
- 警察庁の統計で見る、VPN機器が侵入口になっている割合
- 2026年9〜10月に公表された主な情報漏洩事案（件数・漏洩した情報・侵入口）
- なぜVPN機器が侵入口になりやすいのか
- 「パッチを当てたから大丈夫」が危ない理由
- 今日から着手できる6つの対策と、中長期の移行先
対象は、中小〜中堅企業の情シス担当者、インフラエンジニア、受託開発で顧客環境に関わるエンジニアの方です。
VPN機器は
ランサムウェアの侵入口として、VPN機器は数年連続で最多です。過去5年の合計では約6割を占めています。
警察庁は毎年、ランサムウェア被害に遭った組織へのアンケートで侵入経路を集計しています。令和8年上半期の資料（統計編）に、過去5年分がまとめて載っていました。
| 期間 | 有効回答 | VPN機器 | リモートデスクトップ |
|---|---|---|---|
| 令和3年 | 76件 | 41件（54%） | 15件（20%） |
| 令和4年 | 102件 | 63件（62%） | 19件（19%） |
| 令和5年 | 115件 | 73件（63%） | 21件（18%） |
| 令和6年 | 100件 | 55件（55%） | 31件（31%） |
| 令和7年 | 92件 | 61件（66%） | 19件（21%） |
| 令和8年上半期 | 36件 | 18件（50%） | 9件（25%） |
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」統計編「感染経路」。割合は件数から筆者が計算し、四捨五入しています。
過去5年の合計では、有効回答485件のうち293件（約6割）がVPN機器でした。リモートデスクトップの105件と合わせると、8割以上が「外から社内へ入る扉」経由です。
令和8年上半期はVPN機器が約5割に下がっていますが、有効回答が36件と少ない点に注意が必要です。半年分の数字だけで「VPNのリスクが減った」とは言えません。
被害の件数自体も減っていません。警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年のランサムウェア被害報告は226件でした。令和8年上半期は123件で、半期の件数としては統計を取り始めた令和2年下半期以降で最多です。被害企業の約6割が中小企業という傾向も、前年から変わっていません。
2026年9〜10月には
100万件を超える事案が1か月余りで複数公表され、侵入口が分かっているものは「脆弱性」と「認証情報」が中心でした。2026年9月以降に公表された主な事案を、件数の大きいものと、侵入口が分かっているものを中心にまとめました。
| 公表日 | 組織 | 件数（公表の表現どおり） | 漏洩した（可能性のある）情報 | 公表された侵入口・原因 |
|---|---|---|---|---|
| 9/16 | Helpfeel（Gyazo） | 約2,362万件（流出を確認）。匿名アカウントを含む | 名前（任意の文字列）、メールアドレス、パスワードのハッシュ値、利用者ID等。別に画像メタデータ約4.9億件 | 画像アップロードサーバーの脆弱性 |
| 10/5 | 物語コーポレーション（焼肉きんぐアプリ） | 1,078万8,963件（漏えい） | 会員番号、氏名（アプリ登録名）、メールアドレス、電話番号 | 調査中 |
| 10/8 | 第一興商（ビッグエコー等） | 約872万4,000件（おそれ） | 氏名、性別、生年月日、メールアドレス、電話番号 | 委託先の従業員PCのマルウェア感染 |
| 9/25 | パーク24（タイムズカー） | 約660万件（漏えい。9/28第2報）。うち本人確認書類が漏えいしたアカウントは約160万件（確認。9/29第3報） | 氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、パスワード等（対象者により異なる） | 記載なし（調査中） |
| 10/6 | ミスターマックス | 最大173万5,154人（可能性） | 会員ID、氏名、メールアドレス、電話番号 | ソフトウェアの機能の不正利用 |
| 10/5 | GMOリサーチ&AI（infoQ） | 最大94万8,498件（持ち出しを確認） | 保有する個人情報の全件（氏名、住所、電話番号、パスワード（暗号化）等）。ポイントの不正交換も発生 | ソフトウェアの脆弱性 |
| 9/15 | LEAN BODY | 約44万件（アカウント。取得を確認） | メールアドレス、ニックネーム、性別、生年月日、身長・体重等の入力情報、パスワード（暗号化）、カード番号の下4桁等 | 分析ツール（Metabase）の脆弱性。更新の未実施も要因の可能性が高いと説明 |
| 9/11 | デジタル庁（GSS） | 約24.6万件（可能性） | 氏名、メールアドレス、電話番号、住所等 | VPNの脆弱性から侵入し、保守担当者のアカウントを使用 |
| 10/5 | 大和証券 | 約22万件（可能性。うち個人を特定できる情報は約11万名分） | 氏名、メールアドレス、口座番号等 | 委託先（スカラコミュニケーションズ）のサーバーへの不正アクセス |
| 10/6 | 楽天ドライブ | 保存データ 1万5,382件ほか、アカウント情報 計1,000件（取得・閲覧を確認） | 保存データ（写真・文書等）、アカウント名、ディスプレイネーム、暗号化されたパスワード等 | 管理用アカウントの認証情報の不正取得 |
件数には「可能性」「最大」を含み、単位（件・人）は各社の公表どおりです。被害の重さの順ではありません。
掲載の情報は2026年10月8日時点の公表に基づきます。続報で件数や原因が更新されることがあるため、引用する際は各社の最新の公表を確認してください。
この表から読み取れるポイントは3つです。
- 件数の桁が大きい：100万件を超える事案が、1か月余りで複数公表されています。
- 入口が分かっているものは「脆弱性」と「認証情報」が中心：LEAN BODYのように、更新の未実施も要因の可能性が高いと説明しているケースもあります。
- 委託先経由が目立つ：第一興商や大和証券は、自社ではなく委託先のシステムや端末が起点でした。
SmartScopeの集計（2026年10月9日時点）では、2026年9月1日〜10月8日に公表された国内の事案は140件でした。そのうち10万件以上は25件で、侵入口が公表された11件の内訳は、脆弱性が9件、不正ログインが2件です。残りの多くは侵入口が「記載なし」で、実態は表に出ている以上に偏っている可能性があります。
ケーススタディ：デジタル庁GSSの
この記事のテーマに最も近いのが、デジタル庁の事案です。公表された経緯は次のとおりです。
- 6月25日、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスされたことを検知
- 7月9日、第三者がVPNの脆弱性を利用して侵入していたことが判明。アカウント停止と通信遮断を実施
- 9月11日、個人情報が漏えいした可能性があるとして公表
ポイントは、VPNの脆弱性で入り、正規の保守アカウントで動いていたことです。ログ上は「いつもの担当者の操作」に見えるため、大量アクセスという異常で気づくまで時間がかかります。再発防止策として、脆弱性管理方法の見直しと、外部からの接続方法の改善が挙げられています。これは、この後で紹介する対策とそのまま重なります。
なぜVPN機器は
VPN機器が狙われるのは、常にインターネットに公開され、管理が手薄になりやすく、突破されると社内全体に入れるからです。
1. インターネットに
VPN機器は、外から接続するために公開されている必要があります。攻撃者はスキャンで世界中の機器を探し、脆弱なバージョンを機械的に見つけます。
2.
導入時は管理していても、担当者の異動や退職で忘れられがちです。
アシュアードの脆弱性管理サービス「yamory」が、従業員1,000人以上の企業の情報システム・セキュリティ担当者300人に行った調査があります（@ITが報道）。VPN機器のファームウェアやOSのバージョンを「正確には把握できていない」と答えた人は、48.3%と約半数でした。拠点ごとに入れた古い機器や、ベンダーが設置したままの機器は特に危険です。
3. 突破されると
従来型のVPNは、接続できれば社内LANの一員として扱われます。1台の機器の穴が、ファイルサーバーやActive Directoryまで届く通り道になります。
「パッチを
パッチを当てる前に、認証情報やセッションがすでに盗まれている可能性があるからです。ここがこの記事で一番伝えたいポイントです。
脆弱性が公表されてから修正版を適用するまでの間に認証情報が盗まれていると、攻撃者はパッチ適用後も「正規のIDとパスワード」で普通にログインできます。
警察庁の令和7年の資料でも、侵入に使われるものとして未修正の脆弱性だけでなく、漏えいした認証情報、簡易なパスワード、設定不備が挙げられています。つまり、脆弱性を塞ぐだけでは入口の一部しか閉じられません。
侵入から暗号化・持ち出しまで、数週間〜数か月潜伏するケースもあります。パッチ適用は「これ以上入られないため」の対策であり、「すでに入られていないか」の確認は別に必要です。
VPN機器の
まずはVPN機器の棚卸しから始め、パッチ適用と事後確認、MFA、露出の削減、ログ監視、EOL機器の更新の順に進めます。 6つの対策を順に紹介します。
対策1：棚卸しで
最初にやるべきは、現状の把握です。次の項目を一覧にしてください。
| 項目 | 例 |
|---|---|
| 設置場所 | 本社 / 〇〇営業所 / データセンター |
| メーカー・機種 | — |
| ファームウェアのバージョン | — |
| サポート期限（EOL） | — |
| 管理者 | 社内担当 / 保守ベンダー名 |
| 管理画面の公開範囲 | 社内のみ / インターネット公開 |
「誰も触っていない拠点の機器」が見つかったら、それが最優先です。
対策2：パッチ適用と
最新ファームウェアへの更新に加えて、次の作業までを1セットにします。
- VPNアカウントの全パスワードリセット
- 不要アカウントの削除（退職者・保守ベンダー用・テスト用）
- 設定変更履歴とローカル管理者アカウントの確認
- メーカーが侵害確認ツールや手順を出している場合は、それを実行
対策3：多要素認証
IDとパスワードだけのVPNは、もはや前提が崩れています。パスワードが漏れても入れない状態にするのが、費用対効果の高い対策です。
対策4：インターネットへの
- 管理画面をインターネットに公開しない
- 接続元のIPアドレスや国で制限する
- 使っていないVPN機能やポートは無効にする
対策5：ログを
侵入に「気づく」ための仕組みです。最低限、次を検知できるようにします。
- 深夜・休日のログイン
- 海外IPからのログイン
- 同一アカウントの同時接続や、短時間での大量ログイン失敗
ログを機器内に置いたままだと、侵入時に消される恐れがあります。外部への転送も検討してください。
対策6：EOL機器は
サポートが切れた機器には、修正版がもう出ません。「動いているから使い続ける」は、扉に鍵をかけないのと同じです。
VPNの
中長期の移行先として主流になりつつあるのが、**アプリ単位でアクセスを許可するZTNA（ゼロトラスト・ネットワーク・アクセス）**です。
根本的な問題は「VPNにつながれば社内全体に入れる」構造そのものです。ZTNAでは、利用者と端末の状態を確認したうえで、必要なアプリにだけ接続させます。
| 観点 | 従来型VPN | ZTNA |
|---|---|---|
| アクセス範囲 | 社内ネットワーク全体 | アプリ単位で必要なものだけ |
| 判断材料 | ID・パスワード | ID＋端末の状態＋場所など |
| 公開する機器 | 自社のVPN機器 | 原則なし（クラウド側で中継） |
たとえばMicrosoft環境であれば、Microsoft Entra Private Accessと条件付きアクセスを組み合わせる構成が候補になります。「管理された端末から、MFAを通過した人だけが、特定の業務アプリにだけ入れる」状態を作れます。
いきなり全面移行するのは難しいため、「外部委託先のアクセス」や「特定の基幹アプリ」から段階的に切り替えるのが現実的です。業務システムの接続方法の見直しは、システムの作り直しと合わせて検討すると効率よく進められます（システム開発のご相談）。
まとめ
- VPN機器は、ランサムウェアの侵入口として数年連続で最多（過去5年で約6割）。2026年秋のデジタル庁の事案でも、VPNの脆弱性が実際の入口になった
- パッチ適用だけでは不十分。パスワードリセットと侵害確認までがセット
- まずは棚卸し。次にMFA、露出の削減、ログ監視、EOL機器の更新を進め、中長期ではZTNAで「社内全体に入れる構造」から抜け出す
情報漏洩のニュースは他人事に見えがちですが、多くの事案の入口は「誰も把握していなかった古い機器」です。社内システムの接続方法の見直しやクラウドへの移行でお困りの際は、お問い合わせからお気軽にご相談ください。
参考
事案の
- Helpfeel「「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日）
- 物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日）
- 第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日）
- パーク24「「タイムズカーWebシステム」への不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日）
- パーク24「「タイムズカーWebシステム」への不正アクセスに関する調査結果および今後の対応について（第3報）」（2026年9月29日）
- ミスターマックス「不正アクセスによる情報流出に関するお詫びとお知らせ」（2026年10月6日）
- GMOリサーチ&AI「当社が運営するアンケートサイト「infoQ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月5日）
- LEAN BODY「弊社が利用する分析ツールへの不正アクセスによるお客様情報の取得について（お詫び）」（2026年9月15日）
- デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日）
- 大和証券「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（2026年10月5日）
- 楽天ドライブ「【重要】「楽天ドライブ」における不正アクセスの発生について」（2026年10月6日）
統計・調査
- 警察庁「サイバー空間をめぐる脅威の情勢等」（令和7年・令和7年上半期・令和6年版などの一覧）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」
- @IT「VPN機器が「ランサムウェア侵入口」になって当然？ 約半数がバージョンさえ把握せず：狙われるVPN脆弱性の実態、アシュアードが調査」（2025年11月21日）
- SmartScope「情報漏洩・不正アクセスの企業一覧（随時更新）」（2026年10月9日時点の集計を参照）
その
- 総務省「テレワークセキュリティガイドライン」
よくある質問
VPN機器のサポート期限（EOL）はどう調べればよいですか？
メーカーの公式サイトにある製品のサポート終了情報（ライフサイクル情報）で、機種名から確認できます。機種名やバージョンが分からない場合は、機器の管理画面や保守ベンダーとの契約書・納品書を確認し、保守ベンダーに問い合わせるのが確実です。
すでに侵入されていないかを自社だけで確認できますか？
メーカーが侵害確認ツールや確認手順を公開している場合は、まずそれを実行し、ログイン履歴や設定変更履歴に不審な点がないかを確認します。痕跡が見つかった場合や判断がつかない場合は、自己判断で機器を初期化せず、インシデント対応の専門業者や警察の相談窓口に相談してください。初期化すると調査に必要な痕跡が消えてしまうことがあります。
予算が限られる中小企業は、何から始めればよいですか？
費用をかけずにできる、VPN機器の棚卸し、不要アカウントの削除、全アカウントのパスワードリセットから始めます。次に多要素認証（MFA）を有効にします。機器やライセンスによっては追加費用なしで使える場合もあるため、まずは現在の機器で何ができるかを確認しましょう。
ZTNAを導入すれば、VPNはすぐに廃止できますか？
すぐに全面廃止するのは難しいことが多いです。古い業務システムや社内のファイル共有など、ZTNAで扱うための確認や設定が必要なものがあるためです。外部委託先のアクセスや特定の業務アプリから切り替え、VPNを使う範囲を少しずつ減らしていくのが現実的です。
システム開発の
要件が固まっていなくても大丈夫です。まずはお気軽にご相談ください。
この記事を書いた会社
