VPN・リモートアクセス機器から侵入された国内の被害事例(13件)と、まずやる対策
VPN装置やリモートデスクトップは、社外から社内に入るための入口で、インターネットに公開されています。脆弱性の修正が当たっていない、推測しやすいパスワードのまま、退職者や委託先のアカウントが残っている、といった状態は外から探せます。
一度入られると、攻撃者は社内ネットワークの中を正規の利用者のように動けます。警察庁の統計では、ランサムウェアの侵入経路は2024年にVPN機器とリモートデスクトップで8割以上、2025年にVPN機器だけで6割以上でした。
この一覧には、VPN装置、リモートデスクトップ(ソフトを含む)、拠点のネットワーク機器の脆弱性やアカウントが入口と公表された事案を入れています。アサヒグループの「グループ内の拠点にあるネットワーク機器」も含めています。
該当する事案(13件)
新しい順です。日付は第1報の公表日です。1つの事案が複数の手口に当てはまることがあります。
- デジタル庁「ガバメントソリューションサービス(GSS)」
ネットワーク接続機器(VPN)の脆弱性。保守運用担当者のアカウントで大量のファイルにアクセスされた
経緯・原因・対応を読む → - 両毛システムズ(委託元: 伊勢崎市・ガス事業者など)
VPN(ネットワーク接続機器)のアカウントの悪用
経緯・原因・対応を読む → - YCC情報システム(委託元: 山形市など)
自治体の委託先がランサムウェア被害。山形市の健康情報約50万件などが対象
ネットワーク機器の管理者アカウントの認証情報を、攻撃者が推測または取得した(2026-05-20の第五報)
経緯・原因・対応を読む → - トンボ飲料
インターネットから操作できる状態だったリモートデスクトップソフト(最終報で判明)
2026年の一覧で見る → - 東海大学(委託先: 東海ソフト開発)
委託先が持ち帰ったデータがランサムウェア被害に。延べ19万人分
委託先のサーバへの不正アクセス。学内で作業するルールだったが、委託先が大学のデータを社内に持ち帰っていた
経緯・原因・対応を読む → - アサヒグループホールディングス
国内の受注・出荷が停止。約191万件、営業減益要因400億円弱
グループ拠点のネットワーク機器を経由してデータセンターに侵入され、管理者権限を奪われた。侵入はシステム障害の約10日前(公式の調査結果)
経緯・原因・対応を読む → - ハウステンボス
リモートアクセス機器から侵入。顧客約150万人分と役職員のマイナンバー
リモートアクセス機器を通じてネットワークに侵入された
経緯・原因・対応を読む → - 審調社(委託元: 損保・生保など)
ネットワーク機器の脆弱性(2025-12-05の最終報)
経緯・原因・対応を読む → - 関通
物流代行の倉庫管理システムが停止し、利用するEC事業者の出荷が止まる
VPN装置の脆弱性(日経クロステックの社長インタビュー)。バックアップまで暗号化された
経緯・原因・対応を読む → - 東京ガスエンジニアリングソリューションズ
VPN経由の侵入で約416万人分。業務委託元51事業者に波及
VPN装置経由。ファイルサーバへのアクセスに必要な従業員のIDとパスワードが複数盗まれていた(日経クロステック)
経緯・原因・対応を読む → - JAXA
VPN装置を起点に侵入し、盗んだアカウントでMicrosoft 365へ
VPN装置の脆弱性を起点にサーバと端末に侵入し、アカウント情報を盗んでMicrosoft 365に正規ユーザーを装ってアクセスした
2024年の一覧で見る → - イセトー(委託元: 自治体・金融機関・公文など)
通知書の印刷委託先が被害。307万人分が流出し、委託元に波及
VPNからの不正アクセス。VPN機器を約3年更新せず、管理者パスワードは約7年同じで推測しやすいものだった。置くべきでないネットワークに個人データをコピーしていた(個人情報保護委員会の指摘)
経緯・原因・対応を読む → - 岡山県精神科医療センター
電子カルテが全停止。保守用VPNの脆弱性が6年放置されていた
保守用VPN装置の脆弱性が2018年の設置以来放置されていた。推測しやすいID・パスワードが複数システムで使い回され、全ユーザーに管理者権限が付いていた(調査報告書)
経緯・原因・対応を読む →
事案に共通していること
長く手が入っていなかった機器が入口になっています。岡山県精神科医療センターの調査報告書は、保守用VPN装置の脆弱性が2018年の設置以来放置されていたと指摘しています。イセトーについて個人情報保護委員会は、VPN機器を約3年更新していなかったこと、管理者パスワードが約7年同じで推測しやすいものだったことを指摘しました。
脆弱性とアカウントの両方が使われています。JAXA、関通、デジタル庁のGSSでは、VPN装置の脆弱性が入口でした。両毛システムズではVPNのアカウントが悪用され、YCC情報システムではネットワーク機器の管理者アカウントの認証情報が推測または取得されました。東京ガスエンジニアリングソリューションズでは、VPN装置経由で、従業員のIDとパスワードが複数盗まれていたと報じられています。トンボ飲料では、インターネットから操作できる状態のリモートデスクトップソフトが入口でした。
入った後に、中で広げられています。JAXAでは盗まれたアカウントでMicrosoft 365に正規の利用者を装って入られ、アサヒでは拠点の機器からデータセンターに入られて管理者権限を奪われました。GSSでは保守運用担当者のアカウントで大量のファイルにアクセスされました。委託先の機器が入口になると、イセトー、YCC情報システム、両毛システムズのように委託元にも被害が広がります。
まずやる対策
- 1
外から入れる機器の一覧を作る
VPN装置、リモートデスクトップ、ネットワーク機器の管理画面など、社外から入れる入口を一覧にします。保守業者が置いた機器や、拠点・子会社の機器も含めます。
- 2
修正を当てる担当と期限を決める
機器ごとに、メーカーの脆弱性情報を受け取る人と、修正を当てる人を決めます。重大な脆弱性は何日以内に当てるか、期限を決めます。
- 3
アカウントを整理する
退職者、契約が終わった委託先、保守業者のアカウントを止めます。使っていないアカウントと共有アカウントをなくします。
- 4
管理者のパスワードを変え、多要素認証をかける
初期のパスワードや長く変えていないパスワードを変えます。VPNと管理画面には、例外なく多要素認証をかけます。
- 5
保守用の接続は、使うときだけ開ける
保守用・一時的な接続は、作業のときだけ開ける運用にします。誰がいつ使ったかの記録を残します。
- 6
VPNを使わない接続方式への置き換えを考える
利用者と端末をその都度確かめ、アプリごとに通すゼロトラストの方式に置き換えると、社内ネットワーク全体への入口を外に出さずに済みます。
自社で確認すること
- 1 外から入れる機器(VPN装置、リモートデスクトップ、ネットワーク機器の管理画面)の一覧と、それぞれの担当者がいますか
- 2 その機器の脆弱性の修正は当たっていますか。当てる担当と期限が決まっていますか
- 3 退職者、契約が終わった委託先、保守業者のアカウントが残っていませんか
当社がお手伝いできること
当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。
VPN機器を置かずに社内システムへ入れる構成への置き換えを、お手伝いできます。
入口とアカウントの棚卸し
社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。
認証の強化の組み込み
自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。
VPNを使わない接続への置き換え
当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。
持つデータを減らす
退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。
気づける仕組み
ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。
よくあるご質問
- VPNは使わないほうがよいのですか
- VPNそのものが悪いわけではありません。国内の事案で問題になったのは、修正が当たっていない、パスワードが変わっていない、使っていないアカウントが残っている、といった管理の状態です。管理が追いつかないなら、VPNを使わない接続方式への置き換えも選択肢です。
- 保守業者が置いたVPN機器は、誰が管理するのですか
- 契約で決めておく必要があります。修正を当てる担当、パスワードを変える担当、使わないときに止める担当が決まっていないと、どちらも手を付けないまま残ります。岡山県精神科医療センターの調査報告書は、保守用VPN装置の脆弱性が設置以来放置されていたと指摘しています。
関連する手口・解説
この手口の被害かもしれない、何から手を付けるか迷ったら、まず相談してください。
不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。
- 1
状況を送る
フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。
- 2
2営業日以内にメールで返信
お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。
- 3
必要なら1時間のオンライン相談
返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。
ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。