VPNに侵入されると、なぜ社内の情報が漏れるのか

SHORT ANSWER

結論

VPN機器への侵入が、社内システムへ接続する足がかりになることがあります。そこからファイルを読める権限も悪用され、読み取ったデータを外部へ送られると情報漏えいにつながります。VPNに侵入しただけで全ファイルを読めるとは限らず、接続範囲・権限・外部通信の制御が被害の広がりを左右します。

今回の発表で分かっていること

デジタル庁は2026年9月11日、GSSでVPN機器の脆弱性を悪用した不正アクセスがあり、保守運用担当者のアカウントによる大量のファイルアクセスを検知したと公表しました。個人情報約24.6万件が漏えいした可能性があるとしています。[1]

デジタル庁のQ&Aによると、悪用されたのは、あらかじめ公表されていたVPN機器の脆弱性です。当初の深刻度評価は中程度（CVSSのMedium）で、修正プログラムを適用する前に攻撃へ利用されたと説明されています。[2]

具体的な製品・脆弱性や、アカウントを悪用できた詳しい経緯は公表資料だけでは特定できません。以下は一般的に起こり得る仕組みの説明であり、今回の攻撃経路を再現したものではありません。[2]

VPNは、社外から会社に入るための入口

企業のリモートアクセスVPNは、自宅や出張先のPCと社内ネットワークを結び、通信を暗号化する仕組みです。社員は離れた場所から共有フォルダや業務システムを利用できます。建物に例えると、会社へ入るための鍵付きの入口です。[3]

入口の機器に攻撃へ悪用できる欠陥があると、侵入の足がかりを作られる場合があります。ここで見るべきなのは、「VPNを使っているか」に加えて、どの機器を、誰が更新し、接続後にどこまで通信できるかです。

入口・書庫の鍵・持ち出しの3段階で考える

VPN侵入から情報漏えいまでの3段階と対策。入口では機器の更新と接続先の制限、権限では認証の強化と必要最小限の権限、持ち出しでは外部通信の制限・記録・通知。VPNへの侵入だけで全情報が流出するとは限りません。 — 一般的な仕組みの説明であり、GSS事案の攻撃経路を再現したものではありません。

社内へ接続する足がかりを得る、閲覧できるアカウントなどの権限でファイルを読む、読み取ったデータを外部へコピーする。この3段階を分けて考えると、どこに対策が必要かを整理できます。

社内につながることと、ファイルを読めることは別

廊下に入れても、すべての書庫が開くわけではありません。通常、ファイルや業務システムには利用者ごとの権限があります。しかし、保守用アカウントに広い権限がある、共有フォルダを大人数に公開している、といった環境では、一つの侵害で読まれる範囲が大きくなる可能性があります。

元のファイルが残っていても漏えいする

電子データはコピーできます。顧客名簿がいつもどおり開ける、業務システムが動いているという状態でも、コピーが外部に渡っている可能性はあります。暗号化や削除による業務停止だけを、事故のサインにしないことが大切です。

また、VPNの暗号化は通信途中の盗み見を防ぐためのものです。攻撃者がデータを読む側に入り込んだ場合、通信の暗号化だけで読み取りや持ち出しを止めることはできません。

会社で確認したいのは、3つの段階を止める仕組み

AZWorkでは、守る情報から逆にたどって点検することを勧めます。まず重要なファイルの保存先と読める人を調べ、その保存先へ到達できる機器・接続経路を確認します。

対策の狙いと、担当者へ確認する質問
狙い	確認すること
入口を減らす	使っていない外部接続を停止しているか。VPNの機種・バージョン・更新担当を把握しているか。
読める範囲を狭める	保守担当者が、人事・顧客情報まで読む必要があるか。作業終了後の権限を外しているか。
持ち出しを抑え、気づく	不要な外部送信を制限できるか。大量取得や不審な外部通信の通知先は決まっているか。

外部通信やアクセス範囲の制限は、業務に必要な通信を調べてから設計します。CISA等のガイドもネットワークの分離や情報持ち出しの兆候の確認を扱っています。ただし、これらを設定すればすべての流出を防げるという意味ではありません。[5]

環境によって、最初に見る場所が変わる

社内ファイルサーバーをVPNで利用する会社

VPNから接続できるサーバー、共有フォルダの権限、保守用アカウントを一緒に確認します。VPNの管理画面だけを見ても、ファイル側の権限までは分かりません。

クラウド中心の会社

直接クラウドへログインする経路も確認します。VPNを廃止しても、クラウドのアカウントや共有設定の管理は必要です。現在の接続経路を整理してから、必要な対策を選びます。

自社で確認する5つの質問

社外から接続できる機器・サービスを一覧にできますか。
重要なファイルを読める人と、保守用アカウントの権限を説明できますか。
機器の更新情報を確認し、対応期限を決める人はいますか。
大量のファイル取得や不審な通信があれば、誰が気づきますか。
疑わしい接続を止める判断者と連絡先は決まっていますか。

答えが不明な項目は、台帳・設定・契約内容を確認する出発点です。数だけで安全性を採点するものではありません。社内担当者と保守会社が同じ一覧を見ながら、役割を確認すると進めやすくなります。全体の点検にはIPAの中小企業向けガイドラインも利用できます。[4]

AZWorkなら、重要な情報とアクセス経路から整理します

最初に、守るべき情報、利用者、接続経路を一枚の一覧にします。そのうえで、不要な権限や経路を減らし、更新と監視の担当を決めます。製品を選ぶ前に「何を、どこで止める必要があるか」を具体化する方針です。

よくある質問

VPNに侵入されると、すべてのファイルが見られますか。

必ずしもそうではありません。接続できる範囲と、ファイルを読むための権限は別です。アカウントやシステムの権限も悪用されると、その権限で読める情報が被害の対象になり得ます。

VPNをやめれば情報漏えいを防げますか。

外部接続の見直しは対策の一つですが、アカウント、端末、クラウドの共有設定など別の経路も確認が必要です。業務と現在の構成を確認して判断します。

バックアップがあれば情報漏えいにも対応できますか。

バックアップは主にデータを復旧するためのものです。すでに外部へ渡ったコピーを取り戻すことはできないため、持ち出しへの対策も必要です。

一次情報・参考資料

確認日：2026年9月13日。事案の公表内容と一般的な技術解説・AZWorkの提案を区別しています。調査や製品仕様の更新により内容が変わる場合があります。