デジタル庁GSSへの不正アクセスが示したこと｜VPN機器の既知脆弱性を自社で点検する手順

本記事は、株式会社DnD（https://dnd-inc.jp）のコラムを一部編集して掲載しています。
初出: https://dnd-inc.jp/blog/gss-vpn-patch-security-check.html

2026年9月11日、デジタル庁はガバメントソリューションサービス（GSS）への不正アクセスを公表しました。府省庁職員や関係事業者など約24.6万件の個人情報（氏名・メールアドレス・電話番号・住所など）が漏えいした可能性があるとされています。デジタル庁の公式発表によると、侵入経路はVPN機器の既知の脆弱性であり、脆弱性の深刻度評価（CVSS）は「Medium（中）」の分類だったとされています。VPN機器の製品名と脆弱性の識別番号は公表されていません。この事案から読み取れる教訓と、自社のVPN機器・リモートアクセス環境を今日から確認できる手順を整理します。

この記事の要点

CVSSで「Medium」に分類された既知の脆弱性でも、パッチが当たっていなければ実際の侵入に使われる。深刻度の高いものだけ優先するという考え方には見直しが必要なケースがある。
VPN機器のパッチ管理は「誰の担当かが曖昧」になりやすい。テレワーク導入時に設置したまま、保守体制が整っていない会社は少なくない。
検知から公表まで78日かかった背景には「異常なアクセスを検知できる仕組み」の有無がある。ログの確認体制も含めた点検が有効。

公式発表の範囲で整理する

デジタル庁の公式発表（2026年9月11日）によると、GSSへの不正アクセスの経緯は以下のとおりです。

2026年6月25日：保守運用担当者のアカウントによる、通常とは異なる大量のファイルへのアクセスを検知した。
2026年7月9日：調査の結果、第三者がVPN機器の既知の脆弱性を悪用して侵入していたことが判明した。同日、当該アカウントを停止し、侵害された機器の外部との通信を遮断した。
2026年7月15日：個人情報保護委員会へ報告した。
2026年9月11日：事案を公表した（検知から78日）。
漏えいした可能性がある情報は、氏名・メールアドレス・電話番号・住所などです。マイナンバー・金融機関口座情報・年金番号は含まれていないことを確認したとされています。公表時点で、二次被害は確認されていないとされています。
VPN機器の製品名と脆弱性の識別番号は、公式発表では公表されていません。本稿は原因の詳細を推測するものではなく、公式発表の範囲から読み取れる一般的な教訓を整理するものです。

この事案から読み取れる3つの論点

公式発表の内容だけでも、自社システムの管理を見直すうえで参考になる論点が3つあります。

論点1：「CVSSでMedium」でも、実際の侵入に使われる

CVSSはセキュリティの世界で広く使われる脆弱性の深刻度評価の指標で、0〜10の数値で表します。Mediumは4.0〜6.9の範囲で、Criticalの9.0〜10やHighの7.0〜8.9と比べると「すぐに対応が必要とは限らない」とみなされがちです。
今回の事案では、Mediumに分類されていた既知の脆弱性が実際の侵入に使われました。**CVSSの数値は脆弱性そのものの特性を示す指標のひとつです。実際の攻撃のしやすさは、その脆弱性がどの機器にあるか・その機器がインターネットに公開されているかといった環境の要因にも左右されます。**深刻度の高いものだけを優先してその他を放置するという運用は、見直しが必要なケースがあります。

論点2：VPN機器のパッチ管理は「誰の担当かが曖昧」になりやすい

テレワーク対応を進めた2020〜2021年に、VPN機器や多機能ルーターを導入した会社は多くあります。しかし、導入後の保守体制が整わないまま来ているケースも少なくありません。
パッチ（ファームウェアの更新）の適用は、機器の保守を担当している会社または担当者が行う必要があります。**「誰かがやっているはず」という前提で動いていると、気づかないまま脆弱な状態が続きます。**特に、導入を担当した外注先との保守契約が切れていたり、担当者が退職していたりすると、機器のアップデートが止まったまま稼働し続けます。

論点3：「検知の仕組み」がないと気づくのが遅れる

今回のGSSの場合、不正アクセスを検知できたのは「保守運用担当者のアカウントによる通常とは異なる大量のファイルへのアクセス」という異常なログがあったからです。もしログの監視体制がなければ、気づくことが難しかった可能性があります。
中小企業では、ファイルアクセスのログを日常的に確認している会社は少ないのが実態です。ただ、VPN機器やサーバーのログは記録されている場合が多く、「記録されているが誰も見ていない」状態から「定期的に確認できる状態」にするだけでも、早期発見の可能性は上がります。

自社で確認できる7項目

社内の担当者、または外注先・保守業者に質問することで確認できる項目です。
1〜3に答えられない場合は、まず機器の現状把握から始めることをおすすめします。

「パッチ管理」と「アクセス管理の見直し」で何ができるか

脆弱性対策として、すぐ始められることと、段階的に整えることの2つに分けて考えると進めやすくなります。

すぐ始められること：パッチ管理の「台帳化」

VPN機器を含むネットワーク機器の一覧（メーカー・製品名・バージョン・保守担当者・最終更新日）を1枚のスプレッドシートにまとめるだけで、「誰が・いつ・何を確認するか」が明確になります。機器メーカーのサポートページには、最新ファームウェアのバージョン情報とリリースノート（修正内容の一覧）が公開されているため、定期的に照合する習慣が作れます。
保守契約がある機器については、契約内容に「パッチ適用作業」が含まれているかを確認し、含まれていなければ追加で依頼するか、契約の見直しを検討します。

段階的に整えること：アクセスログの定期確認

多くのVPN機器やファイアウォールは、接続ログ（いつ・誰が・どこから接続したか）を記録しています。このログを月1回程度確認し、心当たりのないIPアドレスや時間帯のアクセスがないかチェックするだけでも、異常の早期発見につながります。
より体制を整えたい場合は、ログ管理ツールを導入して異常なアクセスパターンをアラート通知する仕組みを作ることもできます。ただし、これはツール導入以前に「ログを見る担当者と手順」を決めることが先決です。

中長期で検討できること：VPNに依存しないアクセス設計

VPN機器はインターネットに公開された入口であるため、脆弱性が見つかると攻撃対象になりやすいという構造的な面があります。近年は、ゼロトラストと呼ばれる考え方（「内側は安全」という前提を置かず、すべてのアクセスを都度認証・認可する設計）に基づくリモートアクセス環境を採用する企業が増えています。
一度に移行する必要はありません。まず現状のVPN環境を把握し、パッチ管理を整えたうえで、次のステップとして検討できます。現状の把握から段階的に進めることが、無理のない改善につながります。
自社の場合はどうすればよいか、相談してみませんか。
ご相談・お見積りは無料です。「何から始めればよいか分からない」という段階からお受けしています。

よくある質問

自社にVPN機器はないと思いますが、確認が必要ですか？

はい、確認することをおすすめします。テレワーク対応を進めた際に設置したブロードバンドルーター・UTM・セキュリティアプライアンスにVPN機能が含まれているケースがあります。「VPN機器を入れた覚えがない」という会社でも、導入を担当した外注先や情報システム担当者に確認すると、見えていなかった機器が見つかることがあります。

CVSSでMediumとは何ですか？危険ではないのですか？

CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を0〜10の数値で表す国際的な基準で、Mediumは4.0〜6.9の範囲です。Mediumは「緊急対応を要するCriticalではない」という意味で、危険でないわけではありません。今回のGSSの事案では、Mediumに分類されていた既知の脆弱性が実際の侵入に使われています。深刻度の評価は参考指標のひとつですが、それだけで優先度を判断することにはリスクがあります。

VPN機器のパッチ適用は自分たちでできますか？

製品によります。一部の機器は管理画面からファームウェア更新ができますが、設定のバックアップや再起動を伴うため、作業手順と影響範囲をあらかじめ確認してから行う必要があります。機器の保守契約がある場合は、その業者に依頼するのが確実です。保守担当者が不在の場合や、どこから手をつけるかわからない場合は、まず現状確認からご相談ください。

デジタル庁GSSへの不正アクセスの原因は何ですか？

デジタル庁の公式発表では、VPN機器の既知の脆弱性（CVSSでMedium）を第三者が悪用して侵入したとされています。VPN機器の製品名と脆弱性の識別番号（CVE番号）は、2026年9月11日時点の公式発表では公表されていません。本記事は原因の詳細を推測するものではなく、公式発表の範囲から読み取れる一般的な教訓を整理したものです。

この記事は株式会社DnD（業務効率化・DXパートナー）が運営するコラムの転載です。
▶ 初出・全文: https://dnd-inc.jp/blog/gss-vpn-patch-security-check.html
▶ お問い合わせ: https://dnd-inc.jp/contact.html