公式発表を入口別に読むと、不正アクセスの事件から学べることは「社外とつながる場所を全部知っているか」に集まります。多く確かめられる入口は、ネットワーク機器、委託先に渡した管理者ID、公開しているWebサーバーの3つです。
今日やることは、社外とつながる機器とサービスの一覧を作ることです。VPN、拠点間の接続、保守用のリモート接続、公開サーバーを書き、持ち主と最終更新日を埋めます。空欄が点検の出発点です。
事件を取り上げるのは、責めるためではありません。どの組織の発表も、調査して公開したから読めます。ここに書く事実は、各組織の公式発表で確かめた範囲に限りました。
数字で見ると何が起きている？
警察庁などの令和8年3月12日の公表によると、令和7年の不正アクセス行為の認知件数は7,190件で、前年より1,832件増えました。不正アクセス後の行為では、インターネットバンキングの不正送金等が4,747件、証券会社の取引サービスの不正取引等が1,484件です。企業のネットワークへの侵入だけを数えた数字ではない点に注意してください。
企業側の入口は、別の資料で見ます。警察庁の令和8年1月の資料は、令和7年上半期のランサムウェア被害について、次の数字を抜粋しています。
- 侵入経路はVPN機器が62.2%、リモートデスクトップが22.2%、その他が15.6%
- 被害企業の規模は中小企業が66.4%、大企業が30.2%、団体等が3.4%
同じ資料は、企業・団体へのアンケートの結果として次の点も挙げています。
- VPN機器を使う組織の52%が、最新のパッチを適用していない
- 社外からの業務アクセスの認証は、ID・パスワードのみが39.8%で最も多い
- 事故対応のマニュアルなどは約4割が未作成
IPAの情報セキュリティ10大脅威2026でも、組織編の1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃、4位はシステムの脆弱性を悪用した攻撃です。
公式発表で確かめられる入口は？
入口ごとに、公表された内容を表にしました（2026年11月7日確認）。件数は後から変わることがあるので載せず、中身は元の発表で読めるようにしています。
数字の扱いでは一つ注意があります。アサヒグループHDは2026年7月17日に、漏えいのおそれがある個人情報の範囲を修正し、アスクルも2026年7月30日に本人通知の追加を公表しています。調査が進めば数字は変わるので、第1報だけで判断しないでください。
ネットワーク機器の入口から何を学ぶ？
共通するのは、社外とつながる機器が、社内の深い場所への通り道になった点です。
デジタル庁の発表では、6月25日に保守運用担当者のアカウントによる大量のファイルへのアクセスを検知し、7月9日にVPNの脆弱性を利用した侵入と分かりました。正規のアカウントに見える動きから、侵入経路の特定に時間がかかる場合があることが読み取れます。
アサヒグループHDの発表では、侵入のあと、パスワードの脆弱性をついて管理者権限を奪われ、主に業務時間外に複数のサーバーへの侵入と偵察が繰り返されたとみられています。再発防止には、リモートアクセスVPN装置の全面廃止と、ネットワーク機器を含むIT資産の管理の徹底が並びます。
ここから確かめる点は次のとおりです。
- 社外とつながる機器の一覧があり、拠点の機器まで入っているか
- 機器の最新パッチを適用したかを、誰が、いつ確かめたか
- 管理者のパスワードが推測されにくく、使い回していないか
- 業務時間外の管理者ログインを、後から見返せるか
製造業の例から何を学ぶ？
製造業で読んでおきたいのが小島プレス工業の報告です。報告によると、子会社が特定の外部企業との専用通信のために独自に使っていたリモート接続機器に脆弱性があり、そこから子会社、本社のネットワークへと侵入されました。
社長名のお詫びでは、被害拡大を防ぐためすべてのシステムを止めた結果、得意先各社の工場の稼働に影響が出たと説明しています。3月2日に全得意先への納入は再開しましたが、受発注のデータの授受は代替手段によるもので、ほかの社内システムは障害が続いていました。
読み取れることは2つあります。
本社の情シスが管理する機器だけを見ていても、入口を見落とすかもしれません。 たとえば工場や子会社が、取引先や保守業者との接続のために機器を置いている場合です。一覧を作るときは、拠点の担当者にも「外とつながる箱はないか」と聞いてください。
もう一つは、止めるかどうかの判断が取引先に届くことです。社内の被害が小さくても、受発注が止まれば納入に響きます。止めたときの連絡先と、代わりの受発注の手段を、紙でも残しておきます。
委託先のIDの入口から何を学ぶ？
アスクルの報告では、例外的に多要素認証を適用していなかった業務委託先の管理者アカウントのIDとパスワードが漏えいし、不正利用されたと説明しています。当時のログが削除されていて、原因の完全な究明は難しいとも書いています。
再発防止は、委託先を含む全てのリモートアクセスへの多要素認証の徹底と、管理者権限の厳格な運用です。検知の遅れと復旧の長期化については、サーバーにEDRが未導入だったこと、24時間の監視がなかったこと、ランサムウェアを想定したバックアップ環境でなかったことを原因に挙げています。
ここから確かめる点は次のとおりです。
- 多要素認証の例外になっているIDはないか。とくに委託先と管理者
- 委託先に渡したIDの一覧があり、不要なものを消しているか
- ログを社外や別の場所に残し、一定期間は消えないようにしているか
- バックアップの一部を、ふだんのネットワークから切り離しているか
例外を減らすには、多要素認証の製品比較で、管理者IDと古いシステムに対応できるかを確かめます。
公開サーバーの入口から何を学ぶ？
京都教育大学の発表では、WordPressの脆弱性を利用して侵入用のファイルが置かれ、6サイトの一部が改ざんされました。7月22日に不審なアクセスを確認し、9月4日に全サイトのリストアと脆弱性への対応を終えて公開を再開しています。サーバーに個人情報や機密性の高い情報は置いておらず、漏えいも確認されていないとしています。
同じ脆弱性についてIPAは2026年7月22日に注意喚起を出し、自動更新が有効でなかったり失敗していたりする可能性があるので、管理画面で版を確かめるよう呼びかけています。
個人情報を置かないサーバーでも、止めて戻すまでの作業は発生します。自社のサイトなら、管理画面の版を確かめ、更新を任せている相手を決めてください。
防ぎ方と気づき方は分けて考えます。Webアプリケーションへの攻撃を手前で止めたいならWAFの製品比較、書き換えに気づく仕組みならWebサイトの改ざん検知の記事が入口です。全体の対策はWebサイトのセキュリティの一覧にまとめています。
起きたときのために何を決めておく？
発表を読むと、初動の判断と調査の記録が後の説明を左右すると分かります。平時に決めておくのは次の4つです。
- 社外との接続を止める判断を、誰がするか
- 調査を頼む先。インシデント対応・フォレンジックの比較で見当をつけておく
- 相談先。IPAの不正アクセス対策特設サイトに、事業者向けの特別相談窓口があり、初動の助言や専門業者一覧の紹介を受けられる
- 報告先。個人データの漏えいのおそれがあれば、個人情報保護委員会の案内で、報告が必要かと期限を確かめる
ログを消さないことも決めておきます。アスクルの報告では、ログが残っていないことが原因究明の難しさにつながっていました。慌てて端末を初期化する前に、調査を頼む先へ相談してください。
