VPN機器はランサムウェアの主な侵入口：デジタル庁GSS事案から考えるリモートアクセスの守り方

当サイトの視点：順番をつけたことが誤りなのではなく、「何で順番をつけたか」が論点

脆弱性に優先順位をつける運用自体は正しいものです。すべてを同時には直せないからです。問題になるのは、その順番を何で決めるかのほうです。当サイトは以前から CVSS・EPSS・KEVで優先順位を決める で、深刻度スコア（CVSS）だけで順番を決めてはいけないと書いてきました。CVSSは「悪用されたらどれくらい被害が大きいか」を示す値で、「実際に狙われているか」も「その機器がどこに置かれているか」も含んでいないからです。

会見の説明は、まさにその形です。緊急度が高くないと評価された脆弱性が、インターネットから誰でも到達できる境界機器にあった（同庁のQ&AによればCVSSは「中」）。同じ「中」でも、社内の奥にあるサーバーの「中」と、外に面したVPN機器の「中」では、意味がまったく違います。だから順番づけには①悪用が確認されているか（KEV）②今後狙われる確率（EPSS）③その機器がインターネットに面した境界に置かれているかを入れる必要があります。スコアの数字だけを見ていると、「中だから後回し」にした脆弱性が、そのまま侵入に使われます。

当サイトの視点：この事案で真似すべきなのは「気づけたこと」

直前に公表されたさくらインターネットの調査結果では、販売管理システムへの不正アクセスが約3年間続いていたことが明らかになりました（レンタルサーバーが不正アクセスされたとき、利用者は何をすべきか）。対照的に、デジタル庁の事案は大量のファイルアクセスという「量の異常」で検知されています。侵入そのものは防げていないので、手放しで評価できる話ではありません。それでも、侵入を完全に防ぐことは誰にもできない以上、差がつくのは侵入された後にどれだけ早く気づけるかです。

一方で、検知（6月25日）から公表（9月11日）までは約2か月半あり、同庁の発表はその間の経緯に触れていません。影響範囲の確定に時間がかかること自体は珍しくありません。ただ対象者の側から見れば、自分の連絡先が第三者の手に渡った可能性を、数か月後に知ることになります。だから連絡を待つだけでなく、なりすましへの警戒は今日から始めるのが合理的です。

更新履歴

2026-10-11：訂正。9月19日の更新では、CVSS「中」を会見要旨に記載がないとして報道扱いにしていましたが、デジタル庁のQ&A（2026年9月12日更新）に「中（CVSS値 Mediumレベル）」と明記されていることを確認しました。同庁のQ&Aにもとづく記述に改め、出典に加えました。「5月下旬ごろ」はQ&Aにも記載がないため、引き続き報道として扱います。
2026-09-19：デジタル庁が公開した会見要旨で一次確認。「脆弱性は既知で、深刻度評価に応じて順にパッチを当てている間に侵入された」という説明と、パッチ適用済みであることを、報道ではなく会見要旨の引用に差し替えました。CVSS「中」と「5月下旬ごろ」は会見要旨にも記載がないため、引き続き報道として扱います。
2026-09-12：報道による続報を追記。悪用されたVPN機器の脆弱性は既知のもので、緊急度の高い他の脆弱性から順に対応中だったと大臣が会見で説明したと報じられ、CVSSでは「中」に分類されていたとされます。大量ファイルアクセスの開始は5月下旬ごろと報じられました。いずれもデジタル庁の発表文には含まれていないため、報道として帰属を明示しています。公式の会見要旨が公開され次第、一次情報で確認し直します。
2026-09-11：初版。デジタル庁の9月11日の公表内容と、警察庁の令和7年統計にもとづく。