リモートアクセスの製品選定と接続方式を見直す

2026年9月、デジタル庁は、政府共通の業務環境「ガバメントソリューションサービス（GSS）」への不正アクセスを公表しました。攻撃者はリモートアクセスに使うVPN機器の脆弱性から侵入し、保守運用担当者のアカウントを悪用して、大量のファイルにアクセスしました。

職員や関係事業者など約24万6千件の個人情報が漏えいした可能性があり、氏名、メールアドレス、電話番号、住所などが対象となりました。[1]

悪用されたのは、公表済みの脆弱性でした。当初の深刻度評価は「Medium」で、デジタル庁は通常より早く対処を進めていたとしています。それでも、パッチ適用前に侵入されました。製品名や脆弱性の番号、適用予定日は公表されていません。

6月25日に大量のファイルへのアクセスを検知し、7月9日にVPN機器からの侵入が判明しました。同日、当該アカウントを停止し、外部との通信を遮断しました。VPN機器へのパッチ適用も実施しています。[1]

パッチ適用には、影響の確認や作業の準備が必要です。その間も、公開された接続口には攻撃が届きます。修正を急いでも、攻撃が先に来ることはあります。

リモートアクセスに使う製品は、機能や価格に加えて、脆弱性の発見状況や悪用の実績も踏まえて選ぶ必要があります。重大な脆弱性が繰り返し見つかるVPN機器を採用すれば、緊急の修正対応を繰り返し、そのたびに適用前の侵入リスクを抱えることになります。

接続方式も見直せます。例えば、ゼロトラスト型の接続方式には、内部から外向きに通信を確立し、利用者や端末を確認したうえで、許可された対象だけにつなぐ構成があります。接続を待ち受けるポートをインターネットに公開せず、攻撃者が機器へ直接アクセスする経路を減らせます。[2][3]

誰が、どの端末から、何の作業をするのか。その業務要件を整理し、脆弱性への対応負担が大きい製品を選ばないことと、入口を攻撃者に見せないことを、リモートアクセスの設計に組み込む必要があります。