2026年9月11日、デジタル庁は、同庁が運用するガバメントソリューションサービス（GSS）が外部から不正アクセスを受け、個人情報を含むファイルの一部が漏えいした可能性があると公表しました。
注目したいのは、「どこから入られたか」と「中で何を使って動かれたか」が分けて書かれている点です。
この2つを分けると、2要素認証がどこで効き、どこで効かないかがはっきりします。公表内容を整理したうえで、中小企業が確かめるべきことをまとめます。
何が起きたか（デジタル庁の公表から）
検知から公表までの流れを、3つの日付で追います。
公表された経緯
- 1
6月25日 検知
保守運用担当者のアカウントで大量のファイルへのアクセス
- 2
7月9日 判明・遮断
VPNの脆弱性からの侵入と判明。アカウント停止・通信遮断
- 3
9月11日 公表
約24.6万件の個人情報が漏えいした可能性
再発防止策として、デジタル庁は「脆弱性管理方法の見直し」と「外部からの接続方法の改善」を挙げています。
悪用された機器の製品名や、担当者のアカウントの認証方式は公表されていません。この記事でも、GSSで何をしていれば被害がなかったかは論じません。
入口と中で動く手段は別の段階
公表の流れを2つの段階に分けて見ます。
- 入口：VPN機器の脆弱性を突いて、社外から内側に入る
- 中で動く：保守運用担当者という正規のアカウントで、サーバー上のファイルにアクセスする
①は、パスワードを当てて入るわけではありません。機器の弱点を突かれ、認証を通らずに内側へ入られます。効くのは修正プログラムの早い適用と、使っていない接続口を閉じることで、ログインの2要素認証では止められません。
②で使われたのは「正規のアカウント」です。本物のIDとパスワードでのログインは、通常の業務に紛れて気づかれにくいからです（警察庁統計で見る侵入経路）。
ポイント
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
侵入経路ごとに見る2要素認証が効く場面・効かない場面
警察庁の2026年上半期の統計では、侵入経路が分かった36件中、18件がVPN機器、9件がリモートデスクトップからでした。経路ごとに、Windowsのログインの2要素認証が効く段階を整理します。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る| 侵入の形 | 入口の段階 | 入った後、PC・サーバーへ広がる段階 |
|---|---|---|
| VPN機器の脆弱性を突かれる （GSSの事案はこの形） | 効かない 認証を通らずに入られる。修正プログラムの適用と接続口の整理が対策 | 効く 社内のPC・サーバーへのログインに2つ目の鍵が要る |
| 盗まれたVPNのID・パスワードで入られる | VPN側の対策 VPN自体の多要素認証が対策（Windowsのログイン認証の対象外） | 効く VPNを通られても、PC・サーバーのログインで止まる |
| リモートデスクトップで社外から直接入られる | 効く 入口がWindowsのログインそのもの。パスワードだけでは入れない | 効く 次のPC・サーバーへのリモートデスクトップ接続にも2つ目の鍵が要る |
| 不審メールなどでPCが感染する | 効かない ログインを経ずに、すでにログイン中のPCで動く | 効く 感染したPCから他のPC・サーバーへログインする段階で止まる |
※ 対象はWindowsのPC・サーバーへのログイン（リモートデスクトップ接続を含む）。クラウドサービスのログインや、Webサイトの脆弱性を突いた情報の持ち出しは別の対策になります。
ログインの2要素認証は、入口のすべてを止めるものではありません。ただ、どの入口から入られても、被害を広げるには社内のPC・サーバーへのログインが要ります。その段階には、どの経路でも効きます。
「VPNに多要素認証を入れたから大丈夫」ではない理由
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
中小企業でも同じ形が起きている
「入口を抜けられた後、正規のアカウントで動かれる」流れは、国内の中小企業・団体でも繰り返し公表されています。
- 両毛システムズ — VPNアカウントを悪用されて侵入
- 大阪急性期・総合医療センター — 委託先のVPNから侵入し、全サーバー共通のWindowsパスワードで横展開
- 八王子学園 — リモートデスクトップでサーバーにログイン
- SafePay（米当局の注意喚起） — 入った後は正規のアカウントでリモートデスクトップを使って広がる
使われたのが「保守運用担当者」のアカウントだった点も見逃せません。保守業者や情シスの管理者アカウントは、多くのPC・サーバーに入れる強い鍵です。この鍵がパスワードだけで使える状態だと、1つ盗まれただけで多くのPC・サーバーに入れることになります。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
今日、社内で確かめられることを並べます。
- VPN機器の修正プログラムが当たっているか、使っていない接続口が残っていないか（VPNの脆弱性）
- 保守業者・情シスの管理者アカウントが、パスワードだけで社内のPC・サーバーに入れないか（Windows Serverの特権アカウント）
- リモートデスクトップで接続できるPC・サーバーと、接続できる人が絞られているか（リモートデスクトップの接続ユーザーの制限）
- PC・サーバーのログインに2つ目の鍵があるか（リモートデスクトップの2要素認証／Windows OSログインの2要素認証）
- 複数のサーバーで同じ管理者パスワードを使い回していないか
普段の管理が楽になると何が変わるか
確かめたあとも、毎日1台ずつ見に行くのは続きません。全PC・サーバーを1か所で管理できるようにしておくと（アプリップリキー）、ログイン記録と、利用者ごとの2要素認証の設定状況を画面で見られます。保守業者の作業後に「いつ・どのサーバーに入ったか」を確かめるのも、画面を開くだけで済みます。
OSやブラウザの更新漏れ、サポートが切れたOS、2要素認証の設定漏れは深刻な順に並ぶので、VPN機器以外の手当てもどのPCから手を付けるか迷いません。ランサムウェアの前兆があるときだけLINEに届くので、何もない日は見に行かなくてよく、担当者が安心して休めます。さらに、VPNや社内Wi-Fiの先にあるPC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。
出典
- デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日）
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年）
記事中の事実関係は、上記の公表内容（2026年11月12日時点で確認）に基づきます。
いまの運用を棚卸ししてみる
VPNの先で、PCや社内サーバーにパスワードだけで入れる状態が残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。