顧客のPCやサーバーを保守していると、遠隔で作業するためにVPNやリモートデスクトップの経路を用意することがよくあります。この経路は保守には便利ですが、攻撃者にとっても社内へ入る入口になります。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る警察庁が公表した2026年上半期のランサムウェア被害は123件で、侵入経路が分かった36件のうち27件がVPN機器とリモートデスクトップでした。この記事では、顧客の環境を預かるITベンダーの立場で、保守用の経路とアカウントについて見直したい点をまとめます。
入られてから被害が広がるまで
- 1
VPN・リモート接続から入る
脆弱性や漏れたID・パスワードを使う
- 2
PC・サーバーにログインする
保守用や管理者のパスワードを使い回す
- 3
次々に広がって暗号化する
同じパスワードで別の機器にも入る
2026年10月には、委託先の正規アカウントで顧客のサーバーに入られ、ファイルが暗号化された事案が公表されています（大阪公立大学・NEC委託先の不正アクセス）。同じ時期の委託先経由の事案は不正アクセスの最新ニュース一覧にまとめています。保守の経路と保守用のアカウントを見直すきっかけにしてください。
見直すこと1：保守用の経路を一覧にしているか
顧客ごとに、どのVPN機器・どのリモート接続ツール・どのポートを開けているかを一覧にしているでしょうか。担当者が替わるうちに、使っていない経路が開いたままになっていることがあります。まず保守する側で一覧を持つことが出発点です。
見直すこと2：VPN機器の更新が止まっていないか
VPN機器の脆弱性は、公表されてから短い期間で悪用されます。保守契約の範囲に機器の更新が入っているか、入っていない場合は誰が更新するのかを、顧客と決めておく必要があります。
見直すこと3：保守アカウントを顧客間で使い回していないか
複数の顧客で同じ保守用のIDとパスワードを使っていると、1社で漏れた情報がほかの顧客にもそのまま使われます。顧客ごと、担当者ごとに分けておくことで、1か所の漏えいが連鎖しにくくなります。
見直すこと4：保守の先のPC・サーバーがパスワードだけで入れないか
VPNを通ったあと、PCやWindows Serverへのログインがパスワードだけで通る状態だと、攻撃者は保守担当者と同じように中で動けます。VPNを閉じられない場合こそ、その先のログインにパスワードとは別の確認を足すことが効きます。
顧客への説明の例
見直すこと5：夜間・休日のログインに気づけるか
被害は、人が見ていない夜間や休日に広がることが多くあります。とはいえ、保守する側が毎晩ログを見に行くのは続きません。保守作業がない時間帯のログインに、見に行かなくても気づける仕組みがあるかを確認しておきます。
見直しの優先順位
| 項目 | 手間 | 効き方 |
|---|---|---|
| 経路の一覧化 | 小 | 以後の判断の土台になる |
| VPN機器の更新 | 中 | 入口の脆弱性を減らす |
| 保守アカウントの分離 | 中 | 漏えいが他社へ連鎖しにくくなる |
| PC・サーバーのログインに別の確認を足す | 小〜中 | 入られた後に広がりにくくなる |
| 夜間・休日のログインの把握 | 小〜中 | 早く気づける |
保守の仕事が楽になると何が変わるか
保守の現場では、「このPCの更新は済んでいるか」「昨夜、誰かサーバーに入ったか」を確かめるために、訪問したりリモートで1台ずつつないだりすることがよくあります。顧客から「ちゃんと見てくれているのか」と聞かれて、説明の材料を集めるのにも時間がかかります。
- 1台ずつつながずに済む：アプリップリキーでは、顧客の全PC・サーバーの台数・オンラインかどうか・OS・空き容量・更新漏れが1画面に並びます。更新漏れは深刻な順に並ぶので、どの機器から手を付けるか迷いません
- 夜間・休日に見に行かなくてよい：ランサムウェアの前兆やログインの連続失敗があるときだけ担当者のLINEに届き、相手のIPは自動で遮断されます。LINEのボタンから画面を確かめ、ネットワークから切り離すこともできます
- 顧客への報告がそのまま出せる：ログイン記録（日時・利用者・接続元のPC名とIPアドレス）をCSVで出せるので、保守作業の時間帯以外にログインがなかったことを、画面とCSVで説明できます
PCとサーバーのログインに確認を足す方法
アプリップリキーは、全PC・サーバーの状態とログイン記録を1画面で管理でき、さらにPC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版。リモートデスクトップでのログインも対象）。
- ADがあってもなくても導入でき、設定は5分ほど
- 認証用のサーバーや専用の機器が要らない
- 毎回の操作はスマホでワンタッチなので、顧客の社員の手間はほとんど増えない
- 1台から始められる
保守を担当するベンダー自身のアカウントにも使えるため、「保守経路の見直し」と「顧客のログイン強化」を一度に提案できます。
ITベンダー・システム会社の方へ
保守経路の見直しとあわせて、顧客の全PC・サーバーを1画面で管理でき、さらにログインを2要素認証にできる商材を提案してみませんか。
販売パートナー様には、専用サイト・専用ダイヤル・技術支援の勉強会をご用意しています。
販売パートナーについて相談する顧客から受けることの多い質問への答え方は、顧客から「パスワードだけで大丈夫？」と聞かれたらにまとめています。保守ベンダーのアカウント管理を顧客側から見た記事は保守ベンダー・委託先アカウントの管理です。
全PC・サーバーの状態とログイン記録を1か所でまとめて見る方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
保守用のVPNを廃止できない場合はどうすればよいですか
VPNの先にあるPC・サーバーのログインを、パスワードだけで通らない状態にすることが現実的です。VPNを通られても、その先でログインできなければ広がりません。
保守アカウントを顧客ごとに分けるのは手間ではありませんか
最初の整理には手間がかかりますが、共通のパスワードを使い回したままだと、1社で漏れた情報がほかの顧客にも使われるおそれがあります。
Windows Serverにも2要素認証を入れられますか
アプリップリキーのサーバー版で、Windows Serverのログインを本人のスマホを鍵にしたワンタッチログインにできます（リモートデスクトップでのログインも対象）。
出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」