デジタル庁は、各省庁の職員が使う業務基盤に、VPN（社外から社内のネットワークに安全につなぐ仕組み）の機器から侵入されました。突かれた脆弱性（悪意ある第三者に突かれうる欠陥）は攻撃の前に公表されていて、修正を当てる前に悪用されたと、デジタル庁が説明しています。警察庁の統計では、ランサムウェア（データを暗号化して身代金を要求する攻撃）の侵入経路の半分がVPN機器です。経済産業省は、取引先のセキュリティを書類で確かめる仕組みを作り直しています。
① 事実
本紙は、侵入経路が公表された国内の事件2件と警察庁の統計、経済産業省の新しい評価制度を読みました。2件は、デジタル庁と、取引先のシステムを受託している両毛システムズの事件です。警察庁の統計は、2026年1〜6月にランサムウェアの被害に遭った組織へのアンケートを含んでいます。経済産業省の制度は、委託元が委託先のセキュリティをどう確かめるかを定めるものです。
デジタル庁は、公表済みのVPNの脆弱性に、修正を当てる前に入られました
デジタル庁が9月11日に公表した事件です。対象は、各省庁の職員が使う業務基盤「ガバメントソリューションサービス（GSS）」でした。
6月25日、保守運用担当者のアカウントで、サーバ上の大量のファイルにアクセスされたことを検知しました。7月9日、第三者がVPN機器の脆弱性を利用して侵入していたことが分かりました。漏えいした可能性がある個人情報は約24.6万件です。
デジタル庁のQ&Aによると、この脆弱性は、攻撃が確認される前に公表されていました。修正プログラム（セキュリティパッチ）を当てる前に悪用されたと、デジタル庁は書いています。脆弱性の深刻度の評価は「Medium（中程度）」でした。再発防止策として、脆弱性管理の方法の見直しと、外部からの接続方法の改善を挙げています。
両毛システムズは、VPNのアカウントを悪用されて入られました
両毛システムズは、取引先のシステムを受託している会社です。9月の第3報によると、8月12日、外部の第三者がVPN機器のアカウントを悪用し、社内ネットワークに侵入しました。8月14日に社内の監視で異常を検知し、ネットワークを遮断しています。外部の専門機関の調査で、ランサムウェアの攻撃と確認されました。
漏えいのおそれがある情報には、<strong>「お取引先さまのお客さま」</strong>の個人情報が含まれる可能性があると、同社は書いています。どのアカウントがどうやって使われたのかは、公表されていません。
同じ時期に公表されたほかの事件の多くは、侵入経路をまだ公表していません。10月7日からのIDCFクラウド（ソフトバンク子会社のクラウド）の事件も、10月14日の第5報の時点で、経路を明らかにしていません。
警察庁の統計では、ランサムウェアの侵入経路の半分がVPN機器でした
警察庁によると、2026年1〜6月に警察へ報告されたランサムウェアの被害は123件でした。半期の件数として、統計を取り始めた2020年下半期以降で最多です。被害に遭った企業・団体のうち、中小企業が79件で約6割を占めています。
侵入経路を答えた36組織のうち、VPN機器が18、リモートデスクトップ（社外から社内のPCを遠隔で操作する仕組み）が9でした。警察庁は、攻撃者が修正していない脆弱性や、漏えいした認証情報（IDとパスワード）を使って侵入し、管理者の権限を奪い、内部で重要なデータやバックアップを探してから暗号化する、と流れを書いています。
被害に遭った組織への同じアンケートでは、対策を持っていた組織が多数でした。
バックアップから戻せなかった理由の1位は、「バックアップも暗号化・消去された」で、29組織中14でした。
警察庁は、AIを悪用してランサムウェアを作った19歳を逮捕しています
同じ報告書には、AIの悪用の節があります。警察庁は、「国家を背景とするサイバー攻撃グループがAIを利用し、人間の介入なしにサイバー攻撃を実施したとの民間企業の報告がある」と書き、生成AIで攻撃のハードルが下がり、高度な技術を持たない者でも攻撃を実行しやすくなると見ています。
国内の摘発例も載っています。19歳の会社員は、飲料メーカーがランサムウェアの攻撃を受けた報道を見て、AIを悪用して作ったソースコードを組み合わせ、ランサムウェアを作りました（2026年6月に逮捕）。15歳の高校生は、生成AIで直した攻撃プログラムで、動画配信サービスの会員約4万6,800件を本人の意に反して退会させました（同年7月に逮捕）。
警察庁は、ランサムウェアの貸し出しの商売（RaaS＝ランサムウェアを攻撃の実行者に貸し、身代金の一部を受け取る仕組み）も挙げ、「高度な技術的専門知識を有していない者であっても」攻撃が可能になったと書いています。警察庁のセンサーが検知した、脆弱性を探す不審なアクセスは、1日・1IPアドレスあたり1万3,687件で、前年より50.7%増えました。
経済産業省の新しい評価制度で、VPN装置を実際に検査するのは★4からです
経済産業省は2026年3月、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の制度構築方針を公表しました。委託元が委託先に段階（★）を示し、対策を促して実施状況を確かめる仕組みです。運用は、2026年度下期の評価ガイドなどの公表後に始まる想定です。
方針は、制度を作る背景として、委託元と委託先の両方の課題を挙げています。
委託元企業：委託先におけるセキュリティ対策が可視化しづらく、要求事項（チェックリスト等）の適正性の担保も難しい
委託先企業：複雑なサプライチェーン下で様々な委託元から様々な要求事項を求められ、過度な負担につながっている(特に中小企業を中心に)
★3では、委託先が作った自己評価の書類を、セキュリティの専門家が確認します。確認するのは、主に「記載内容に矛盾がないか」です。★4では、評価機関が書類に加えて実地審査を行い、さらにVPN装置やルータなど、インターネットに公開している機器に脆弱性検査をかけます。 合格の基準は、★3も★4も「原則として、全ての評価基準への適合を求める」とされています。内部通報などで虚偽報告や情報隠蔽が確認された場合は、★を一時停止または取り消すことがある、とも書かれています。
② 構造
経済産業省の方針は、委託元からは委託先の対策が見えにくいと書いています。侵入経路が公表された2件は、その見えにくい場所から入られています。AIは、その場所を探す作業に効いていると読めます。
書類で確かめられるのは、書いてあることに矛盾がないかまでです
SCS評価制度の★3は、書類に矛盾がないかと、基準から見て十分な事項が書かれているかを確かめます。VPN装置が実際に修正済みかを検査するのは、★4からです。
経済産業省の審議会（産業サイバーセキュリティ研究会のサブワーキンググループ）の第3回議事要旨（2024年12月）には、委員から次の指摘が残っています。
特に★4 の場合、受注者における評価の正確性の担保を発注者は求めるが、自己評価だけでは発注者は十分と捉えない場合があるのではないか。
取引先等から様々なセキュリティに関するヒアリングを受けている企業のセキュリティ担当はコンプライアンス対応に業務の大半の時間をとられており
デジタル庁の件は、公表済みの脆弱性が修正前だったこと、両毛システムズの件は、VPNのアカウントが使われたことが入口でした。どちらも、書類に「対策をしている」と書いてあるかどうかではなく、その日の機器とアカウントの状態で決まった、と読めます。
ランサムウェアの被害に遭った組織の多くは、対策を「持っていた」側でした
警察庁のアンケートでは、バックアップを取っていた組織は50組織中44、ウイルス対策ソフトを入れていた組織は47組織中40でした。それでも、バックアップから戻せたのは40組織中11、ウイルス対策ソフトが攻撃を検知したのは33組織中10です。業務継続計画（BCP＝災害や事故のときに事業を続けるための計画）を作っていた24組織のうち、サイバー攻撃を想定に含めていたのは6組織でした。
対策が「ある」と書ける状態と、攻撃を受けた日にその対策が効く状態は、別に数えられています。書類に書けるのは前者で、入口で問われるのは後者だと読めます。
AIが速くしているのは、穴の空いた入口を探す側だと読めます
本紙は、AIの攻撃能力の試験を何度か取り上げてきました。Vol.27では、国家を背景とするとみられる攻撃グループが、攻撃の9割をAIが自分で進めていた件を書きました。Vol.78では、中国の公開AIの拒否の仕組みが、約1,200ドルで外れる件を書きました。
国内で公表された被害は、修正していないVPN機器や、VPNのアカウントから入られています。警察庁が書いているのも、「高度な技術を持たない者」でも攻撃できるようになった、という変化です。AIが先に速く、安くしているのは、守りを固めた相手を破る攻撃より、穴の空いた入口を大量に探して入る作業のほうだと読めます。ただし、今回の国内の事件にAIが使われたという公表はありません。
③ 自分事
当社がシステムを引き継ぐと、最初の納品の書類と、コードの中身が合っていないことがあります
当社は、ほかの会社が最初に納品したシステムを引き継ぐことがあります。引き継ぐと、セキュリティの書類とコードの中身が合っていないことがあります。例えば、書類では「パスワードはハッシュ化（元の文字に戻せない形に変換すること）して保存している」に「はい」と答えてあります。実際には、ユーザーの一覧の表にパスワードがそのままの文字で書いてある、ということがあります。
最初の納品のときの書類は、コードを書いていない人が出していることがあります。あとから入った側は、その書類を前提に仕事を続けることになります。書類を実態に合わせて直すと、最初に出した書類と食い違います。そのため、書かれた状態のまま続いていきます。この構造は、IT以外の業界にもよくあると私は見ています。
経済産業省の方針が書いた「委託先におけるセキュリティ対策が可視化しづらく」は、委託先の側からは、こう見えています。本紙はVol.41で、ISMS（情報セキュリティの認証）やプライバシーマークを取っていても、ファイルは暗号化されず、PCのパスワードが単純なままの会社がある、と書きました。体裁が整っているのと、守れているのは別です。
海老沢は、日本の流出の多くは、社内のアクセス権が使われていると見ています
日本で起きている流出の多くは、正面からの攻撃ではなく、社内のアクセス権の流出が使われていると私は見ています。テレワークのためにVPNを社員や取引先に広く開け、誰がどこまで入れるかの管理が緩くなっていて、そこから入られている、という見立てです。
侵入経路が公表された2件は、VPNの脆弱性と保守運用担当者のアカウント、VPNのアカウントでした。どちらも、この見立てと食い違いません。ほかの事件は、経路がまだ公表されていません。
お客さんに「つまり安全ということですね」と訊かれて、海老沢は「出来る限り安全に尽くしています」と答えました
一連の事件のあと、取引先の担当の方から、個人情報の流出が多いが、当社が作ったアプリのガードはどうなっているのか、と訊かれました。
私は、次のように答えました。認証は、Googleの認証基盤を使っています。Googleが突破されれば危険です。日本の流出の多くは、社内からのアクセス権の流出が使われています。当社で同じことをするには、開発機を盗んだうえで、私本人に、パスワードと生体認証（指紋や顔で本人を確かめる仕組み）で暗号を解除させないと開きません。インターネットから届く場所で使っている有名なオープンソース（設計図が公開され、誰でも使えるソフトウェア）に、ゼロデイ攻撃（修正が出る前の脆弱性を突く攻撃）が来た場合は、防げません。ただ、サーバの面倒はGoogleが自動で見ているので、危険はある程度抑えられています。
質問は「アプリのガードは？」でした。答えたのは、認証とアクセス権の話です。
担当の方からは、「つまり安全ということですね」と返ってきました。私の答えは、<strong>「出来る限り安全に尽くしています」</strong>でした。「安全です」と書くのと、「出来る限り安全に尽くしています」と答えるのとでは、引き受けている範囲が違います。
今月のモデル
今号は、新ネタ無しです。
CoBANTO3-AIチャットを無料体験しませんか？
本紙のバックナンバーを記憶し、本紙の読み方（戦略の階層・歴史循環）で、あなたの状況に当てて答えるAIチャットです。記事は「地図」ですが、地図は現地には当たりません。「この号の話、うちの場合はどうなるのか」を訊く場所として用意しました。
調べもの、文章の下書き、ちょっとした雑談にも使えます。 普段づかいのチャットとして、気軽にどうぞ。
2026年10月21日現在で、約20のモデルに対応しています。 新しいモデルも、出たらなるべく早く入れています。モデルの手応えを試す場所としても使えます。
ご利用は事前購入のクレジット制です（1,000円から）。月額の契約ではないので、解約の手続きはありません。使った分だけ減り、無くなれば止まります。
消費は、<strong>基本料金と、答えの長さ（100字ごとに1クレジット）</strong>で決まります。短い答えなら少なく、長い答えほど多くかかります。モデルによって、1,000円で120〜200往復ほど使えます。
読者登録をいただいた方には、無料クレジットを500クレジット、プレゼントします。 登録は、この記事のすぐ下からできます。
CoBANTO3-AIチャットは、こちらから。無料で体験できるので、ぜひこの機会に触ってみてくださいね。
https://www.netkomuten.tokyo/lp/co-banto3-ai
ライトノベル「ようこそ、東京ネット工務店へ」
海老沢が執筆している、IT業界のお仕事小説です。毎号1話ずつご紹介します。
〈第三部 第62章「また、来るために」〉
退院した佐野さんが、戻ってきます。娘さんが週に二度も三度も来るようになり、一時間かけて、ゼリーをスプーンで口へ運びます。リナは、その時間をそばで見ています。
https://www.netkomuten.tokyo/channels/novel-tnk-part3/articles/ch62
小説を書いている理由
この小説は、もともと、社内の教育のために書き始めました。うちの会社——東京ネット工務店で、新しく入った人間に、この仕事の考え方を伝えるための、いわば教材でした。戦略の階層とか、取捨選択とか、口で言っても、なかなか伝わりません。だったら、物語にして読んでもらったほうが早い。そう思って、書き始めました。
ところが、いろいろあって、その教材が、要らなくなってしまいました。理由は、いろいろあります。ここには、書ききれません。ただ、宙に浮いてしまった原稿を、捨てるのも惜しくて、何度も書き直しながら、今度は、教材ではなく、ただ読んで面白い、お仕事小説として、作り直していきました。
https://www.netkomuten.tokyo/channels/atogaki/articles/atogaki-1
Q&Aコーナー
AI・IT業界に関するご質問を募集しています。CoBANTO3-AIチャットのサポートも、こちらへお願いします。
本紙の通知メール・LINEに、そのまま返信していただけます。