- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.04.27
- 原因の分類
- 侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 外部VPNシステムへの不正アクセスで、社内システムの登録者の個人情報が見られたおそれがある。
- 原因は外部VPNへの不正アクセスと判明したが、突かれた弱点は未公表。
- 従業員はパスワードを念のため変えるよう通知され、なりすましメールに注意を求められている。
当社が利用する外部VPNシステムへの不正アクセスを受け、社内システムにアクセスするために登録された役員・従業員（退職者を含む）や委託先従業員の一部の個人情報が、外部の者に閲覧された可能性を完全には否定できないとしている。対象はログインID、氏名、会社メールアドレス、役職、部門名、システムIDなど。顧客情報や取引先情報は確認されていないとする。パスワードは暗号化して管理されており、不正アクセスで取得された事実は確認されていないという。
確認された経路・公表元の推定
- 2026年4月3日、委託先事業者から、外部VPNシステムへの不正アクセスの痕跡が確認されたと連絡を受けた。
- 委託先事業者の調査により、4月13日に当社サーバーへの不正アクセスも判明した。
- 社内システムにアクセスするために登録された者の個人情報が、外部から閲覧された可能性を完全には否定できないとされた。
根拠の要点
委託先事業者からの連絡（4月3日）と、その後の委託先の調査（4月13日）を根拠に、原因を外部VPNシステムへの不正アクセスと説明している。侵入に使われた手口や弱点は書かれていない。
資料の基準時点：2026年4月27日時点
当時、対策できたのか
判定保留
資料は原因を外部VPNシステムへの不正アクセスと述べるが、侵入に使われた手口や弱点、認証設定の状況、修正の有無は書かれていない。対策の欠落や発覚時の未発見も説明されておらず、詳細な原因調査は継続中とされているため。
公表された対策
- 当該システムの利用を停止し、セキュリティ設定を見直した
- 外部専門機関による技術的調査を実施した
- 社内・グループ会社内等の関係者へ状況を説明した
- 関係機関へ相談・報告し、必要な対応を検討している
- VPNシステムを含むシステム全体のセキュリティ対策と監視体制を強化する
- 個人情報の取扱いと管理ルールを再点検する
- 社内システム利用者へ情報セキュリティ教育を継続的に実施する
- 従業員へ、社内システムのパスワードを念のため変更するよう通知した
この事例を理解するための動画
VPNは何を隠しているのか？IPsec・SSL/TLS・WireGuardの仕組みまだ分からないこと
- VPNシステムへの侵入に使われた手口と弱点
- 侵入の正確な日時
- 閲覧された個人情報の範囲の最終的な確定
- 攻撃者の目的や、閲覧後に情報がどう扱われたか
- 詳細な原因調査の結果（外部専門機関と継続中）