2026年9月11日、デジタル庁は、同庁が運用するガバメントソリューションサービス（GSS）が外部から不正アクセスを受け、個人情報を含むファイルの一部が漏えいした可能性があると公表しました。
この事案の公表で注目したいのは、「どこから入られたか」と「中で何を使って動かれたか」が分けて書かれている点です。この2つを分けて考えると、2要素認証がどこで効き、どこで効かないのかがはっきりします。この記事では公表内容を整理したうえで、中小企業が自社で確かめるべきことをまとめます。
何が起きたか（デジタル庁の公表から）
- 2026年6月25日：保守運用担当者のアカウントを使って、サーバー上の大量のファイルへのアクセスが行われたことを検知し、調査を開始
- 7月9日：第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスを行っていたことが判明。同日、当該アカウントを停止し、侵害された機器と外部との通信を遮断
- 9月11日：個人情報が外部に漏えいした可能性があると公表。対象は約24.6万件（氏名・メールアドレス・電話番号・住所など。マイナンバーや口座情報は含まれない）
再発防止策として、デジタル庁は「脆弱性管理方法の見直し」と「外部からの接続方法の改善」を挙げています。なお、悪用された機器の製品名や、保守運用担当者のアカウントでどのような認証が使われていたかは公表されていません。この記事でも、GSSで何をしていれば防げたかは論じません。
入口と、中で動く手段は別の段階
公表の流れを段階に分けると、次のようになります。
- 入口：VPN機器の脆弱性を突いて、社外から内側に入る
- 中で動く：保守運用担当者という正規のアカウントで、サーバー上のファイルにアクセスする
①の段階は、パスワードを当てて入るわけではありません。機器の弱点を突かれると、認証そのものを通らずに内側へ入られます。ここに効くのは、修正プログラムを早く当てることと、使っていない接続口を閉じることです。ログインの2要素認証では、この段階は止められません。
一方、②の段階で攻撃者が使っているのは「正規のアカウント」です。脆弱性を突くより、本物のIDとパスワードでログインするほうが、通常の業務に紛れて気づかれにくいからです。警察庁の統計で多い被害の流れでも、入った後は社内のPCやサーバーにログインし、管理者のパスワードを探して、次の端末へログインすることを繰り返します（警察庁統計で見る侵入経路）。この段階で、ログインに本人のスマホでの承認など2つ目の鍵があれば、盗んだパスワードだけでは先へ進めません。
侵入経路ごとに見る、2要素認証が効く場面・効かない場面
警察庁の令和8年（2026年）上半期の統計では、ランサムウェア被害のうち侵入経路が分かった36件中、18件がVPN機器、9件がリモートデスクトップからでした。経路ごとに、Windowsのログインの2要素認証がどの段階で効くかを整理します。
| 侵入の形 | 入口の段階 | 入った後、PC・サーバーへ広がる段階 |
|---|---|---|
| VPN機器の脆弱性を突かれる （GSSの事案はこの形） | 効かない 認証を通らずに入られる。修正プログラムの適用と接続口の整理が対策 | 効く 社内のPC・サーバーへのログインに2つ目の鍵が要る |
| 盗まれたVPNのID・パスワードで入られる | VPN側の対策 VPN自体の多要素認証が対策（Windowsのログイン認証の対象外） | 効く VPNを通られても、PC・サーバーのログインで止まる |
| リモートデスクトップで社外から直接入られる | 効く 入口がWindowsのログインそのもの。パスワードだけでは入れない | 効く 次のPC・サーバーへのリモートデスクトップ接続にも2つ目の鍵が要る |
| 不審メールなどでPCが感染する | 効かない ログインを経ずに、すでにログイン中のPCで動く | 効く 感染したPCから他のPC・サーバーへログインする段階で止まる |
※ 対象はWindowsのPC・サーバーへのログイン（リモートデスクトップ接続を含む）。クラウドサービスのログインや、Webサイトの脆弱性を突いた情報の持ち出しは別の対策になります。
表から分かるとおり、ログインの2要素認証は入口のすべてを止めるものではありません。ただし、どの入口から入られても、被害を広げるには社内のPCやサーバーへのログインが必要になります。その「広がる段階」には、どの経路でも効きます。
「VPNに多要素認証を入れたから大丈夫」ではない理由
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
中小企業でも同じ形が起きている
「入口を抜けられた後、正規のアカウントで動かれる」流れは、国内の中小企業・団体の被害でも繰り返し公表されています。
- 両毛システムズ — VPNアカウントを悪用されて侵入
- 大阪急性期・総合医療センター — 委託先のVPNから侵入し、全サーバー共通のWindowsパスワードで横展開
- 八王子学園 — リモートデスクトップでサーバーにログイン
- SafePay（米当局の注意喚起） — 入った後は正規のアカウントでリモートデスクトップを使って広がる
GSSの事案で使われたのが「保守運用担当者」のアカウントだった点も見逃せません。中小企業でも、保守業者や情シス担当者の管理者アカウントは、多くのPC・サーバーにログインできる強い鍵です。この鍵がパスワードだけで使える状態だと、1つ盗まれるだけで社内全体に届いてしまいます。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
スマホでワンタップ承認にすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
- VPN機器の修正プログラムが当たっているか、使っていない接続口が残っていないか（VPNの脆弱性）
- 保守業者・情シスの管理者アカウントが、パスワードだけで社内のPC・サーバーに入れないか（Windows Serverの特権アカウント）
- リモートデスクトップで接続できるPC・サーバーと、接続できる人が絞られているか（リモートデスクトップの接続ユーザーの制限）
- PC・サーバーのログインに2つ目の鍵があるか（リモートデスクトップの2要素認証／Windows OSログインの2要素認証）
- 複数のサーバーで同じ管理者パスワードを使い回していないか
出典
- デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日）
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年）
記事中の事実関係は、上記の公表内容（2026年10月27日時点で確認）に基づきます。
いまの運用を棚卸ししてみる
VPNの先で、PCや社内サーバーにパスワードだけで入れる状態が残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。