VPNの不要アカウントが侵入口に｜消し忘れを防ぐ管理と点検方法

「退職した社員のアカウントは、本当にすべて停止されていますか？」。メールや勤怠システムのIDは削除していても、VPNや保守用システムのアカウントが残っていることがあります。普段使わないIDほど、管理者が存在を把握していない場合もあります。

岐阜県中津川市の美濃工業株式会社が受けたランサムウェア攻撃では、正規のVPNアカウントが悪用され、社内ネットワークへの侵入が発生しました。2026年10月19日のCBCテレビの報道では、一時的に作成して消し忘れたアカウントと、簡易的なパスワードが問題として紹介されています。

この記事では、美濃工業の公式発表と報道を確認したうえで、不要IDの洗い出し、パスワード管理、多要素認証、管理者権限、退職者・委託先の管理まで解説します。最後には、経営者がそのまま社内で使える点検表も掲載しています。

1．美濃工業で起きたVPNアカウントの悪用

美濃工業株式会社は、2025年10月にランサムウェアによるサイバー攻撃を受けました。同社が11月3日に公表した第四報では、10月1日19時31分に社員用VPNアカウントが悪用され、社内ネットワークへ侵入されたことが明らかにされています。

さらに同日20時32分にはシステム管理者アカウントの権限が悪用され、10月3日にはシステム破壊やファイル暗号化などが実行されました。最初の侵入から重大な被害の発生までに時間があり、攻撃者が社内で活動していたことが分かります。

2026年10月19日のCBCテレビの取材では、急きょ作成したアカウントに簡易的なパスワードを設定し、そのアカウントを消し忘れていたことが紹介されました。一時的な運用上の判断が、後から大きなリスクになる可能性を示しています。

出典：美濃工業「サイバー攻撃によるシステム障害について（第四報）」、CBCテレビ「消し忘れていた“たった1つのアカウント”が原因だった」

2．VPN機器の脆弱性とID悪用は違う

VPNは、社外から社内ネットワークへ安全に接続するために使われる技術です。在宅勤務、出張先からの接続、外部保守会社によるシステム管理など、さまざまな場面で利用されています。

美濃工業の公式発表では、VPN機器の脆弱性が狙われたのではなく、正規のIDとパスワードが不正利用されたと明記されています。つまり、機器の更新だけでは防ぎきれない、認証情報とアカウント管理の問題があったと考えられます。

実際の対策では、機器の安全性と認証情報の管理を両方確認する必要があります。どちらか一方だけを実施しても、別の侵入経路が残る可能性があります。

3．消し忘れたアカウントが危険な理由

使われなくなったアカウントは、利用者本人も管理者も存在を忘れている場合があります。パスワードの見直しや権限の点検が行われず、長期間有効な状態で残ることが問題です。

特に、社外からログインできるアカウントは注意が必要です。攻撃者が認証情報を入手した場合、会社が正規利用者として許可している接続経路を悪用されるおそれがあります。

見落としやすいアカウント

• 退職した社員が使っていたVPNアカウント
• 異動前の部署で利用していたID
• 工事やシステム導入時だけ発行した臨時ID
• 契約が終了した外部委託先の保守用ID
• 利用目的や管理責任者が分からなくなったID

4．不要IDを洗い出す具体的な手順

不要アカウントを見つけるには、まず「どのシステムに、誰のIDがあるか」を把握する必要があります。VPNだけでなく、クラウドサービス、メール、業務システム、サーバーの管理用IDも対象にします。

ステップ1：アカウント一覧を取得する

IT担当者または保守会社に、利用中のVPNや関連システムのアカウント一覧を確認してもらいます。管理画面や契約内容によって取得できる情報は異なるため、実際に利用している製品の仕様に合わせて進めます。

ステップ2：利用者・所属・利用目的を照合する

人事情報、委託先の契約状況、現在の業務内容と照らし合わせます。所有者が不明なIDや、一時的に発行したままのIDは、優先して確認する対象です。

ステップ3：停止候補を分類する

すぐに停止できるもの、業務確認が必要なもの、管理責任者の確認が必要なものに分けます。管理者用やシステム連携用のIDは、停止による影響を確認する必要があります。

ステップ4：停止・確認・記録を行う

停止作業の実施後は、対象IDが利用できない状態になっていることを確認します。実施日、担当者、確認結果を記録し、必要に応じて関連する接続設定や認証情報も見直します。

5．退職者・異動者のアカウント管理

退職時には、メールアカウントだけでなく、VPN、クラウドサービス、業務システムなどの利用権限を確認する必要があります。退職者のIDが一部のシステムに残ると、会社が意図しないアクセス経路になるおそれがあります。

異動の場合も同様です。新しい部署の権限を付与するだけでなく、以前の部署で必要だった権限を見直さなければ、利用できる情報や機能が増え続ける場合があります。

退職・異動時の確認手順

1. 人事担当者からIT担当者へ退職日・異動日を連絡する
2. 利用しているシステムとアカウントを確認する
3. 業務引継ぎと停止時期を決める
4. 不要な権限やIDを停止する
5. 実施結果を人事担当者と管理責任者へ報告する

退職・異動のたびに同じ手順で確認できるよう、チェックリストを用意しておくと担当者による漏れを減らせます。

6．外部委託先・一時利用IDの管理

建設業では、現場管理システムの導入や設備の遠隔保守などで、外部事業者に一時的なアクセス権限を付与することがあります。製造業でも、生産設備や業務システムの保守のため、外部接続を許可する場合があります。

こうしたIDは、契約終了後や作業完了後に停止する仕組みが重要です。発行時に利用目的、利用者、責任者、期限を記録しておけば、後から確認しやすくなります。

一時利用IDには、可能であれば有効期限を設定し、期限到来時に自動で停止する仕組みも検討しましょう。共用IDを避け、利用者ごとに識別できる状態にすることも大切です。

7．パスワード管理で確認したいこと

一時的な作業だからといって、推測しやすいパスワードを設定することは避けたいところです。簡単なパスワードや複数システムで使い回したパスワードは、不正ログインのリスクを高める場合があります。

会社としては、十分な長さを持つ推測困難なパスワードの利用、使い回しの防止、安全な保管方法を定めることが重要です。初期設定のパスワードや、複数人で共有している認証情報も確認対象になります。

実務上の確認項目

• 初期パスワードをそのまま使用していないか
• 短く単純なパスワードを許可していないか
• 別のサービスと同じパスワードを使っていないか
• パスワードをメールや共有ファイルに平文で保存していないか
• 漏えいが疑われる場合に速やかに変更できるか

パスワードを定期的に変更するだけで安全になるわけではありません。多要素認証や不要IDの停止と組み合わせ、認証全体を見直すことが大切です。

8．多要素認証はどこまで設定するか

多要素認証は、パスワードに加えて、認証アプリやセキュリティキーなど別の要素を用いて本人確認を強化する仕組みです。パスワードが第三者に知られた場合でも、不正ログインを防ぐ助けになります。

ただし、多要素認証を導入すればすべての攻撃を防げるわけではありません。認証方法や運用状況によっては、攻撃者に悪用される可能性もあるため、接続端末やログイン履歴の管理と組み合わせます。

優先して確認したい接続

• VPNなど社外から社内へ接続する仕組み
• システム管理者のアカウント
• 重要な顧客情報や業務データを扱うクラウドサービス
• 外部保守会社が使用する遠隔接続

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版でも、情報の重要度に応じた認証の強化や、多要素認証の活用が示されています。

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」

9．管理者権限の悪用を防ぐ

美濃工業の公式発表では、VPNアカウントによる侵入後、システム管理者アカウントの権限が悪用されたことが確認されています。管理者権限は設定変更やシステム管理に必要ですが、不正利用されると被害が広がるおそれがあります。

日常業務用のIDと管理作業用のIDを分け、管理権限を必要最小限にすることが重要です。また、管理者アカウントの数、利用者、利用目的を定期的に確認する必要があります。

10．不審なログインを見つける

アカウントを適切に管理していても、不正ログインの試みが発生する可能性はあります。そのため、ログイン履歴を取得し、異常な利用を把握できる仕組みが重要です。

たとえば、通常利用しない時間帯の接続、想定外の地域や端末からのログイン、短時間で繰り返される認証失敗などは、確認のきっかけになります。ただし、これらが必ず不正アクセスを意味するわけではなく、業務実態と照合して判断する必要があります。

確認しておきたいログ

• VPNのログイン成功・失敗履歴
• 管理者アカウントの利用履歴
• アカウントの作成・停止・権限変更履歴
• 外部委託先による接続履歴

ログを保存しているだけでなく、誰がどの頻度で確認するのかも決めておきましょう。異常を見つけたときの連絡先と対応手順も必要です。

11．アカウント管理台帳の作り方

大がかりな管理システムを導入する前に、現在のアカウントを把握できる台帳を整えることが役立ちます。Excelなどで管理する場合は、アクセスできる担当者を限定し、保存先も適切に保護してください。

この表は架空の記入例です。実際には、利用しているシステムの構成や社内規程に合わせて項目を調整してください。台帳にはパスワードそのものを記載せず、認証情報とは分けて管理します。

12．経営者向け10項目チェックリスト

次の10項目をIT担当者または保守会社と確認してください。経営者自身が管理画面を操作する必要はありませんが、未対応の項目と対応予定日を把握しておくことが重要です。

IT担当者への依頼文の例

このように確認事項を具体化すると、担当者も何を調べればよいか分かりやすくなります。問題が見つかった場合は、影響の大きい項目から優先順位を決めて対応しましょう。

13．まとめ｜今日から始める点検

美濃工業のサイバー攻撃は、正規のVPNアカウントが悪用され、管理者権限の不正利用やファイル暗号化などにつながった事例です。報道で紹介された一時利用IDの消し忘れは、どの会社でも起こり得る管理上の課題です。

対策の第一歩は、現在有効なアカウントを把握することです。そのうえで、不要IDの停止、パスワードと多要素認証の見直し、管理者権限の点検、ログの確認を進めます。

IPAは2026年10月9日にも、不正アクセスによる漏えい等の事案を踏まえ、認証の強化、アカウント権限の見直し、ログ管理などの対策を案内しています。詳しくはIPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」をご覧ください。

サイバー攻撃の事例と企業を守るための情報は、パキラのサイバーリスク情報サイトでも紹介しています。

※本記事は2026年10月25日時点で確認できる美濃工業の公式発表、CBCテレビの報道、IPAの公表資料に基づく一般的な情報提供です。美濃工業の事故に関する事実と、一般企業向けの対策を区別して記載しています。個別のシステム設定やアカウント停止は、業務への影響を確認したうえで実施してください。