今週は4本を取り上げます。FortiGateやPAN-OSといったVPN・境界機器を狙う攻撃が続いており、認証情報の窃取が中小企業の主要な侵入口になっています。国内では連絡アプリの誤配信で個人情報が漏えいした事例、フィッシング報告が過去最多の245万件超に達したこと、ランサムウェア被害の6割を中小企業が占めるという統計が出ています。VPN機器のパッチと管理者権限の棚卸しを今週の確認事項にしてください。
NEWS 01
各セキュリティ機関 ／ ベンダー公表 ｜ 2026年7月
VPN・境界機器（FortiGate／PAN-OS）を狙う攻撃が継続、認証情報の窃取相次ぐ
インターネットに接続されたVPN機器・ファイアウォールを狙う攻撃が、2026年に入って規模を拡大しています。FortiGateのSSL VPNでは、大規模な認証情報の窃取・悪用が報告されており、影響範囲は世界で数万台規模とされています。Palo Alto Networksの PAN-OS でも、GlobalProtect の認証バイパス脆弱性（CVE-2026-0257）や、User-ID 関連コンポーネントの深刻なバッファオーバーフロー（CVE-2026-0300、CVSS 9.3）が公表され、実際の悪用も確認されています。
これらの機器は社外から社内ネットワークへの入口にあたり、突破されると社内全体が危険にさらされます。国内のランサムウェア被害でも、VPN機器やリモートデスクトップ（RDP）経由の侵入が感染経路の大半を占めており、境界機器の放置は最も避けたい状態です。
▌中小企業への影響
テレワーク用にVPN機器を導入したものの、その後ファームウェアを更新していない中小企業は少なくありません。設置後に放置された機器は、既知の脆弱性を突かれて侵入され、盗まれたVPNアカウントでランサムウェアを持ち込まれる典型的な入口になります。機器1台の更新漏れが会社全体の停止につながります。
▌推奨対応（今週中に実施）
- → 自社のVPN機器・ファイアウォールの機種とファームウェアのバージョンを確認し、メーカー最新版へ更新する
- → VPNのログインに多要素認証（MFA）を設定し、退職者・不要アカウントを削除する
- → VPNの管理画面をインターネットに直接公開していないか確認する
- → 過去に脆弱性が公表された機器は、パスワード変更に加え不審なアカウント・設定変更の痕跡を点検する
NEWS 02
大阪市 報道発表 ／ ScanNetSecurity ｜ 2026年7月3日
連絡アプリ「ミマモルメ」の誤配信で個人情報漏えい、4名分の連絡票を全登録者557名に送信
大阪市は、市立小学校で保護者連絡アプリ「ミマモルメ」を使った誤配信により個人情報が漏えいしたと公表しました。教頭が、児童4名分の「こどもサポートネット連絡票」のデータをイベント募集の資料と取り違え、2026年6月18日に全登録者557名へ配信したものです。漏えいした情報には、児童と家族あわせて17名分の氏名・住所・電話番号・生年月日のほか、家庭状況に関する機微な情報が含まれていました。
原因は、不要になった文書データを適切に管理していなかったこと、添付前にファイルの内容を確認しなかったこと、配信前に運用ルールで定められた複数人での確認を行わなかったことの3点とされています。特別なサイバー攻撃ではなく、日常業務の手順漏れが直接の原因です。
▌中小企業への影響
情報漏えいは外部からの攻撃だけで起きるわけではありません。中小企業でも、顧客名簿の一斉メール送信や、添付ファイルの取り違え、宛先の入力ミスによる漏えいが頻発しています。攻撃対策に費用をかけても、送信前の確認手順がなければ同じ事故は防げません。誰でも起こしうるミスだからこそ、仕組みで止める必要があります。
▌推奨対応
- → 個人情報を含むファイルを外部送信・一斉配信する際は、送信前に別の担当者が宛先と添付内容を確認するルールを設ける
- → 一斉メールは宛先をBCCにする、または配信システムの送信前プレビューを必ず確認する運用を徹底する
- → 不要になった個人情報ファイルは放置せず、保管期限を決めて削除する
- → ファイル名だけで内容を判断せず、添付前に必ずファイルを開いて中身を確認する
NEWS 03
フィッシング対策協議会「フィッシングレポート2026」 ｜ 2026年
フィッシング報告が過去最多の245万件超、前年比1.43倍に
フィッシング対策協議会がまとめた「フィッシングレポート2026」によると、2025年の年間フィッシング報告件数は2,454,297件に達し、過去最多を更新しました。前年（2024年）比で約1.43倍です。実在する企業やサービスをかたる偽メール・偽SMSで偽サイトに誘導し、IDやパスワード、クレジットカード情報を盗み取る手口が引き続き主流です。音声で誘導する「ボイスフィッシング」や、検知を回避する新しい手法も報告されています。
フィッシングは大企業だけを狙うものではありません。従業員が業務中に偽の請求書メールや配送通知を開き、認証情報を入力してしまえば、そこから社内システムへの不正アクセスに直結します。
▌中小企業への影響
フィッシングの被害は、従業員1人がだまされるだけで会社全体に及びます。取引先を装った偽の振込先変更メール（ビジネスメール詐欺）に応じて送金してしまう被害も中小企業で相次いでいます。高価なツールより、社員が「怪しいメール」を見抜き、確認する習慣のほうが効果的です。
▌推奨対応
- → メール内のリンクは押さず、公式サイトやブックマークから正規のページにアクセスする習慣を社内で共有する
- → 重要業務アカウントに多要素認証（MFA）を設定し、パスワード漏えい時の被害を抑える
- → 振込先や取引条件の変更依頼は、メールだけで判断せず電話など別の手段で必ず確認する
- → 標的型メール訓練を定期的に実施し、従業員の対応力を測定・改善する
NEWS 04
警察庁 ／ JIPDEC 各種調査 ｜ 2026年
ランサムウェア被害の6割超が中小企業、身代金を払わず復旧できない例が増加
ランサムウェア被害は中小企業に集中しています。警察庁の集計では、2025年に報告された被害226件のうち、中小企業が143件と6割を超えました。JIPDEC（日本情報経済社会推進協会）の「企業IT利活用動向調査2026」でも、ランサムウェア感染割合は45.8%で、企業規模を問わず標的になっている実態が示されています。IPAの「情報セキュリティ10大脅威2026」では、ランサムウェアが組織向けの脅威として5年連続で第1位に選ばれています。
同じ調査では、身代金の支払い率は2024年調査の57.0%から43.8%へと低下する一方、「身代金を支払わなかったためにシステムやデータを復旧できなかった」割合は21.8%から28.4%に上昇しました。支払いを拒否できる備え、すなわち復旧できるバックアップの有無が、被害の明暗を分けています。
▌中小企業への影響
「うちは小さいから狙われない」という考えは通用しません。攻撃者は規模ではなく守りの弱さで標的を選びます。データを暗号化する前に盗み出し、公開すると脅す「二重恐喝」が主流のため、バックアップだけでは情報公開のリスクは残ります。復旧手段と情報保護の両面での備えが必要です。
▌推奨対応
- → バックアップをネットワークから切り離して保管し、実際に復旧できるか定期的に試す
- → VPN・RDPなど外部からの入口を最小化し、多要素認証と最新パッチを維持する
- → 重要情報へのアクセス権を必要な人員に限定し、管理者アカウントを棚卸しする
- → 被害発生時の連絡先（警察・IPA・取引先）と初動手順をまとめたインシデント対応表を用意する
編集部まとめ
今週のニュースは、攻撃（VPN機器・フィッシング・ランサムウェア）と、内部のミス（連絡アプリ誤配信）の両面を映しています。共通するのは、いずれも高価な製品ではなく基本の運用で防げるという点です。VPN機器のファームウェア更新、外部送信前の複数人確認、隔離したバックアップ、管理者アカウントの棚卸し。この4点を今週の確認事項として順に点検してください。
参考情報
secure
