メールを開かなくても侵入される？ サーバーの「弱点」と設定ミス｜第3回
前回は、盗まれたログイン情報から入られる仕組みを見ました。今回は、機器の弱点と公開設定を扱います。
「怪しいメールは開いていない。それなのに、なぜ？」
不正アクセスのニュースを読むと、この疑問が浮かびます。メールに気を付けることは大切です。でも、会社のシステムには、メール以外の入口もあります。
インターネットにつながる機器やサービスに弱点が残っていれば、誰かがメールを開くのを待たずに攻撃される場合があります。 今回は、その入口を見ていきます。
※架空の場面を使った仕組みの解説です。情報確認：2026年11月2日。
外から仕事ができる。その便利さを支える入口
出先から社内の資料を確認する。自宅から会社のシステムにつなぐ。こうした働き方には、外部から接続するための仕組みが必要です。
例えばVPNは、離れた場所から安全に通信するために使われる技術です。ただし、VPN装置自体にもソフトウェアがあり、不具合や弱点が見つかることがあります。盗まれた認証情報が使われる場合もあります。「VPNだから危険」という話ではなく、安全のための装置も管理が必要だということです。警察庁のランサムウェア対策案内でも、VPN機器などの脆弱性や認証情報の問題が挙げられています。
ここで出てくる「脆弱性」は、意図しない操作を許してしまうような、システムの安全上の弱点です。難しい言葉ですが、まずは「修理が必要な箇所」と考えてください。
更新通知は、見た目を変えるためだけではない
スマートフォンの更新なら、自分で通知に気付けます。ところが、会社の通信機器やサーバーは、普段の仕事で画面を見ないこともあります。
架空の小さな事務所で考えてみましょう。数年前に業者へ頼んで設置した機器が、今日も問題なく動いています。担当者は異動し、契約書は古いフォルダーの中。「動いているから大丈夫」と、そのままになっていました。
ここにある問題は、誰かの知識不足だけではありません。機器の存在、担当者、更新の連絡先を引き継ぐ仕組みがないことです。
更新には、弱点を修正する役割があります。ただ、会社の機器では業務への影響や互換性の確認が必要です。従業員が思い付いた順に設定を変えるのではなく、管理担当者がメーカーの案内と影響範囲を確認し、優先順位を付けて対応します。
「修理」と「誰に見せるか」は、別の問題
もう一つ、混同しやすいのが設定ミスです。
壊れた錠前を直すことと、鍵を誰に渡すかを決めることは違います。ソフトウェアを更新しても、共有ファイルが「リンクを知っている全員」に開かれていれば、その公開範囲は自動では変わりません。
例えばGoogle Driveでは、共有相手を指定する設定と、リンクを持つ人へ広く共有する設定があります。閲覧・コメント・編集の権限も分かれています。機密資料を扱うときは、サービス名だけで安心せず、実際の共有先と権限を確認する必要があります。Google Driveの共有とアクセス権
設定によって意図せず情報が見えることは、必ずしも「外部から侵入された」結果ではありません。侵入への対策と、公開範囲の管理。その両方が情報を守ります。
知られていない弱点もある。だから一つの対策に頼らない
それまで知られていなかった弱点を悪用する「ゼロデイ攻撃」もあります。NISTの用語解説。一方、修正方法が公開されていても、対応されずに残っている弱点が狙われることもあります。
「未知の攻撃があるなら更新しても無駄」ではありません。修正できる弱点を減らし、必要のない外部接続を閉じ、異常に気付く仕組みを持つ。一つで全部を防ごうとしない考え方です。
今日、担当者に聞いてみたいこと
専門用語を覚えるより、まず「誰が管理しているか」を確認するだけでも前進です。次の質問は、担当者と相談するときの例です。
会社の外から接続できる機器やサービスを把握しているか。
更新のお知らせを、誰が受け取って対応しているか。
サポートが終わった機器や、使わなくなったアカウントが残っていないか。
顧客情報を置く共有フォルダーは、誰に公開されているか。
小さな会社で社内に担当者がいなければ、保守契約先へ確認するところから始められます。
次回は、侵入の「その後」です。侵入後に被害が広がる場合、何が起きているのでしょうか。
今日の一歩：個人の端末では更新状況を確認し、職場の機器では更新を管理する担当者を確認しましょう。
連載「ハッカーはどうやって侵入するのか」全5回
各回を1日1本ずつ公開します。公開済みの記事はsofiaのプロフィールからご覧いただけます。以下は全5回のテーマです。
ハッカーはどうやって侵入する？ 会社やアカウントにある入口の話｜第1回
パスワードが合っていても、本人とは限らない。盗まれた「鍵」からの侵入｜第2回
メールを開かなくても侵入される？ サーバーの「弱点」と設定ミス｜第3回（この記事）
侵入後、被害はどう広がる？ 情報流出と業務停止の違い｜第4回
情報流出を防ぐために、今日何をする？ 個人と職場の対策を分けて考える｜最終回
