米SonicWall（ソニックウォール）のVPN機器「SMA 1000」シリーズの脆弱性を悪用した攻撃が急増しています。攻撃集団「INC」がこの欠陥を突いて機器を乗っ取り、これまでに885件の被害を主張しています。企業に早急な対策が求められています。
2件の脆弱性で機器を丸ごと乗っ取り
問題となっているのは、SonicWallの安全なリモートアクセス機器「SMA 1000」シリーズに見つかった2件の脆弱性「CVE-2026-15409」と「CVE-2026-15410」です。この2つを組み合わせて悪用すると、認証を経ていない外部の攻撃者が機器に対して任意のコマンドを実行し、管理者権限（root）を奪って機器を完全に制御できてしまいます。VPNは社外から社内ネットワークに安全に接続するための「玄関」にあたるため、そこを乗っ取られる影響は深刻です。
公表前から悪用、修正の遅れを狙う
セキュリティ企業ボレクシティ（Volexity）によると、この欠陥は正式な公表前の6月22日ごろから、すでに実際の攻撃に使われていました。SonicWallは7月中旬に修正プログラムを公開しましたが、対応が遅れた組織を狙う攻撃はやまず、8月に入って攻撃集団「INC」の活動が急速に活発化しています。
被害は885件、5カ国に拡大
セキュリティ企業リセキュリティ（Resecurity）の分析では、INCはこれまでに885件の被害を主張し、最新の被害組織は8月2日にリストへ追加されました。標的は米国、オーストラリア、アラブ首長国連邦、コロンビア、スイスなど、官民の幅広い組織に及んでいます。攻撃者は乗っ取った機器を足がかりに、認証情報や通信内容を盗み取り、社内システムの奥深くへ侵入していきます。対策としては、まずSonicWallが配布した修正プログラムを直ちに適用することが最優先です。加えて、すでに侵入されていないかを確認するため、不審なアクセス記録や認証情報の悪用がないかを点検し、パスワードやワンタイム認証の設定を見直す必要があります。修正の適用が遅れた機器ほど狙われやすいため、放置は禁物です。
日本への影響
この攻撃は海外の事例が中心ですが、日本の組織にとって決して他人事ではありません。SMA 1000シリーズは日本国内の企業や自治体でも導入されており、テレワークの拡大で社外から社内網に接続するVPN機器は、攻撃者にとって格好の標的となっています。VPN機器の脆弱性を突いた侵入は、日本国内でもランサムウエア（身代金要求型ウイルス）被害の主要な入り口となっており、警察庁や情報処理推進機構（IPA）も繰り返し注意を呼びかけています。修正の適用が遅れれば、日本企業が「INC」のような集団の次の標的になる恐れがあります。
企業や組織の担当者にとって、今すぐできる対応は明確です。自社が該当する機器を使っている場合は、修正プログラムの適用状況を直ちに確認し、未対応であれば速やかに適用することが求められます。個人の利用者にとっても、勤務先のVPN経由で不審な挙動があれば情報システム部門に報告するなど、日頃からの警戒が重要です。VPN機器は「入れて終わり」ではなく、公開された脆弱性に迅速に対応し続ける運用体制こそが、被害を防ぐ最大の防御になります。
まとめ：VPN機器の放置は侵入の入り口になります。修正プログラムの適用状況を今すぐ確認していきましょう。
出典:
The Hacker News – INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws
Resecurity – From WSProxy to Root: INC ransomware and SonicWall SMA Exploit Chain
BleepingComputer – SonicWall SMA1000 flaws exploited as zero-days to push custom malware
Photo: Steve A Johnson / Unsplash
