遠隔保守ツールScreenConnectで不正アクセスを調査。対象の追加機能は停止を

PCの保守を外部に委託している企業は、担当会社が使う遠隔操作ツールも確認してください。ConnectWiseは2026年11月12日（日本時間）、ScreenConnectの一部のパートナー環境で、不正アクセスを調査していると公表しています。

同社は特定の第三者製拡張機能を予防的に停止し、自社内などでScreenConnectを運用する利用者にも、対象機能を直ちに無効化するよう求めています。現時点で、ScreenConnect本体の脆弱性やConnectWise基盤の侵害が確認された、という発表ではありません。

対象は、遠隔操作の機能を広げる5つの拡張

ScreenConnectは、別の場所にあるPCへ接続して保守作業などを行うツールです。企業自身が使う場合のほか、IT保守会社を通じて導入されている場合があります。

公式アドバイザリは、次の第三者製拡張機能を停止対象として挙げています。表記が似ていますが、別の名前として確認します。

これらには、遠隔コマンドを実行できるAPIがあり、設定時に決めたパスフレーズで保護されると説明されています。調査の初期評価では、こうした拡張機能の悪用が疑われていますが、最初の侵入方法と被害の全体像は確定していません。

ScreenConnect環境のRMM+系拡張から保守先端末へ命令を送れる関係と、停止後も認証・操作ログと端末の点検が必要なこと

対象拡張が見つかった約400のパートナー環境という数字も、被害が確定した環境数ではありません。インストールされていることと、実際に侵害されたことは区別する必要があります。

対象拡張の導入と無効化の状態を確認します。ConnectWiseが操作できる環境では停止措置を実施していますが、オンプレミス環境は利用者側の作業が必要です。続報があるまで再有効化・再インストールしないよう案内されています。

停止だけで完了とせず、セキュリティ担当者と、認証記録・管理操作・コマンド実行・端末の状態を調べてください。侵害が疑われる端末に、調査のためScreenConnectで対話接続することは避けるという注意も出ています。別の信頼できる調査手段を使い、接続した保守担当者のPCも確認対象にします。

自社で拡張機能の有無を確認できなくても、契約窓口に次の内容を聞けます。

これは、すべての委託先が影響を受けているという意味ではありません。製品名を把握していない場合でも、保守経路を確認するための質問です。

認証情報を変えることと、すでに端末内で行われた操作を調べることは別です。遠隔操作ツールは正規の管理機能を持つため、不審なアカウントや別の遠隔操作ソフトが残っていないかまで確認が必要になります。

実務では、次のように作業を分けて担当を決めると、停止後の取りこぼしを防ぎやすくなります。

作業	確認すること
入口を止める	対象拡張が無効か、作業後に戻されていないか
証拠を残す	ログや設定変更の記録を、削除・初期化の前に保全できるか
アクセスを見直す	信頼できる端末から認証情報とログイン中のセッションを確認できるか
端末を調べる	保守先と保守担当者のPCの両方に、説明できない操作やソフトがないか
業務へ戻す	安全確認の責任者と、再接続を認める条件が決まっているか

通常の保守担当者を装った連絡にも注意が必要です。メールや電話で新しいソフトの導入を求められても、その場で実行せず、以前から使っている契約窓口に確認します。

11月12日02:45 UTC（日本時間11:45）の更新時点で、ConnectWiseは調査を継続しています。同社が確認できない利用企業・端末側の操作もあり、個別環境の調査は必要です。

「製品を最新版にした」「対象拡張を止めた」ことだけで、過去の不正操作まで解消したとは判断できません。一方、対象拡張がないという理由だけで、別の原因による不審な兆候を無視するのも避けてください。対応の詳細は、最新の公式案内と自社の調査結果に合わせて判断します。

ConnectWise Trust Center：ScreenConnect security advisory（初報：2026年11月11日22:45 UTC、確認した更新：11月12日02:45 UTC）

確認日：2026年11月12日。原因・影響範囲は調査中のため、公開後の続報にも注意してください。