テレワークや拠点間接続を支えるVPN（Virtual Private Network／仮想プライベートネットワーク）は、いまやランサムウェア攻撃の主要な侵入口になっています。警察庁の統計では、被害組織への侵入経路の6割以上をVPN機器が占めています。社外に公開された「社内への入口」であるがゆえに、機器の脆弱性や認証情報の弱さを突かれると、そこから社内ネットワーク全体へ被害が広がりかねません。
本記事では、VPNの「脆弱性」が具体的に何を指すのか、なぜ狙われるのか、実際にどんな被害が起きているのかを整理したうえで、自社のVPN機器が危険にさらされていないかを確かめる手順と、今日から着手できる対策までを解説します。
目次
一括ダウンロードする
VPNの脆弱性とは
VPNの脆弱性とは、社外から社内ネットワークへ安全に接続するためのVPN機器やその運用に潜む弱点のことです。VPN機器はインターネット側に公開された「社内への入口」であるため、ここに弱点があると、攻撃者に正規の利用者になりすまして社内へ侵入されるおそれがあります。弱点は、VPN自体が持つ3つの弱点と、被害を社内へ広げる2つの要因に整理できます（それぞれ後ほど詳しく解説します）。
- 機器の既知の脆弱性：公開済みの不具合が、修正の遅れた機器で狙われます。
- 設定の不備：アクセス制限の漏れや管理画面の公開といった設定ミスです。
- 認証情報（ID・パスワード）の窃取・漏えい：盗まれた、あるいは使い回された情報でなりすまされます。
- （被害を広げる要因）感染した端末からの接続：感染した社員端末がVPN経由で社内に被害を持ち込みます。
- （被害を広げる要因）侵入後の社内での横移動：一度入られると、内部の機器へ次々とアクセスを広げられます。
ここで押さえておきたいのは、修正プログラム（パッチ）の適用だけでは防ぎきれない弱点がある点です。たとえば認証情報は、脆弱性を突かれた時点ですでに盗まれていることがあり、その後にパッチを当てても、盗まれた認証情報を使って正規利用者になりすまし侵入されることがあります。だからこそ、脆弱性への対策は「入口をふさぐ（予防）」だけでなく「侵入に気づく（監視）」まで含めて考える必要があります。
なぜVPNは攻撃者に狙われるのか
ここからは、VPNがなぜこれほど攻撃の標的になっているのかを見ていきます。理由は、VPNが「社内への一本道」であること、リモートワークで利用が急増したこと、そしてネットワーク機器の弱点を突く攻撃が増えていることにあります。
VPNは、越えてしまえば社内ネットワークへ比較的自由にアクセスできる構造を持ちます。攻撃者にとっては、1か所の弱点から社内全体へ到達できる効率のよい入口です。加えて、テレワークの普及でVPNを利用する企業と接続数が増え、狙える対象そのものが広がりました。
こうした傾向は統計にも表れています。警察庁の調査では、ランサムウェア被害を受けた組織への侵入経路の6割以上をVPN機器が占めています。
被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。
出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
さらにVPNとリモートデスクトップ用の機器を合わせると、令和7年上半期の分析では侵入経路の8割以上を占めます（この8割は両者の合算で、前述のVPN単独「6割以上」とは対象が異なります）。その原因として、機器のID・パスワードが安易だったことや、不要なアカウントが適切に管理されずに残っていたことが挙げられています。
未修正の脆弱性だけでなく、認証情報の弱さや運用の緩みが侵入を許している点は、対策を考えるうえで重要です。
VPNの主な脆弱性の種類
ここからは、VPNの弱点を種類ごとに掘り下げます。それぞれが「予防」のどこに穴を残すかを押さえると、後述の対策の優先順位が見えてきます。
機器の既知の脆弱性（パッチ未適用）
VPN機器のファームウェアに見つかった不具合のうち、修正プログラムが公開済みのものです。公開された脆弱性は攻撃手法も出回りやすく、適用が遅れた機器が集中的に狙われます。保守期限を過ぎて修正プログラムが提供されない機器は、既知の脆弱性が残り続けるため特に危険です。
設定の不備
管理画面がインターネットに公開されている、接続元のIPアドレスを制限していない、共有鍵の管理が甘いといった設定ミスも弱点になります。機器自体に既知の脆弱性がなくても、設定の緩みから侵入の糸口を与えてしまいます。
認証情報（ID・パスワード）の窃取・漏えい
安易なパスワードや使い回し、フィッシングによる窃取で、正規の認証情報が攻撃者に渡ると、なりすましでVPNを通過されます。この弱点はパッチでは塞げません。前述のとおり、脆弱性を突かれた時点で認証情報が盗まれていれば、パッチ適用後も盗まれた情報で侵入される可能性が残ります。多要素認証や不要アカウントの整理が効くのはこの弱点です。
感染した端末からの接続
マルウェアに感染した社員端末がVPN経由で社内につながると、機器やパスワードに問題がなくても被害が社内へ持ち込まれます。端末側の対策（EDR＝Endpoint Detection and Response、端末上の不審な挙動を検知して対応する仕組みなど）と合わせて考える必要があります。
侵入後に社内を横移動される点
VPNを越えて社内に入られると、攻撃者は内部のサーバーや端末へ順にアクセスを広げ、管理者権限の奪取やデータの持ち出しを進めます。入口を一度突破されると被害が拡大しやすい構造であるため、侵入そのものを防ぐ対策に加えて、侵入後の不審な動きに早く気づく仕組みが重要になります。
VPNの脆弱性を悪用した実際の被害事例
ここでは、VPN機器を起点に起きた実際の被害事例を、時期・起点・被害規模とともに一覧にします。
| 時期 | 2020年11月 | 2022年10月 | 2023年7月 | 2024年5月 |
|---|---|---|---|---|
| 組織 | 株式会社カプコン | 大阪急性期・総合医療センター | 名古屋港統一ターミナルシステム | 岡山県精神科医療センター |
| 侵入の起点 | 北米現地法人に残存していた予備の旧型VPN装置 | 給食提供事業者のネットワーク機器（VPN）の脆弱性を経由 | リモート接続機器の脆弱性（公式は「悪用を受けたとみられる」と推定。二次報道ではVPN機器が起点とされる） | 保守用のSSL-VPN装置と、簡易・使い回しのパスワード |
| 主な被害 | 不正アクセスによる情報流出（流出が確認されたのは累計15,649人。2021年1月公表時点では最大約39万人分が流出した可能性と公表） | ランサムウェア感染で電子カルテが停止。全面復旧まで約2か月規模 | ランサムウェア（LockBit）で全コンテナターミナルの搬出入が停止。約3日で作業再開 | ランサムウェア感染。最大約4万人分の患者情報が流出した可能性 |
| 出所 | カプコン公表（2021年4月・第4報） | センター調査報告書（2023年3月） | 名古屋港運協会公表・国土交通省資料 | センター調査報告書（2025年2月） |
カプコンの事例は、使われていない予備の旧型VPN装置が1台残っていたことが起点でした。普段意識しない機器でも、インターネットに接続されたままなら侵入口になり得ることを示しています。医療機関の2件は、委託先（給食事業者）経由や保守用VPN装置と弱いパスワードの組み合わせが起点で、自社だけでなく委託先の機器や認証情報の管理まで視野に入れる必要があることを示しています。
出典・参考資料（4件）
これらの事例はいずれもVPNを入口としたランサムウェア被害ですが、実際の被害を抑えるには、侵入後のデータ暗号化やバックアップからの復旧まで含めた備えが欠かせません。ランサムウェア対策の全体像を、予防・バックアップ・感染時対応の順に整理した記事もあります。
自社のVPN機器が危険かを見極める
ここからは、「自社のVPNは大丈夫なのか」という疑問に答えます。まず、どの製品のどんな脆弱性が過去に報告されてきたかを知り、そのうえで、自社の機器が実際に影響を受けるかを確認する手順を見ていきます。
代表的なVPN製品で過去に報告された既知の脆弱性の例
法人向けVPN製品では、認証を回避されたり、認証情報やシステムファイルを読み出されたりする深刻な脆弱性がこれまでに報告されています。いずれも、米国CISAが「悪用が確認された脆弱性」として公開しているカタログ（CISA KEV）に登録された実在の脆弱性です。なお、CVEとは個々の脆弱性に付けられる共通の識別番号を指します。代表的なものを挙げます。
| 製品 | Fortinet FortiOS SSL-VPN | Ivanti Connect Secure | Citrix NetScaler ADC／Gateway | Palo Alto Networks PAN-OS（GlobalProtect） | SonicWall SonicOS |
|---|---|---|---|---|---|
| 脆弱性（CVE番号） | CVE-2018-13379 | CVE-2023-46805／CVE-2024-21887 | CVE-2023-4966 | CVE-2024-3400 | CVE-2024-40766 |
| 概要 | SSL-VPNのWebポータルに存在するパストラバーサルの脆弱性。認証なしでシステムファイル（認証情報を含む）を読み出される可能性があります。パッチ適用前に認証情報が盗まれると、適用後も盗まれた情報で侵入され得る典型例です。 | 認証バイパスとコマンドインジェクションの2つが連鎖し、認証なしで遠隔からコードを実行される可能性があります。2024年初頭に大規模な悪用が報告されました。 | Gateway（VPN仮想サーバー）として構成した場合に、バッファオーバーフローでセッショントークンなどの機微情報が漏えいする可能性があります（通称「CitrixBleed」）。 | GlobalProtect機能のコマンドインジェクション。認証なしでファイアウォール上をroot権限で操作される可能性があります。影響する具体的なバージョンはベンダー公式のアドバイザリで確認が必要です。 | アクセス制御の不備により、本来アクセスできない資源へ到達され、条件によってはファイアウォールが停止する可能性があります。 |
各脆弱性の詳細・影響バージョンは下記の公的データベースおよびベンダー公式アドバイザリで確認できます。
これらは一部の例にすぎず、VPN機器の脆弱性は毎年のように新しく報告されています。重要なのは、「有名な製品だから危ない」のではなく、自社が使っている製品・バージョンが、公開済みの脆弱性の影響範囲に入っているかどうかを確認することです。
出典・参考資料（3件）
自社のVPN機器が影響を受けるか確認する手順
「CVE（共通脆弱性識別子）が公開されている」ことと「自社の機器が実際に影響を受ける」ことは同じではありません。脆弱性は特定の製品・バージョン・構成に対して影響するため、自社の環境が該当するかを次の手順で確認します。
- 製品名・型番・ファームウェア（OS）のバージョンを確認する。まず自社が使っているVPN機器の正確な製品名とバージョンを把握します。これが分からないと影響の有無を判断できません。管理画面や機器本体のラベルで分からない場合は、販売代理店やベンダーに型番を伝えて確認します。
- ベンダーの公式アドバイザリで対象バージョンを見る。メーカーが公開するセキュリティ情報（PSIRTやアドバイザリ）で、影響するバージョンと修正済みバージョンを確認します。
- 公的な脆弱性データベースで補足する。日本語で確認したい場合はJVN iPedia（IPA運営）やJVN、悪用が実際に確認されているかを見るならCISA KEV、注意喚起はJPCERT/CCやIPAを参照します。
- サポート終了（EOL）製品かどうかを確認する。保守期限を過ぎた機器は、新たな脆弱性が見つかっても修正が提供されません。該当する場合は更改の検討が必要です。
ネットワークの内側まで含めて自社で網羅的に確認するのは負担が大きいため、後述する脆弱性診断サービスを使って外部から継続的に点検する方法もあります。
出典・参考資料（3件）
一括ダウンロードする
VPNの脆弱性への対策（予防＋監視・検知）
ここからは、具体的な対策を優先順位をつけて整理します。入口をふさぐ「予防」に加えて、侵入に気づく「監視・検知」まで含めて考えるのがポイントです。
今すぐ行う対策
- 修正プログラム（パッチ）の適用または回避策の実施：公開済みの脆弱性をふさぐ最優先の対策です。すぐに適用できない場合は、ベンダーが示す回避策を実施します。機器の既知の脆弱性に効きます。
- 多要素認証（MFA）の導入：ID・パスワードに加えて別の要素で本人確認を行い、認証情報が盗まれても、なりすましでの侵入を防ぎます。認証情報の窃取・漏えいという、パッチで塞げない弱点に効きます。
- 不要なアカウントの削除・棚卸し：使われていないアカウントや退職者のアカウントは侵入口になります。警察庁も、不要なアカウントが適切に管理されていなかったことを侵入原因として挙げています。
- 管理画面の非公開・アクセス元の制限：管理画面をインターネットに公開せず、接続元のIPアドレスを絞るなど、設定の不備をなくします。
このうち多要素認証（MFA）は、認証の3要素のどれを組み合わせるか、よく混同される二段階認証とどう違うかを押さえておくと、自社に合った方式を選びやすくなります。仕組みや導入時の選び方は、以下の記事で詳しく解説しています。
中期で行う対策
保守期限（サポート終了）を迎えた機器は、新たな脆弱性への修正が提供されないため、計画的な更改が必要です。たとえばFortinetは、FortiOS 7.6.3以降でSSL-VPNのトンネルモードを削除する方針を示しています。SSL-VPNからの移行対応の目安は2027年5月上旬で、新規のバグ修正終了は2027年5月11日、全サポート終了は2028年11月11日とされています。
これはFortinetに限った話ではなく、各ベンダーが製品ごとに保守期限やサポート方針を示しています。利用中の製品についても、こうした情報を確認し、接続方式の見直しとあわせて中期的な更改計画を立てておくと安全です。
出典・参考資料（1件）
- 参考資料：FortiOS SSL-VPN 移行に関する案内｜Fortinet（リンク）
侵入に気づく監視・検知
予防をすり抜けて侵入された場合に備え、侵入に早く気づく仕組みも欠かせません。VPN機器は端末向けのEDRの対象外になりがちで、見落としが生まれやすい領域です。次のような兆候を監視することで、被害が広がる前に気づける可能性が高まります。
- VPN機器のログの取得・保全（EDRの対象外になりやすいため、意識して記録する）
- 普段と異なる接続元・時間帯からのログイン
- 設定の変更や、身に覚えのないアカウントの追加
- 侵入後の社内探索や管理者権限の奪取をうかがわせる不審な内部通信
これらを自社だけで常時監視するのは負担が大きいため、ネットワーク上の通信を記録・分析して不審な動きを検知する仕組みや、監視を専門事業者に任せる方法もあります。具体的な選択肢は後述します。
VPNそのものを見直す選択肢：ゼロトラスト／SASEへの移行
ここまでの対策はVPNを使い続ける前提の強化策ですが、VPNの構造的な弱点を踏まえ、より根本的にアクセスの仕組みを見直す選択肢もあります。それが、ゼロトラストやSASE（Secure Access Service Edge）と呼ばれる考え方への移行です。
従来のVPNは「一度中に入れば社内を信頼する」境界型の考え方です。これに対しゼロトラストは、社内・社外を問わず、アクセスのたびに利用者や端末を検証します。社内への一本道を作らず、利用者やアプリケーション単位で接続を制御するため、万一認証情報が漏れても被害範囲を限定しやすくなります。ZTNA（ゼロトラスト・ネットワーク・アクセス）やSASEは、こうした仕組みをクラウドで提供するものです。
ただし移行には、既存の業務システムとの兼ね合いや運用体制の見直し、導入コストといった課題もあります。すべてを一度に置き換えるのではなく、重要な業務や拠点から段階的に進める、VPNの強化と並行して検討するなど、自社の状況に合わせた進め方が現実的です。
VPNの脆弱性対策を支えるソリューション
ここからは、これまで見てきた対策のうち、自社だけでは手が回りにくい領域を支えるサービスを紹介します。ネットワーク内部まで含めた脆弱性診断、侵入に気づくための通信の監視、認証情報の窃取に備える多要素認証という、対策の各段階に対応する3つのサービスです。
| サービス名 | Network Blackbox | YubiKey as a Service | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 対策タイプ（何で守るか） | ネットワークの監視・検知 （NDR） | 多要素認証 （物理セキュリティキー） | 脆弱性診断 （予防・復旧・補償の統合パッケージ） |
| VPN脆弱性への主な効き方 | VPNを越えて侵入された後の社内での横移動・不審な通信・データ持ち出しをネットワーク層で検知し、保存した通信をさかのぼって調査できる（端末向けEDRが届きにくい領域を補完） | 認証情報の窃取・漏えいを起点にしたなりすまし侵入を防ぐ。パッチでは塞げない「認証情報の弱さ」に備える（VPN・RDP向けはMASとして提供） | 社内ネットワーク内部の脆弱性（設定の不備・初期パスワード・権限設定の甘さ等）を月次で診断し、改善を伴走。VPN機器を含む内部の弱点を定点観測する |
| 主な機能 | フルパケットキャプチャ シグネチャ検知＋ユーザー行為ベースの検出（BAD）＋コンテンツ分析 MITRE ATT&CKベースのハンティング EDR・SIEMと連携（Syslog／REST API） | FIDO2／WebAuthn等に対応した物理キーをサブスクで提供 毎年25%の予備キー・同一ティア内のキー変更・CSMによる導入支援 CloudGate UNOと組み合わせたパスワードレス認証 | ネットワーク内部からの脆弱性診断（VDP、月次・年12回） 隔離経路への自動バックアップ（CRA） サイバー保険の自動付帯 |
| 提供形態・料金目安 | ミラーリング方式で導入 初期・月額とも要お問い合わせ | サブスクリプション（法人向け・200ユーザー〜、3年または5年契約） 料金は要お問い合わせ | 予防・復旧・補償の統合パッケージ 診断対象1台あたり月1,250円〜（公式） 100ノード以下の目安は年額90万〜150万円 （料金は2026年11月時点） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる通信そのものをとらえて不審な動きを検知・分析するNDR（Network Detection and Response）製品です。通信をミラーリングで取り込み、フルパケットキャプチャ（通信パケットを漏れなく取り込む方式）を基盤に、既知の攻撃のシグネチャ検知、ユーザー行為の異常検知、送受信データの内容分析という複数の方式で脅威を捉えます。
端末向けのEDRでは見えにくいネットワーク層を担うため、VPNを越えて侵入された後の社内での横移動や不審な通信、データの持ち出しといった「ネットワーク上に痕跡が残る」動きの検知と事後調査に向いています。
保存した通信をさかのぼって検索し、通信の宛先や時系列、やり取りされたファイルを確認できるため、侵入に気づいた後の調査にも活用できます。EDRやSIEMとはSyslogやREST APIで連携する補完的な位置づけです。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
株式会社インターナショナルシステムリサーチが提供するYubiKey as a Serviceは、物理的なセキュリティキー「YubiKey」を、導入支援から運用サポートまで含めてサブスクリプション形式で届けるサービスです。
同社は2014年からFIDOアライアンスに加盟し、Yubico社と提携してきた実績があります。キー本体の提供にとどまらず、長期の製品保証、毎年25%分の無償予備キー、優先サポートといった運用面の仕組みまでパッケージ化されているのが特徴です。
セキュリティキーによる多要素認証は、盗まれた認証情報だけでは突破できず、フィッシングにも強いのが特長です。VPNの弱点のうち、パッチでは塞げない「認証情報の窃取・漏えい」への備えになります。同社のIDaaS（クラウド型のID管理サービス）「CloudGate UNO」と組み合わせれば、全社員へのスマートフォン支給が難しい環境でも、パスワードに依存しない認証を全社的に展開できます。
認証情報が盗まれる前提で、認証の強化がなぜ有効なのか。同サービスを提供する株式会社インターナショナルシステムリサーチの内田氏は、認証の位置づけを次のように語っています。
フィッシングやランサムウェアの被害が増えている中で、すべてが認証で解決するわけではありませんが、認証というのは家でいう玄関のようなところです。ここのセキュリティをがっちり強化することで、被害を大幅に低減できると考えています。今はパスワードが漏れているのが当たり前という世界ですので、パスワードを使わないパスワードレス認証への移行は極めて有効な対策となります。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
国産のセキュリティ技術でネットワーク内部まで脆弱性診断を届けるのが、株式会社SYNCHROのKATABAMI サイバーセキュリティ対策パッケージです。IPv6アドレスと暗号化を組み合わせた独自技術で安全な通信経路を作り、従来は専門家が客先に出向いて行っていたネットワーク内部の診断を、リモートで継続的に実施できる点が特徴です。
サーバーやネットワーク機器、複合機といった社内の機器を外部から継続的に点検できるため、立ち会いの工数をかけずに毎月の定点観測が可能です。問題点の指摘だけで終わらず、対策の進め方まで伴走する設計で、専任のセキュリティ人材がいない企業でも利用しやすい形になっています。脆弱性診断に加えて、改ざんされないバックアップなど、予防から復旧までを束ねた統合パッケージとして提供されています。
こうした内部診断では、実際にどのような弱点が見つかるのか。同サービスを提供する株式会社SYNCHROの北口氏は、現場で頻出する例を次のように語っています。
たとえば、先ほど申し上げた複合機、コピー機です。工場出荷時の初期パスワードのまま使われているお客様がほとんどでして、大手メーカーの初期IDパスワードはインターネットで検索すればすぐ出てきてしまいます。そのままにしておくと、万が一ウイルスが内部に入り込んだ際に、簡単に遠隔操作で乗っ取られてしまうリスクがあります。それから、ネットワーク機器やサーバーの管理者権限の問題もあります。一般ユーザー権限と管理者権限を分けて使うことはご存じの通りですが、実際に管理者権限でログインを試してみると、簡単に入れてしまうケースもあります。
ここで取り上げた3つは、VPNの脆弱性対策に直接関わる領域に絞ったサービスです。VPNに限らず、社内のセキュリティ対策を端末・ネットワーク・ID・情報漏えいなど守る対象ごとに見渡し、自社に足りない領域から比較検討したい場合は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
VPNの脆弱性は、機器の既知の脆弱性・設定の不備・認証情報の窃取・感染端末経由・侵入後の横移動という複数の弱点からなり、ランサムウェア被害の主要な侵入口になっています。警察庁の統計でも、侵入経路の6割以上をVPN機器が占めています。
対策の第一歩は、自社が使っているVPN製品とバージョンを把握し、公式アドバイザリや公的な脆弱性データベースで影響の有無を確認することです。そのうえで、パッチ適用・多要素認証・不要アカウントの整理・設定の見直しという予防に取り組み、保守期限切れ機器の更改やゼロトラストへの移行を中期的に検討します。
さらに、パッチだけでは塞げない弱点に備え、侵入に気づく監視・検知まで含めて考えることが重要です。自社だけで手が回らない範囲は、脆弱性診断・ネットワーク監視・多要素認証といったサービスの活用も選択肢になります。
一括ダウンロードする
よくある質問（FAQ）
Q. VPNの脆弱性とは何ですか？
A. VPNの脆弱性とは、社外から社内ネットワークへ安全に接続するためのVPN機器やその運用に潜む弱点のことです。VPN機器はインターネット側に公開された「社内への入口」であるため、ここに弱点があると、攻撃者に正規の利用者になりすまして社内へ侵入されるおそれがあります。
弱点は、機器の既知の脆弱性・設定の不備・認証情報の窃取や漏えいといったVPN自体の弱点と、感染した端末経由の接続・侵入後の横移動という被害を広げる要因に整理できます。警察庁の統計では、ランサムウェア被害組織への侵入経路の6割以上をVPN機器が占めています。
Q. 自社のVPN機器が脆弱性の影響を受けるか、どうやって確認すればよいですか？
A. 自社のVPN機器が影響を受けるかは、まず使っている製品名・型番・ファームウェア（OS）のバージョンを特定し、ベンダーの公式アドバイザリで影響する対象バージョンに該当するかを確認するのが基本です。そのうえで、日本語で確認したい場合はJVN iPedia（IPA運営）やJVN、悪用が実際に確認されているかはCISA KEV、注意喚起はJPCERT/CCやIPAで補足します。
「CVE（共通脆弱性識別子）が公開されている」ことと「自社の機器が実際に影響を受ける」ことは同じではなく、脆弱性は特定の製品・バージョン・構成に対して影響する点に注意が必要です。あわせて、保守期限（EOL）を過ぎた機器でないかも確認します。
Q. VPNの脆弱性対策は、何から優先して着手すればよいですか？
A. VPNの脆弱性対策は、公開済みの脆弱性をふさぐ修正プログラム（パッチ）の適用、またはベンダーが示す回避策の実施を最優先に着手するのが基本です。あわせて、認証情報が盗まれても侵入を防ぐ多要素認証（MFA）の導入、退職者や使われていない不要アカウントの削除・棚卸し、管理画面の非公開・接続元IPアドレスの制限を今すぐ行います。
そのうえで、保守期限（EOL）を迎えた機器の計画的な更改を中期の対策として検討します。各対策が何の弱点に効くかを対応づけて考えると、優先順位がつけやすくなります。
Q. VPNの脆弱性はパッチ（修正プログラム）を適用すれば防げますか？
A. VPNの脆弱性は、パッチの適用だけでは防ぎきれない弱点があります。たとえば認証情報は、脆弱性を突かれた時点ですでに盗まれていることがあり、その後にパッチを当てても、盗まれた認証情報を使って正規利用者になりすまし侵入されることがあります。
また、設定の不備や感染端末経由の侵入はパッチでは塞げません。そのため、入口をふさぐ「予防」に加え、多要素認証で認証情報の窃取に備え、さらに侵入に早く気づく「監視・検知」まで含めて対策を考える必要があります。
Q. サポート終了（EOL）を迎えたVPN機器は、使い続けても大丈夫ですか？
A. サポート終了（EOL）を迎えたVPN機器は、新たな脆弱性が見つかっても修正プログラムが提供されず、既知の脆弱性が残り続けるため、使い続けるのは危険で、計画的な更改が必要です。
普段使っていない予備機でも同様で、カプコンの事例では、北米現地法人に残っていた予備の旧型VPN装置が侵入の起点になりました。インターネットに接続されたままの機器は、気づかないうちに侵入口になり得ます。
たとえばFortinetは、FortiOS 7.6.3以降でSSL-VPNのトンネルモードを削除する方針を示しています。ベンダーごとに保守期限や機能の提供方針が示されるため、利用中の製品を確認し、接続方式の見直しとあわせて更改を進めると安全です。
Q. 専任のセキュリティ担当がいない企業でも、VPNの脆弱性対策は進められますか？
A. 進められます。まずはパッチ適用・多要素認証・不要アカウントの削除・管理画面のアクセス制限という、専門知識がなくても着手できる対策から始めるのが現実的です。
自社の製品名やバージョンが分からない場合は、販売代理店やベンダーに型番を伝えて影響の有無を確認できます。委託先に機器の保守を任せている場合は、委託先の機器や認証情報の管理状況もあわせて確認しておくと安心です。
ネットワーク内部の脆弱性診断や侵入の監視など、自社だけでは手が回らない範囲は、外部の脆弱性診断・監視サービスに任せる方法もあります。問題点の指摘だけでなく対策の進め方まで伴走するサービスもあり、専任者がいなくても継続的に点検できます。
VPNの脆弱性対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・ネットワーク監視・多要素認証など、VPNの脆弱性対策に役立つ法人向けサービスの最新資料を無料で一括請求できます。機能や料金、導入形態を比べて検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
