VPNの脆弱性がランサムウェアの侵入口になる仕組みと対策｜感染経路で最多の理由と自社点検チェックリスト

社外から社内ネットワークへ接続するためのVPN機器が、いまランサムウェア攻撃の最大の侵入口になっています。報道される企業の被害をたどると、その多くがVPN機器の脆弱性や設定の穴を突かれたものです。

テレワークや拠点間接続でVPNを使っていると、その脆弱性が本当に攻撃の入口になるのか気になります。どういう仕組みで社内のデータ暗号化や事業停止にまで進むのか、結局自社は何を直せば防げるのかも、経営層やセキュリティの委託先に状況を説明するうえで押さえておきたいところです。

本記事では、VPNの脆弱性からランサムウェア感染に至る流れを整理し、実際に悪用された代表的な脆弱性、自社で何を直すべきか、そしてパッチを当てても防ぎきれないケースと侵入に気づく方法までを解説します。

VPNの脆弱性からランサムウェア感染に至る仕組み

VPN機器が狙われるのは、インターネットに公開された社内ネットワークの入口だからです。社外の従業員が接続できるということは、裏を返せば攻撃者にとっても接続を試せる場所であり、一度突破されると社内のネットワークにそのまま入り込まれてしまいます。攻撃は、おおむね次の流れで進みます。

1. 侵入：VPN機器の未修正の脆弱性や、盗まれた認証情報、簡易なパスワード、設定不備を悪用して社内ネットワークへ入り込む。
2. 社内での拡大（横展開）：より広い範囲にアクセスするため、管理者権限の奪取やセキュリティ機能の無効化を試みながら、ネットワーク内部を探索して重要データやバックアップを物色する。この段階は「横展開」「ラテラルムーブメント」とも呼ばれます。
3. データの窃取：重要なデータをクラウドストレージなどへアップロードして盗み出す。
4. 暗号化：ランサムウェアを起動してデータを暗号化し、業務を止める。復旧を妨害するため、バックアップも一緒に暗号化される場合が多いとされています。
5. 二重恐喝：暗号化の解除と引き換えに金銭を要求し、さらに「支払わなければ盗んだデータを公開する」と脅す。警察庁は、この二重恐喝が被害の多くを占めると報告しています。

重要なのは、最初の侵入口であるVPNを突破された後は、社内で自由に動き回られてしまう点です。入口の対策（侵入させない）と、入口を抜けられた後の対策（気づく・広げさせない・元に戻せる）は別物であり、どちらか一方では被害を止めきれません。

出典・参考資料（1件）

• 参考資料：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

感染経路の第1位がVPN機器である実態（警察庁統計）

「VPNが狙われやすい」という話の裏づけは、警察庁が公表している統計にあります。企業・団体のランサムウェア被害を対象にしたアンケート結果では、侵入経路としてVPN機器が最も多い状況が続いています。

被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（警察庁サイバー警察局）

令和7年（2025年）の1年間の集計（有効回答92件）では、侵入経路の内訳は次のとおりです。

※警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編の有効回答92件をもとに作成。割合は小数点以下を四捨五入。

最も新しいデータである令和8年上半期（2026年1〜6月、有効回答36件）でも、VPN機器が約5割を占めて最多でした。半期で母数が少ないため割合は振れますが、「不審メールよりも、インターネットに露出したVPNなどの機器から侵入される手口が主流になっている」という傾向は一貫しています。

さらに、侵入経路となった機器のうちパッチの適用状況が確認できたのは、令和7年で71件でした。そのうち40件（約56%）で未修正のセキュリティパッチが確認され、残る31件（約44%）は最新のパッチを適用済みでした。公開済みの脆弱性が放置された機器が侵入の足がかりになる一方、パッチを当てていても侵入は起きており、後述する「パッチだけでは防げないケース」につながります。

出典・参考資料（2件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
• 出典：令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf）

VPNの「脆弱性」とは具体的に何を指すのか

ひとくちに「VPNの脆弱性」といっても、その中身は一つではありません。攻撃に悪用される弱点は、大きく4つに分けて捉えると自社の点検ポイントが整理しやすくなります。

未修正パッチ（公開済みの既知脆弱性）

最も多いのが、ベンダーから修正プログラムが公開されているにもかかわらず、それを適用していない「既知の脆弱性」です。脆弱性には固有の識別番号（CVE）が振られ、攻撃者はこの番号をもとに、どの製品のどのバージョンが狙えるかを把握して攻撃します。VPN機器で実際に悪用されてきた代表的な脆弱性には、次のようなものがあります。

※いずれも米CISAの「悪用が確認された脆弱性カタログ（KEV）」でランサムウェア攻撃での悪用が確認されており、主要なものはJPCERT/CCも注意喚起を公表しています（2026年11月時点）。

たとえばFortinet製FortiOSのSSL-VPNで見つかったCVE-2018-13379は、認証前に機器内のファイルを読み取れる脆弱性で、窃取された認証情報が悪用され続けた古典的な例として知られています。

より新しいIvanti Connect Secureの脆弱性（CVE-2023-46805とCVE-2024-21887）は、2つを組み合わせると認証なしで任意のコマンドを実行できてしまうもので、実証コードの公開後に攻撃が急拡大しました。自社が使っているVPN製品に、こうした既知脆弱性が残っていないかの確認が出発点になります。

自社の機器が該当するかは、まず管理画面などで機種名とファームウェアのバージョンを確認し、メーカーのセキュリティ情報やJPCERT/CCの注意喚起、CISAのKEVカタログと照合することで把握できます。

出典・参考資料（3件）

• 出典：複数の SSL VPN 製品の脆弱性に関する注意喚起（JPCERT-AT-2019-0033）｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/at/2019/at190033.html）
• 出典：Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起（JPCERT-AT-2024-0002）｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/at/2024/at240002.html）
• 出典：Known Exploited Vulnerabilities Catalog｜Cybersecurity and Infrastructure Security Agency（CISA）（https://www.cisa.gov/known-exploited-vulnerabilities-catalog）

ゼロデイ脆弱性（修正プログラムが未提供の弱点）

ゼロデイ脆弱性は、ベンダーが把握していない、あるいは修正プログラムが提供される前の弱点を指します。パッチが存在しないため、適用による防御ができないのが特徴です。VPN機器はインターネットに公開されているぶん、ゼロデイ脆弱性が見つかると攻撃の標的になりやすく、「きちんとパッチを当てていたのに侵入された」という事態が起こり得ます。

盗まれた・使い回された認証情報

機器そのものに脆弱性がなくても、正規のIDとパスワードを使われてしまえば、攻撃者は堂々とVPNを通過できます。フィッシングや情報漏えいで流出した認証情報、他サービスからの使い回し、退職者のアカウントの残存などが入口になります。多要素認証が設定されていないVPNは、この手口に特に弱くなります。

設定不備（初期パスワード・アクセス制限なし）

初期パスワードのまま運用されている、接続元のIPアドレスを制限していない、不要なアカウントが有効なまま、といった設定の穴も侵入口になります。とくに保守用に設置したVPNは、緊急対応のためにアクセス制限を緩めたまま放置されがちで、IDとパスワードさえ合えば誰でも接続できる状態になっていることがあります。

VPNの脆弱性を突かれたランサムウェア被害事例

VPN機器が原因となった被害は、公的な調査報告書でも確認できます。ここでは、原因と被害の範囲が公表されている2つの事例を取り上げます。

取り上げるのは大規模な組織の例ですが、突かれた弱点（保守委託先が設置した機器・共通パスワード・未対応の脆弱性）は企業規模を問いません。数十人規模の企業でも、同じ手口で侵入されます。

医療機関：保守委託先のVPN機器と漏えいした認証情報（2022年）

2022年10月、大阪急性期・総合医療センターがランサムウェアに感染し、電子カルテが使えなくなって診療を制限せざるを得ない事態となりました。情報セキュリティインシデント調査委員会の報告書は、侵入経路を次のように説明しています。

給食事業者が設置･運営する給食システムに、情報基盤構築事業者がリモート保守のために設置したVPN機器の脆弱性を用いて侵入（漏洩され公開されていたID・パスワード情報を用いて侵入された可能性もある）。

出典：情報セキュリティインシデント調査委員会報告書【概要版】｜大阪急性期・総合医療センター（https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf）

侵入は取引先（給食事業者）の保守用VPNを経由しており、自社だけでなく委託先を含めた管理の難しさを示しています。報告書によると、院内のパソコン約2,200台に不正アクセスの痕跡があり、診療機能の完全復旧までに73日間を要し、調査・復旧の費用は数億円以上にのぼりました。被害が広がった一因として、サーバーや端末のパスワードがすべて共通だった点も指摘されています。

出典・参考資料（1件）

• 出典：情報セキュリティインシデント調査委員会報告書【概要版】｜大阪急性期・総合医療センター（https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf）

物流インフラ：アクセス制限のない保守用VPNと未対応の脆弱性（2023年）

2023年7月、名古屋港のコンテナターミナルを動かす統一システム（NUTS）がランサムウェアに感染し、コンテナの搬入・搬出が約3日間止まりました。国土交通省の検討委員会の中間取りまとめは、根本原因を次のように記しています。

NUTS の保守用 VPN には緊急時に即時に対応するため IP アドレスに制限をかけておらず、ID とパスワードさえ合致すればインターネット上で誰からでもアクセス可能な状態にあったこと、VPN 機器及び物理サーバに関して数か月前から脆弱性が公表されていたものの、これら脆弱性への対応が未対応であったことが確認されている。

出典：コンテナターミナルにおける情報セキュリティ対策等検討委員会 中間取りまとめ①｜国土交通省（https://www.mlit.go.jp/kowan/content/001633384.pdf）

「公開済みの脆弱性が未対応」と「アクセス制限のない保守用VPN」という、前章で挙げた未修正パッチと設定不備が重なった事例です。物流という社会インフラが数日止まったことからも、VPNの穴が事業全体に波及しうることが分かります。

出典・参考資料（1件）

• 出典：コンテナターミナルにおける情報セキュリティ対策等検討委員会 中間取りまとめ①｜国土交通省（https://www.mlit.go.jp/kowan/content/001633384.pdf）

ここで取り上げた2件のほかにも、ランサムウェア被害は業種を問わず公表されています。実名企業の被害内容や侵入経路、そこから導いた優先順位つきの対策と感染時の初動まで、より多くの事例をまとめて確認したい場合は、次の記事が参考になります。

自社のVPNで何を直すべきか（対策の全体像と優先順位）

ここまで見てきた脆弱性の種類と被害事例を踏まえると、やるべきことは「侵入させない対策」と「侵入された後に備える対策」に整理できます。それぞれが、前章のどの弱点に効くのかとあわせて押さえると、優先順位がつけやすくなります。

• VPN機器・ファームウェアを最新に保つ：公開された既知脆弱性（未修正パッチ）を塞ぎます。ベンダーの注意喚起を確認し、該当機種は速やかに更新します。
• 多要素認証を導入する：盗まれた・使い回された認証情報による不正ログインを防ぎます。IDとパスワードだけの運用から脱却します。
• 認証情報の見直しと不要アカウントの削除：初期パスワードや使い回しをやめ、退職者・未使用のアカウントを整理します。設定不備への対策です。
• 接続元の制限と保守用VPNの点検：接続元IPの制限を設け、保守用に緩めた設定を放置しないようにします。名古屋港の事例が示す設定不備への対策です。
• 接続方式の見直し（ZTNA・脱VPN）：VPN機器を境界に置く方式そのものを見直し、利用者・端末ごとに必要最小限のアクセスだけを許すゼロトラスト型（ZTNA）への移行も選択肢になります。
• 保守期限を迎えた機器の更新：修正プログラムが提供されなくなった機器は、脆弱性が残り続けるため計画的に入れ替えます。
• 隔離したバックアップの用意：暗号化されても元に戻せるよう、攻撃者が到達できない形でバックアップを保管します。復旧を妨害するためバックアップごと暗号化される手口への備えです。
• 侵入に気づく監視：パッチや認証で防ぎきれなかった侵入を早期に検知します（詳細は次章）。

システムの保守を外部に委託している場合は、委託先任せにできない点に注意が必要です。警察庁も、保守を外部委託しているときは脆弱性への対処が保守契約に含まれているか、それが実際に行われているかを確認し、あわせて管理外の機器が社内に残っていないか点検するよう促しています。

出典・参考資料（1件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）

自社の体制別・VPN点検チェックリスト

同じ対策でも、どこから着手すべきかは社内の体制によって変わります。自社の状況に近いものから確認してみてください。

• 情報システムを少人数で兼務している：まずは使っているVPN機器の機種・バージョン・保守期限を一覧にし、ベンダーの注意喚起に該当する機器がないかを確認します。手が回る範囲が限られるぶん、多要素認証の有効化と既知脆弱性のパッチ適用という「効果が見込めて着手しやすい2つ」を優先します。
• VPN機器の保守をベンダーに委託している：脆弱性対応が契約の範囲に含まれているか、誰がいつパッチを判断・適用するのかを契約書やSLA（サービス品質保証の取り決め）で確認します。緊急時にアクセス制限を緩めた保守用VPNが、そのまま放置されていないかも点検します。
• テレワークで社外からの接続が多い：接続アカウントの棚卸し（退職者・未使用の削除）と多要素認証を徹底し、接続元や接続時間帯の記録を残せるようにします。従業員が増えるほど認証情報の流出・使い回しのリスクが上がるためです。
• 海外拠点やグループ会社にもVPNがある：本社が把握していない「管理外のVPN機器」が侵入口になりがちです。拠点ごとの機器を洗い出し、同じ基準でパッチ・認証・設定を揃えます。

パッチを当てても防げないケースと、侵入に気づく監視

前述のとおり、侵入された機器の約4割はパッチを適用済みでした。パッチは有効な対策ですが、それだけで侵入を完全に止められるわけではありません。「当てていたのに入られる」理由を押さえておくと、次に何が必要かが見えてきます。

パッチを当てても防げない3つのケース

• ゼロデイ脆弱性：修正プログラムが提供される前に悪用されると、最新の状態でも防げません。
• パッチ適用前に盗まれた認証情報：脆弱性を塞ぐ前に認証情報を抜き取られていると、その後パッチを当てても、盗んだ正規の情報で入られてしまいます。
• すでに作られた侵入口（バックドア）の残存：侵入時に別の接続手段を仕込まれていると、脆弱性を修正した後も、その経路から再び入られる可能性があります。

いずれも「侵入を未然に防ぐ」対策だけでは取りこぼす領域です。だからこそ、入られたことに早く気づき、被害が広がる前に対処する監視が重要になります。

MDRがなくても実践できる、侵入に気づくログ監視の確認手順

専門の監視サービス（MDR）を導入していなくても、VPN機器やサーバーのログを定期的に確認するだけで、侵入の兆候に気づける場合があります。次のような動きがないかを点検してみてください。

• 普段は接続してこない国・IPアドレスや、深夜・休日など不自然な時間帯からのVPNログインがないか
• 身に覚えのないアカウントの追加や、権限の昇格が行われていないか
• VPN機器やファイアウォールの設定が、知らないうちに変更されていないか
• 社内のサーバー間で、普段は発生しない探索的な通信（横展開の兆候）が起きていないか

VPN機器そのものは、端末に導入するEDR（エンドポイントでの検知・対応）の監視対象から外れやすく、見落とされがちです。ログの確認を続ける余力がない、サーバー間の通信まで見きれないという場合は、ネットワーク全体の通信を記録・監視する仕組みや、監視を専門事業者に任せる選択肢（MDRサービス）も検討の対象になります。次章では、こうした予防・検知・復旧を支えるサービスを紹介します。

VPNの脆弱性・ランサムウェア対策に役立つサービス

ここからは、VPNの脆弱性とランサムウェアへの備えに役立つサービスを3つ紹介します。それぞれ、弱点を事前に見つける予防、侵入された後に気づく検知、暗号化されても元に戻せる復旧、入口を固める境界防御という役割を分担します（KATABAMIは予防と復旧を兼ねます）。自社に足りない部分から検討する際の参考にしてください。

ここで取り上げるのはVPN・ランサムウェア対策に関わる3つですが、社内セキュリティで守るべき対象は端末・ネットワーク・ID・データ・監視運用と幅広く、必要なソリューションは企業ごとに異なります。守る対象別にタイプと代表サービスを見比べながら検討したい場合は、次の比較記事もあわせてご覧ください。

以下はご紹介するサービスの比較表です。

Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、ネットワークを流れる通信を収集・分析し、サイバー脅威を可視化するNDR（Network Detection and Response、ネットワーク上の検知と対応）製品です。開発元は韓国Quad Miners社で、日本では日本法人の株式会社クワッドマイナージャパンが提供しています。

端末に導入するEDRが苦手とするVPN機器やサーバー間の通信も監視対象に含められる点が、本記事のテーマと噛み合います。

フルパケットキャプチャ（通信そのものを損失なく保存する方式）を基盤に、シグネチャによる既知攻撃の検知、ユーザー行為ベースの検出（BAD）、送受信データを復元して調べるコンテンツ分析を組み合わせます。収集・検知・ハンティング・フォレンジック・対応の5機能を備え、侵入後の横展開やデータ持ち出しといった、ネットワーク上に痕跡が残る動きを検知・追跡できます。

通信をミラーリングして取り込むため、既存のネットワーク構成に大きく手を入れずに導入できます。MITRE ATT&CKに基づく脅威ハンティングや、Syslog・REST APIによるEDR・SIEM（ログを集約して分析する仕組み）との連携にも対応します。料金は公式には非公開で、個別の見積もりとなります。

Eye”247” Safety Zone USAV Ⅵ（株式会社フーバーブレイン）

USAV Ⅵは、入口であるネットワークの防御から端末・従業員教育までを1つにまとめた統合セキュリティパッケージです。提供元の株式会社フーバーブレインは、Network Blackboxの国内総代理店でもあります。VPNの先にある社内ネットワークの境界を固めたい、専任のIT担当を置きにくい中小企業に向いた構成です。

VPN機器そのものの脆弱性を直す製品ではありませんが、万一侵入されたときに備えて社内ネットワークの境界を広く固める、多層防御の一手として位置づけられます。

中核となるのはCheck Point製のUTM（統合脅威管理アプライアンス）で、ファイアウォール・IPS（不正侵入防御）・アンチウイルス・URLフィルタリング・アプリケーションコントロール・アンチボット・サンドボックス（オプション）といった機能を束ねています。

これにエンドポイント対策（EPP/EDR）のEye”247” Safety Zone、USBメモリへのファイルコピー記録などの業務可視化、年2回の標的型攻撃メール訓練を組み合わせ、ネットワーク・端末・人の3方向をまとめて対策できるようにしています。

クライアント数10〜200台規模の構成を想定し、導入は販売代理店経由の個別見積もりとなります。複数の対策を別々に契約・運用する手間をかけずに、まとめて始めたい企業向けの選択肢です。

KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

株式会社SYNCHROが提供するKATABAMIは、「脆弱性を事前に見つける」診断と、「暗号化されても元に戻せる」バックアップを組み合わせた国産のサイバーセキュリティ対策パッケージです。IPv6アドレスと暗号化技術を使い、インターネット上に外から見えない通信経路（同社の呼ぶ「ステルス回線」）を作る独自技術を基盤にしています。

脆弱性診断は、この経路を使ってリモートで社内ネットワークの内部まで調べられるため、従来の訪問型と違って継続的に実施しやすいのが特徴です。複合機の初期パスワードの放置や、管理者権限で簡単にログインできてしまう状態など、具体的な問題点の指摘と対策のアドバイスまで伴走します。

バックアップは、KATABAMIの経路を通じて利用者自身も到達できない領域（同社はこれを「隠し金庫」と表現しています）に保管するため、ランサムウェアに書き換えられにくい設計です。復旧を妨害するためバックアップごと暗号化される手口への、直接の備えになります。

この「バックアップごと暗号化される」手口について、同社の北口氏は、被害の実態を次のように説明しています。

料金は診断する端末台数（ノード数）と頻度で決まり、100ノード以下の場合は年額90万円から150万円が目安です。初回のヒアリングは無料で、専門人材がいない企業でも導入しやすい体制を掲げています。

まとめ

本記事では、VPNの脆弱性からランサムウェア感染に至る流れを整理し、悪用された代表的な脆弱性、自社で直すべき対策、そしてパッチだけでは防げないケースと侵入に気づく方法までを解説しました。

ランサムウェアの感染経路は、警察庁の統計でVPN機器が第1位を占めており、未修正パッチ・ゼロデイ・盗まれた認証情報・設定不備のいずれかが入口になります。侵入を未然に防ぐパッチ適用や多要素認証に加えて、入られても気づける監視と、暗号化されても元に戻せる隔離バックアップまで組み合わせることで、被害を止める確率が高まります。自社のVPN機器の棚卸しと認証・設定の見直しから、まず着手してみてください。

本記事はVPNを入口とするランサムウェア被害に絞って解説しました。メールやリモートデスクトップなど他の経路も含めた、予防・検知・バックアップ・感染時対応・復旧という全体像と、限られた予算・人員での着手の順番は、次の記事で整理しています。

よくある質問（FAQ）

Q. VPNの脆弱性とは何ですか？

A. VPNの脆弱性とは、社外から社内ネットワークへ接続するVPN機器に存在し、攻撃者の侵入口になりうる弱点の総称です。具体的には、修正プログラムが未適用の既知脆弱性、修正プログラムがまだ提供されていないゼロデイ脆弱性、盗まれた・使い回された認証情報、初期パスワードやアクセス制限なしといった設定不備の4種類に大きく分けられます。

機器そのものの欠陥だけでなく、認証情報や設定の問題も含む点が、対策を考えるうえでのポイントです。

Q. なぜランサムウェアの感染経路はVPN機器が最も多いのですか？

A. VPN機器がインターネットに公開された「社内ネットワークの入口」であり、一度突破されると内部まで自由に入り込めるためです。警察庁の統計では、企業・団体のランサムウェア被害で侵入経路の6割以上をVPN機器が占めています。社外の従業員が接続できる機器は、裏を返せば攻撃者も接続を試せる場所であり、未修正の脆弱性や盗まれた認証情報があれば、そこがそのまま足がかりになります。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

Q. VPN機器をアップデートすれば、ランサムウェア攻撃は防げますか？

A. VPN機器のアップデート（パッチ適用）は重要ですが、それだけでランサムウェア攻撃を完全に防ぐことはできません。修正プログラムの提供前に悪用されるゼロデイ脆弱性、パッチを当てる前にすでに盗まれていた認証情報、侵入時に仕込まれた別の接続口（バックドア）は、機器を最新に保っていても入口になり得ます。実際、警察庁の調査では侵入された機器の約4割はパッチ適用済みでした。

パッチ適用に加えて、多要素認証・隔離したバックアップ・侵入に気づく監視を組み合わせることが欠かせません。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

Q. セキュリティの専門知識がない中小企業は、VPNの脆弱性対策を何から始めればよいですか？

A. まずは使っているVPN機器の機種・バージョン・保守期限を棚卸ししたうえで、「多要素認証の有効化」と「既知脆弱性のパッチ適用」という効果が見込めて着手しやすい2つから着手するのが現実的です。あわせて初期パスワードの変更と、退職者・未使用アカウントの削除を行うと、専門知識がなくても侵入リスクを下げられます。

社内だけで手が回らない部分は、脆弱性診断やUTM運用などの外部サービスを活用して補う選択肢もあります。

Q. VPN機器の保守をベンダーに委託している場合、責任分界点はどう明確化すればよいですか？

A. 脆弱性への対応が保守契約の範囲に含まれるか、誰がいつパッチを判断・適用するのかを、契約書やSLAで項目ごとに文書化することが出発点です。委託していても「気づいたら対応されていなかった」という事態は起こり得るため、緊急時にアクセス制限を緩めた保守用VPNが放置されていないか、契約外の管理されていない機器が社内に残っていないかもあわせて点検します。

警察庁も、保守を外部委託している場合は、脆弱性への対処が保守契約に含まれ、実際に行われているかを確認するよう促しています。

出典・参考資料（1件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）

Q. ランサムウェアに感染してしまったら、まず何をすべきですか？

A. まず感染した端末やネットワークを速やかに遮断して被害の拡大を止め、社内の責任者や警察・IPAなどへ報告・相談したうえで、隔離したバックアップから復元するのが基本的な初動です。慌てて端末を初期化すると原因や被害範囲の調査ができなくなるため、証拠を残す形で切り分けます。身代金を支払ってもデータが戻る保証はなく、新たな攻撃を招くおそれもあるため支払いは推奨されません。

脆弱性の種類によっては復号ツールが公開されている場合もあるので、専門家や公的機関への相談を優先してください。

VPN・ランサムウェア対策サービスの料金・資料を一括チェック

MCB FinTechカタログでは、脆弱性診断・侵入検知（NDR）・隔離バックアップ・UTMなど、VPNの脆弱性とランサムウェアに備えるサービスの最新資料を無料で一括請求できます。診断範囲・検知方式・復旧の備え・費用を見比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。