VPN機器の脆弱性と侵入対策｜狙われる理由・点検項目・診断の範囲
VPN機器の脆弱性への対策は、型番とファームウェアのバージョンを台帳で把握し、脆弱性が公表されたら更新・認証情報の変更・侵害の確認まで進めることだ。
更新しても、更新前に盗まれたIDとパスワードは使える状態で残る。
VPN機器の脆弱性が狙われる理由と侵入の流れ
VPN機器の脆弱性がなぜ狙われるのかといえば、インターネットから誰でも接続を試せて、通れば社内ネットワークに入れるからだ。入った攻撃者は管理者権限を奪い、データを盗んで暗号化する。
ここでいうVPNの脆弱性は、VPN機器のソフトウェアの欠陥と、設定や認証の不備を指す。米国のNSAとCISAは『リモートアクセスVPNの選定と強化』で、公表された脆弱性を突かれると、認証情報の窃取、機器上でのコードの実行、暗号化された通信の弱体化や乗っ取りが起こり得るとしている。接続する端末の感染は、端末側で防ぐ別の話だ。
インターネットから誰でも接続を試せるVPN機器
社内とインターネットの境目に置くVPN機器やファイアウォールを、エッジ機器と呼ぶ。日本を含む9か国の当局の共同文書『エッジ機器の緩和策：経営層向けガイダンス』は、攻撃者がインターネットから届く機器を探し、新しく公表された脆弱性を突くのが典型だとしている。
Verizonの『2025年データ侵害調査報告書』では、脆弱性を悪用した攻撃の標的のうち、エッジ機器とVPNが前年の報告書の3%から22%に増えた。
同じ報告書が分析したエッジ機器の脆弱性17件のうち9件は、CVEの公開日かそれより前に、米CISAの「悪用が確認された脆弱性の一覧」に載っていた。公表の時点で攻撃がすでに始まっている脆弱性がある。
脆弱性の公表から侵入・社内への横展開までの流れ
警察庁が説明するランサムウェア攻撃の代表的な流れに、後の章の止め方を添えた。VPN機器の対策で止めたいのは1段目だ。
VPNの脆弱性を突いたランサムウェア被害の事例
国内の統計ではVPN機器がランサムウェアの感染経路の多数を占め、公表された病院の2件では更新の遅れと認証情報の放置が重なって侵入が成立した。
国内の被害で報告されている感染経路の傾向
警察庁の調査（令和7年の資料、令和8年上半期の資料）で、ランサムウェアの感染経路にVPN機器を挙げた被害組織の回答は次のとおりだ。いずれもアンケートの回答数で、被害報告の全件ではない。
- 令和7年：有効回答92件のうち61件
- 令和3〜7年の合計：有効回答485件のうち293件
- 令和8年上半期：有効回答36件のうち18件
同じ令和7年の調査で、侵入経路とされた機器のパッチの状況を答えた71件では、未適用のパッチがあった機器が40件、最新のパッチを適用済みの機器が31件だった。適用済みの31件の侵入方法は資料からは分からない。更新前に盗まれた認証情報が使われれば、パッチだけでは防げない。
公表された事案から分かる共通の条件
つるぎ町立半田病院の『有識者会議調査報告書』と、大阪急性期・総合医療センターの『情報セキュリティインシデント調査報告書』は、どちらも保守用のVPN機器から入られたとみている。
大阪の報告書は、VPN機器の保守や脆弱性管理の役割分担が曖昧だったことを発生要因に挙げている。2件とも、事後にログを保存せずファームウェアを更新したため、装置のログを調べられなかった。
VPN機器のセキュリティ対策と点検項目
VPN機器のセキュリティ対策は、社内とインターネットの境目にある機器を洗い出して台帳にし、管理画面・認証・アカウント・不要な機能・ログを1台ずつ点検することだ。
VPN機器の台帳とサポート期限の確認
台帳には機器ごとに次を書く。
- 設置場所と用途（本社、拠点、テレワーク、委託先の保守用）
- 型番、ファームウェアのバージョン、メーカーのサポート期限
- 管理者（自社か、設置した委託先か）と連絡先
- インターネット側のIPアドレス・ホスト名
委託先が保守のために置いた機器や回線も台帳に含める。大阪の事案では、事後にも情報システム部門の知らない保守用のVPN接続が見つかった。メーカーの勧告とJPCERT/CCの注意喚起は型番とバージョンで照らし、該当が複数あれば、米CISAの「悪用が確認された脆弱性の一覧」に載ったものから直す。サポートが終わった機器は交換を計画する。
管理画面・アカウント・認証の設定の点検
NSA・CISAのガイドとソフトウェア協会の『セキュリティ コントロール ガイドライン』をもとに、点検項目と止める段（流れの番号）を表にした。多要素認証と接続元の制限は、盗まれたパスワードでの接続を防ぐ項目だ。
| 点検項目 | 確かめること | 止める段 |
|---|---|---|
| 管理画面 | 外から届かず、社内の管理用ネットワークから操作している | 1・2 |
| 多要素認証 | パスワードに加えて証明書などを求めている | 1 |
| 接続元 | 決まった拠点や委託先からの接続は、IPアドレスで絞っている | 1 |
| アカウント | 初期設定・退職者・未使用の保守用・共有のアカウントがない | 1・2 |
| 不要な機能 | リモートデスクトップやファイル共有など、要らない機能を止めている | 1 |
| ログ | 認証・接続・設定変更の記録を機器の外にも保存 | 4（消されても残る） |
VPN機器の脆弱性対応と侵害の痕跡の確認
VPN機器の脆弱性が公表されたら、該当の確認、ログと設定の保存、更新、認証情報の変更、侵害の確認の順に進める。
更新だけで終えない対応の順番
NSAとCISAは、悪用が確認された脆弱性のあるバージョンから更新するときは、認証情報の変更とアカウントの見直しも検討するよう勧めている。
ログと設定から確かめる侵害の痕跡
保存したログと設定で次を確かめる。
- 接続の記録：普段使わない国のIPアドレスや業務時間外の接続
- 認証の記録：失敗が続いた後の成功、管理者のIDでVPNに接続しようとした記録
- アカウントと設定：作った覚えのない追加や変更
- ログそのもの：記録が途切れた期間や消された形跡
JPCERT/CCも『侵入型ランサムウェア攻撃を受けたら読むFAQ』で、インターネットに面したシステムの認証ログを調べ、侵害が疑われる認証情報は変えるよう勧めている。
ログを機器の外に残していない、記録の意味を読めない、不審な接続が見つかった場合は、メーカーや調査の専門家に調べてもらう段階だ。警察庁の令和7年の調査では、ログの保全状況を答えた被害組織102件のうち、全て保全できていたのは25件だった。
VPN機器の脆弱性診断で調べる範囲と依頼の準備
VPN機器の脆弱性診断はインターネット側から見える状態を調べるもので、機器がすでに侵害されたかどうかは別の調査で確かめる。
外部からの診断で分かること
外部からの診断と、侵入されたかを確かめるフォレンジック調査は、調べる所と分かることが違う。
| 外部からの脆弱性診断 | フォレンジック調査 | |
|---|---|---|
| 調べる所 | 公開しているIPアドレスで接続を受け付けている機器とサービス | 機器のログ、社内のサーバー・端末 |
| 分かること | 応答から推定した機種・バージョンと既知の脆弱性、外から見える管理画面、不要な機能やポート | 機器がすでに侵害されたかどうか |
外から分かるバージョンは推定なので、台帳と照らして確定させる。
依頼の前にそろえる情報
- 診断するIPアドレスとホスト名
- 台帳の写し
- 委託先が置いた保守用の入口の有無と、その管理者
- 機器の所有者・管理者の同意（委託先が置いた機器はその会社の同意も）
- 診断してよい時間帯と、問題が起きたときの連絡先
台帳づくりで管理者が分からなかった機器は、依頼時に「管理者不明」と書いておく。
まず台帳で全機器の型番・バージョン・管理者を埋め、上の表で設定を点検する。次に、脆弱性が公表された日に5つの手順を誰が担うのかを、委託先の分まで決めておく。
よくある質問
最新のパッチを当てていれば、VPN機器は安全？
安全とは言えない。警察庁の令和7年の調査では、侵入経路とされた機器のパッチの状況を答えた71件のうち31件が最新のパッチを適用済みだった。侵入方法は不明だが、更新前に盗まれたIDとパスワードは更新後も使えるので、更新したら認証情報を変え、多要素認証と接続元の制限も確かめる。
自社のVPN機器が、公表された脆弱性の対象かどうかはどう確かめる？
台帳の型番とファームウェアのバージョンを、メーカーの勧告とJPCERT/CCの注意喚起に照らす。委託先が保守用に置いた機器も台帳に入れておく。該当が複数あれば、米CISAの「悪用が確認された脆弱性の一覧」に載ったものから直す。
VPN機器の脆弱性診断で、侵入されたかどうかも分かる？
分からない。外部からの診断で分かるのは、応答から推定した機種・バージョンと既知の脆弱性、外から見える管理画面、不要な機能やポートだ。機器がすでに侵害されたかどうかは、機器のログや社内のサーバー・端末を調べるフォレンジック調査で確かめる。