VPN機器が狙われるのは、インターネットから直接届き、破られると社内へ入れる入口だからです。
今日やることは、社内のVPN機器の型番、ソフトウェアの版、サポート期限を1枚に書き出すことです。誰が更新を当てるのかも書きます。答えられない欄があれば、そこが最初の課題です。保守の会社がいるなら、今日中に問い合わせます。
他の製品より脆弱性の数が多いと示す公的な統計は、確かめられませんでした。確かに言えるのは、見つかったときの影響が大きく、被害の入口として多く報告されていることです。
VPN機器はどのくらい被害の入口になっている？
警察庁の統計を整理した情報セキュリティ10大脅威 2026の組織編では、ランサムウェアの感染経路に占めるVPN機器の割合は次のとおりです。
| 年 |
VPN機器 |
リモートデスクトップ |
メール・添付ファイル |
| 2022年 |
61.8% |
18.6% |
8.8% |
| 2023年 |
63.5% |
18.3% |
5.2% |
| 2024年 |
55.0% |
31.0% |
2.0% |
| 2025年 |
66.3% |
20.7% |
2.2% |
これは、被害を受けた組織へのアンケートで回答があった分の割合です。警察庁の令和7年の報告によると、令和7年のランサムウェア被害の報告は226件で、被害企業の約6割が中小企業、業種別では製造業が約4割でした。
なぜVPN機器が狙われやすい？
理由は1つではありません。公的な資料から読み取れるものを4つ挙げます。
インターネットから直接届く
10大脅威の解説書は、VPN機器のようにインターネットから直接アクセスできる製品の脆弱性は、攻撃プログラムが公開されると多くの企業に被害が及ぶおそれがあるとしています。社員が外から使うための機器なので、外から届くことが前提です。
破られたときの影響が広い
IPAの産業サイバーセキュリティセンターの修了プロジェクトがまとめた資料（2022年）は、VPNがネットワーク単位で認証するため、一度攻撃を受けると社内のさまざまな機器にアクセスできるようになる点を指摘しています。
IPAの2025年10月31日の注意喚起は、もう1つの影響も挙げています。機器が乗っ取られ、他の組織を攻撃する中継点として使われるおそれです。自社だけの問題にとどまりません。
修正の前や後にも問題が残ることがある
更新を当てれば終わり、とならない例が公表されています。
メーカーを責める話ではありません。「更新の有無」に加えて「すでに入られていないか」も確かめる必要がある、という教訓です。
脆弱性だけが入口ではない
警察庁の報告は、攻撃者が未修正のぜい弱性に加え、漏えいした認証情報、簡易なパスワード、設定不備を悪用すると書いています。最新の版でも、退職者のIDが残っていれば問題は残ります。
VPN機器の点検項目は？
次の10項目を、機器ごとに確かめます。
| 項目 |
見るところ |
確かめる状態 |
| 台帳 |
型番、版、設置場所、担当 |
すべての機器が載っている |
| サポート期限 |
メーカーの案内 |
期限と更新の予定が分かる |
| 修正の適用 |
現在の版と最新の案内 |
重要な修正を当てた日が分かる |
| 情報の受け取り |
メーカーの通知、JPCERT/CC |
受け取る人が決まっている |
| 管理画面 |
外部からの到達性 |
外部に公開していない |
| 不要な機能 |
サービス、ポート、使わない接続方式 |
止めてある |
| ID |
退職者、共用、管理者 |
不要なIDがなく、多要素認証を使う |
| ログ |
接続と管理の記録、保存期間 |
調査に使える期間だけ残っている |
| 侵害の確認 |
メーカーの調査手順 |
重大な脆弱性の後に実施した記録がある |
| 社内の分離 |
つながる先の範囲 |
全社に自由に入れる設定でない |
管理画面の非公開と不要なサービスの停止は、IPAの注意喚起に対策として書かれています。中小企業の情報セキュリティ対策ガイドライン第4.0版も、サポートのあるネットワーク機器の利用や、VPNでの強固なパスワードと多要素認証を求めています。
たとえば、工場の設備を保全会社が遠隔で点検するためにVPNを使っている場合を考えます。本社の情シスの台帳に載らず、設備の担当と保全会社だけが知っている、ということが起こりえます。点検の前に、工場や保全会社にも「外からつなぐ機器はありますか」と聞いて回ります。
機器が増えて手作業で追えないなら、脆弱性管理ツールの比較で、公開状況や版の把握を補う製品を見られます。
更新できないときは、どう手当てする？
手当ては、修正を当てるまでの時間を稼ぐものです。まず理由を切り分けます。
| 更新できない理由 |
当面の手当て |
| 業務を止められない |
停止枠を週内に決める。先に接続の範囲を絞る |
| 担当の会社が分からない |
契約書を確かめ、メーカーの窓口へ保守の状況を聞く |
| 修正がまだ出ていない |
メーカーの回避策を適用し、その機能を止められるか判断する |
| 新しい版に対応していない |
機種の置き換えの見積もりを取り、期限を決める |
| サポートが切れている |
手当てと並行して、更新か廃棄を決める |
共通の手当ては次のとおりです。すべてが機種で使えるとは限らないので、メーカーの案内で確かめます。
- 使っていない接続方式や機能を止める
- 接続できる人を減らし、接続先を必要なシステムに絞る
- 接続元を拠点や保全会社などに限定する
- 多要素認証を入れ、パスワードを変更する
- ログを別の場所に保存し、見る人と頻度を決める
- 重要なデータのバックアップを、社内ネットワークから切り離して持つ
バックアップを挙げたのは、警察庁の報告が、バックアップも一緒に暗号化される場合が多いと書いているためです。
更新の内容にも注意します。FortiOS 7.6.3のリリースノートでは、SSL VPNのトンネルモードがどの機種でもサポートされなくなり、IPsec VPNへの移行が案内されています。版を上げると、今の接続の仕組みが使えなくなることがあります。当てる前にリリースノートを読み、検証の時間を取ります。
侵入の兆候が見つかったとき
再起動や初期化をすると、調査に必要な記録が消える場合があります。先に保守の会社やメーカーへ連絡し、指示を受けます。IPAの注意喚起は、不自然な兆候を認知した場合の連絡先も示しています。
置き換えの判断はどうする？
次のどれかに当たれば、手当てを続けるより置き換えの計画に進みます。
- サポートが切れている、または12か月以内に切れる
- 新しい版を当てられない機種である
- 更新を担当する人や会社を確保できない
- 重大な脆弱性の対応が、業務の都合で毎回遅れる
米国のCISAが2026年2月5日に出した指令BOD 26-02は、連邦機関に、サポート切れのVPNなど境界の機器を18か月以内に撤去するよう求めています。日本の中小企業に適用されるものではありませんが、期限を切る考え方は参考になります。
待つことにも危険があります。IPAのガイドラインは、VPN機器の入れ替えを議論していた組織の事例を載せています。後継の機種を約半年待つと決めた間に、VPN機器からの侵入でランサムウェアに感染し、約2.5億円以上の対応費用がかかったという内容です。
選択肢は4つあります。
| 選択肢 |
合う場合 |
確かめる点 |
| 廃止する |
社外からの接続がほぼない |
保全会社や出張者の利用がないか |
| VPN製品を入れ替える |
接続先が社内のシステム中心 |
サポート期限、多要素認証、更新の担当 |
| ZTNAへ移る |
クラウドやアプリ単位の接続が多い |
古いシステムの対応、月額の総額 |
| SASEなどへまとめる |
拠点が多く通信経路も変えたい |
既存の回線と機器の契約 |
CISAなどの共同の案内（2024年6月18日）は、規模を問わず、ゼロトラストやSSE、SASEへ移ることを促しています。ただし、これらの案内は製品を替えれば解決すると言っているわけではありません。IDの管理とログの確認は、どの方式でも残ります。
入れ替えるなら、法人向けVPNの比較とZTNAの製品比較を並べて見ると、方式の差が分かります。リモートデスクトップへの安易な切り替えは避けます。上の表のとおり、感染経路で2番目に多い経路です。
考え方を整理するなら、ゼロトラストの7つの要件とゼロトラストで増える費用と不便を合わせて読むと、判断の材料が揃います。機器の話を法律の義務として迫られた場合は、UTM義務化の確かめ方と断り方が役に立ちます。ネットワークセキュリティの対策一覧には、周辺の対策をまとめています。
