「VPNを導入したから社内ネットワークは安全」と思っている方に、少し衝撃的な事実をお伝えしなければなりません。近年、企業へのサイバー攻撃で最もよく使われる侵入経路の一つが、他でもないVPN機器です。セキュリティを高めるためのツールとして導入されたVPNが、逆に攻撃者に悪用される侵入口になっているという逆説的な現実が、世界中の企業で繰り返されています。
日本国内でも、有名病院・大手製造業・官公庁・インフラ事業者など、誰もが名前を知っているような組織がVPN機器の脆弱性を突かれてランサムウェアに感染し、業務が停止するという深刻な被害が相次いでいます。「うちの会社くらい規模が小さければ狙われない」という考えも通じません。攻撃者は規模より「脆弱性があるかどうか」で標的を選んでいます。
この記事では、企業のVPN機器を狙ったランサムウェア被害の実態と、その背景にある仕組みを整理した上で、VPNを本当に安全に使うために必要な対策をすべて解説します。個人ユーザー向けの情報も交えながら、「VPNのセキュリティをどう考えるか」という根本的な視点を提供します。
なぜVPN機器がランサムウェアの侵入口になるのか
VPN機器が攻撃の侵入口として狙われる理由を理解するためには、まずVPN機器がどのような役割を持ち、なぜ攻撃者にとって魅力的なターゲットになるのかを知る必要があります。
VPN機器は「外部からアクセスできるように設計されている」
企業のVPNは、社外からでも社内ネットワークにアクセスできるようにするための仕組みです。在宅勤務・出張先・取引先からの接続を可能にするために、インターネットから直接アクセスできる状態でVPN機器が設置されています。これはVPNの本来の目的から生まれる必然的な設計ですが、同時に「インターネットから直接見えている機器」という意味でもあり、攻撃者がアクセスを試みる対象になりえます。
脆弱性が発見されても更新が遅れることが多い
VPN機器には、ソフトウェアと同様にセキュリティ上の脆弱性が定期的に発見されます。製造元はこれらの脆弱性に対するパッチ（修正プログラム）をリリースしますが、企業側での適用が遅れるケースが多いのです。VPN機器は「業務に必要不可欠なインフラ」であるため、ファームウェアの更新のためにサービスを止めることに慎重になりがちです。「後で更新しよう」と思いながら何ヶ月も放置されている脆弱なVPN機器が、攻撃者に発見・悪用されるというパターンが繰り返されています。
VPNへのアクセスには正規の認証情報が使われるため検知しにくい
攻撃者がVPN機器の脆弱性を突いて認証情報を窃取した場合や、フィッシングや情報漏洩で得た正規のVPN認証情報を使って接続した場合、その接続は「正規ユーザーのアクセス」と区別がつきにくいという問題があります。ファイアウォールを通過するのも、正規の接続なので問題なしと判断されます。侵入してから内部を探索し、ランサムウェアを展開するまでの一連の行動が、「正規ユーザーの行動」として見えてしまうため、検知が遅れるというのが多くの被害事例に共通するパターンです。
日本国内でのVPN機器を起点とした主なランサムウェア被害事例
国内での被害事例を見ていくと、「VPN機器の脆弱性」が共通のキーワードとして繰り返し登場することが分かります。ここでは公表されている情報をもとに、典型的な被害のパターンを整理します。
医療機関への被害：徳島県つるぎ町立半田病院（2021年）
2021年10月、徳島県のつるぎ町立半田病院がランサムウェアによる攻撃を受け、電子カルテシステムが使用不能になる深刻な被害を受けました。復旧まで約2ヶ月を要し、その間通常診療の制限を余儀なくされました。調査の結果、侵入経路として古いVPN機器（Fortinet製）の脆弱性が悪用された可能性が指摘されています。この事案は、病院という人命に関わる重要インフラがサイバー攻撃によって機能停止に陥るという深刻さを、日本社会に広く示した出来事でした。
製造業への被害：大阪急性期・総合医療センター（2022年）
2022年10月、大阪急性期・総合医療センターがランサムウェア攻撃を受け、電子カルテシステムが使用不能になる事態が発生しました。給食委託業者のVPN機器が侵入口として悪用されたとされており、直接の標的ではないサプライチェーン（取引先・関連業者）経由での侵入という、現代のランサムウェア攻撃の典型的なパターンを示した事例です。復旧には約2ヶ月かかり、電子カルテが使えない状態での診療継続を余儀なくされました。
製造業への被害：ヤマハ発動機（2023年）
2023年、ヤマハ発動機がサイバー攻撃を受け、フィリピン子会社の情報が流出したと発表しました。攻撃手法の詳細は公表範囲に限りがありますが、VPN機器等のリモートアクセス環境が侵入口として悪用されるパターンが続く中での事案として、製造業へのサイバー攻撃の深刻さを示しています。
官公庁・インフラ関連への被害
名古屋港湾システムへのランサムウェア攻撃（2023年）では、コンテナターミナルの業務が約3日間停止し、国際的な貨物輸送に影響が出ました。港湾というインフラへの攻撃が実際に業務停止を引き起こしうることが示されました。また、警察庁の公表する情報によれば、VPN機器の脆弱性を起点としたランサムウェア被害は国内でも年間を通じて多数発生しており、その多くが製造業・医療機関・サービス業など幅広い業種に及んでいます。
世界で猛威を振るったVPN脆弱性悪用の主な事例
日本国内に限らず、海外でもVPN機器の脆弱性を悪用したランサムウェア被害は深刻な問題として認識されています。特に悪用された脆弱性のパターンを知っておくことは、対策を考える上で重要です。
Fortinet製品の脆弱性（CVE-2018-13379ほか）
Fortinet社のVPN製品（FortiGate）には複数の深刻な脆弱性が発見され、それらを悪用した攻撃が世界中で発生しました。2018年に発見されたCVE-2018-13379という脆弱性は、認証なしでVPN機器の認証情報ファイルにアクセスできるという非常に深刻なものでした。パッチは2019年にリリースされましたが、2020年から2021年にかけて、パッチが未適用のままだった何万台もの機器のVPNアカウント情報がダークウェブ上に流出・販売されるという事態が発生しました。
Pulse Secure（Ivanti）製品の脆弱性
Pulse SecureのVPN製品（現在はIvanti Connect Secure）にも複数の重大な脆弱性が発見され、政府機関・重要インフラ・金融機関などへの攻撃に悪用されました。2019年に発見されたCVE-2019-11510は、認証なしで任意のファイルを読み取れるという脆弱性で、パッチが公開されてから1年以上経過しても未対応の機器が多数残っているとして、FBIやCISA（米サイバーセキュリティ・インフラセキュリティ庁）から繰り返し警告が発せられました。
Cisco製品の脆弱性
ネットワーク機器の大手CiscoのVPN製品にも、複数の深刻な脆弱性が発見されています。2023年に発見されたCisco IOS XEの脆弱性（CVE-2023-20198）は、認証なしでシステムの最高権限を取得できるという極めて深刻なものでした。発見直後から大規模な悪用が確認され、世界中で数万台規模の機器が短期間で侵害されるという事態が発生しました。
ランサムウェア攻撃のパターン：VPNから社内へどう侵入するのか
VPN機器を起点としたランサムウェア攻撃がどのように進行するのかを理解しておくことで、どの段階でどんな対策が有効かが明確になります。
第1段階：VPN機器の脆弱性スキャンまたは認証情報の収集
攻撃者はまず、インターネット上でVPN機器を探索します。Shodan（インターネットに接続されている機器を検索できるサービス）などを使えば、脆弱なバージョンのVPN機器を世界中から探し出すことが可能です。あるいは、フィッシングメール・クレデンシャルスタッフィング（流出したID・パスワードの使い回し）などで正規のVPN認証情報を入手します。
第2段階：VPN経由での社内ネットワークへの侵入
脆弱性の悪用または正規の認証情報を使って、VPN経由で社内ネットワークに接続します。この段階では、正規ユーザーのアクセスと区別がつかないため、多くのセキュリティシステムはこれを検知できません。
第3段階：内部探索と権限昇格
社内ネットワークに侵入した攻撃者は、内部の構造を探索し、より高い権限（管理者権限など）の取得を試みます。この段階を「ラテラルムーブメント（横展開）」と呼びます。他のシステムへの侵入・認証情報の窃取・重要なデータやサーバーの特定といった行動が、長期間（数週間〜数ヶ月）にわたって検知されないまま続けられることがあります。
第4段階：データの窃取とランサムウェアの展開
十分な情報を収集した後、攻撃者はまず重要データを外部に持ち出し（二重脅迫の準備）、次にランサムウェアを展開してすべてのシステムを暗号化します。ここで初めて被害者は攻撃に気づきますが、この段階に至ってからの対応では既に手遅れの状態になっているケースがほとんどです。
実際に体験した「VPN機器の更新を後回しにした代償」
私が所属していた組織でのリアルな体験をお伝えします。企業のVPN機器を管理する立場にいた時期、「ファームウェアの更新は業務停止が必要だから週末にやろう」と後回しにし続けていた期間がありました。その間、製造元からは複数回にわたってセキュリティアドバイザリーが届いていましたが、「今すぐ問題になっているわけではないし」という感覚で、更新を先送りし続けていました。
実際に被害を受けたわけではありませんでしたが、当時と同じ機器・同じバージョンを使用していた別の組織がランサムウェア被害を受けたというニュースを見たとき、背筋が冷たくなりました。「あのとき更新していなかったら、同じことが起きていたかもしれない」という感覚は、「VPN機器のパッチ適用は最優先課題」という認識を自分の中で根本から変えました。それ以来、セキュリティアドバイザリーが届いたら、業務への影響を最小化する計画を立てた上で、できる限り早急に適用するという姿勢に変わりました。
また、VPN認証に多要素認証（MFA）を導入していなかった時期に、フィッシングによってVPN認証情報が窃取されるインシデントが発生したこともありました。幸い被害が広がる前に検知できましたが、「パスワードだけで守られているVPN」がいかに脆弱かを、身をもって実感した経験でした。この経験が、「MFAの導入は任意ではなく必須」という認識を強固にしました。
VPNを安全に使うために企業がすべき対策
被害事例と攻撃のパターンを踏まえた上で、VPN機器を安全に運用するために企業が取るべき対策を整理します。
対策1：ファームウェア・ソフトウェアの迅速な更新
VPN機器のセキュリティを保つ上で、最も基本的かつ最も重要な対策がパッチの迅速な適用です。製造元からセキュリティアドバイザリーが発行されたら、内容の深刻度を評価した上で、できる限り早急にパッチを適用する計画を立てます。「重大な脆弱性」とされるCVSSスコア9.0以上のものは、72時間以内の対応を目標とする組織もあります。「業務停止を伴うから後回し」という判断が、最悪の場合に業務停止どころかデータ喪失につながることを認識しておく必要があります。
対策2：多要素認証（MFA）の必須化
VPNへのアクセスに多要素認証を必須化することは、認証情報が漏洩した場合の被害を大幅に軽減します。パスワードが盗まれても、第二の認証要素（スマートフォンへのワンタイムパスワード・ハードウェアトークンなど）がなければVPNに接続できないという層が加わります。「VPN認証情報が流出した」という事案の多くが、MFAの導入によって「流出しても悪用できない」状態にできたケースです。
対策3：不要なVPNアカウントの定期的な棚卸し
退職者・異動者・関連業者との契約終了などに伴い、使われなくなったVPNアカウントを速やかに削除する運用を徹底します。使われていないアカウントは攻撃者が気づかれにくい形で悪用する余地を与えます。特に、退職者のアカウントが数ヶ月間有効なままになっているというケースは、思っている以上に多くの組織で発生しています。
対策4：VPN接続ログの監視とアノマリー検知
VPN接続のログを定期的に確認し、異常なアクセスパターン（深夜の接続・普段と異なる地域からの接続・短時間での大量接続など）を検知する仕組みを整えます。SIEMと呼ばれるセキュリティ情報イベント管理システムやEDR（エンドポイント検知・対応）ツールを活用することで、侵入の早期発見が可能になります。
対策5：ゼロトラストの考え方への移行
従来のVPNは「一度認証されれば社内ネットワーク全体にアクセスできる」という設計が多く、これが侵入後の横展開を容易にしていました。これに対してゼロトラスト（Zero Trust）という考え方は、「社内ネットワークにいるからといって信頼しない。常に確認する」という原則で設計されています。具体的にはVPN接続後も個々のシステムへのアクセスに都度認証・認可を求めたり、アクセスできるリソースを業務上必要な最小限に絞ったりするアプローチです。Microsoft・Googleなどの大手テクノロジー企業がゼロトラストへの移行を進めており、企業セキュリティの重要なトレンドになっています。
対策6：バックアップの徹底とオフライン保管
ランサムウェアに感染してすべてのデータが暗号化されても、オフラインのバックアップがあれば身代金を支払わずに復旧できる可能性があります。バックアップはオンラインのシステムからネットワーク的に分離した場所に保管することが重要で、インターネットに接続されたストレージにバックアップしていた場合、そのバックアップも同時に暗号化されるというケースが発生しています。「3-2-1バックアップルール」（3つのコピー・2種類のメディア・1つはオフサイト保管）を実践することが推奨されています。
対策7：インシデント対応計画（IRP）の策定と訓練
ランサムウェア被害は「もし起きたら」ではなく「いつか起きるかもしれない」という前提で準備することが現実的な対応です。被害が発生した際に誰が何をするかを定めたインシデント対応計画を策定し、定期的に訓練を実施することで、実際に被害が発生した際の初動対応の速度と質が大きく変わります。大阪急性期・総合医療センターの事例でも、事前の対応計画の有無が復旧速度に大きく影響したことが報告されています。
注意点について
本記事で言及している被害事例は公表情報をもとにしており、状況については各組織の公式発表・報道情報に基づいています。VPN機器のセキュリティ対策については、使用している機器のベンダー・専門のセキュリティベンダー・IPAなどの公的機関が発行する最新のガイダンスを参照の上、ご自身の環境に合った対応を行ってください。
個人ユーザーが「企業のVPN問題」から学べること
ここまでは主に企業のVPN機器に焦点を当ててきましたが、これらの教訓は個人ユーザーがVPNを使う際にも応用できる考え方を含んでいます。
教訓1：「使いっぱなし」は危険。VPNアプリの更新を怠らない
企業のVPN機器でパッチ未適用が問題になるのと同じように、個人が使うVPNアプリも最新バージョンに保つことが重要です。多くのVPNアプリは自動更新の設定ができますが、自動更新をオフにしている場合は定期的に手動で確認する習慣をつけましょう。「数年前に入れたVPNアプリをそのまま使い続けている」という状態は、古いファームウェアのVPN機器と本質的に同じリスクをはらんでいます。
教訓2：VPN業者の信頼性の評価が重要
企業がVPN機器を選ぶ際にベンダーの信頼性・サポート体制・パッチ対応速度を重視するように、個人がVPNサービスを選ぶ際も提供会社の信頼性・透明性・セキュリティインシデントへの対応実績が重要な選択基準になります。サーバーが侵害されたとき、ノーログポリシーが本当に守られているかどうかが試されるのは、企業のVPN機器でも個人向けVPNでも同じです。
教訓3：VPN一つに依存しないセキュリティの多層化
企業のセキュリティではゼロトラストという考え方が広がっているように、個人のセキュリティでも「VPN一つで全部守れる」という発想ではなく、強いパスワード・多要素認証・OSとアプリの更新・フィッシング対策の意識といった複数の層を組み合わせることが重要です。
信頼できる個人向けVPN3選
企業と個人どちらの文脈でも、「セキュリティインシデントへの対応透明性・パッチ対応速度・独立した監査実績」を持つVPNを選ぶことが重要だという点は変わりません。以下に信頼できるサービスを紹介します。
セキュリティインシデントへの透明な対応と監査実績「NordVPN」
NordVPNは2018年にフィンランドのサーバーへの不正アクセスが発生した際、その事実を公表し、再発防止策の詳細を開示しました。セキュリティインシデントへの対応姿勢という観点で、隠蔽せず透明に対応した事例として評価されています。PricewaterhouseCoopersによる定期的な独立監査・独自プロトコルNordLynxの採用・DNSリーク保護・キルスイッチ機能を持つ、企業レベルの安全基準を個人向けに提供しているサービスです。
NordVPN[公式サイト]
台数無制限・WireGuard対応でコスパと安全性を両立「Surfshark」
Surfsharkは独立した監査を受けており、WireGuardプロトコル対応・DNSリーク保護・キルスイッチ・マルウェアブロック機能を持ちます。台数無制限での同時接続という特性は、個人が複数のデバイスすべてを保護したいという場合のコストパフォーマンスの高さにつながります。企業が全端末をVPNで保護するのと同じ発想を、個人レベルで実現できるサービスです。
SurfShark[公式サイト]
速度・監査実績・透明性を三拍子そろえた「ExpressVPN」
ExpressVPNは独自プロトコルLightwayの採用・定期的な第三者監査・Trusted Server技術（サーバーの全データをRAMのみに保持し再起動で消去する）といった技術的な安全対策が特徴です。企業が「ログが残らない構造」を求めるのと同じ発想が、サービス設計の根幹に組み込まれています。
ExpressVPN[公式サイト]
よくある疑問について
「中小企業でも本当にランサムウェアに狙われるのか」という点についてです。攻撃者は人力で標的を選ぶのではなく、自動スキャンツールで脆弱なVPN機器を機械的に探し出します。企業規模は関係なく、「脆弱性があるかどうか」が選別基準です。中小企業は大企業と比べてセキュリティ対策が手薄なケースが多く、むしろ攻撃者にとって侵入しやすい標的になりえます。
「ランサムウェアに感染したら身代金を払えばデータが戻るのか」という点についてです。身代金を払ってもデータが完全に復元できるという保証はなく、払ったことで「支払う組織」として繰り返し攻撃対象になるリスクもあります。また、ランサムウェアの運営グループへの支払いが制裁対象組織への資金提供になる可能性（アメリカのOFAC規制など）も考慮が必要です。IPA（情報処理推進機構）や警察庁は、身代金を支払わないことを推奨しています。
「個人用VPNは企業のVPN機器の問題と関係があるのか」という点についてです。直接の関係はありませんが、個人向けVPNサービスのサーバーも攻撃対象になりうるという意味で、完全に無関係ではありません。個人向けVPNを選ぶ際も、サービス提供会社のセキュリティインシデントへの対応歴・透明性・監査実績を確認することが、企業のVPN機器選びと同じ観点から重要です。
まとめ
企業のVPN機器を狙ったランサムウェア被害は、「セキュリティを高めるためのツールが侵入口になる」という逆説的な現実を示しています。パッチ未適用・MFA未導入・接続ログの未監視という基本的な対策の欠如が、深刻な被害につながるパターンが繰り返されています。
対策の核心は「ファームウェアの迅速な更新」「MFAの必須化」「ゼロトラストの考え方」「バックアップの徹底」という、地味ながら確実な基本事項の実践です。高価なセキュリティ製品を導入する前に、これらの基本が守られているかどうかを確認することが、最も費用対効果の高いセキュリティ投資です。
個人ユーザーにとっても、企業のVPN被害事例から学べる教訓はあります。VPNを「入れれば安心」ではなく「適切に管理し続けるもの」として捉え、信頼できるサービスを選び、最新の状態に保つという姿勢が、VPNを本当の意味でセキュリティツールとして機能させます。
コメント