企業を狙うサイバー攻撃は年々巧妙化していますが、2024年の警察庁発表によれば、法人組織に対する侵入経路の約47%がVPN機器を経由していることが明らかになっています。企業におけるVPN（Virtual Private Network：仮想プライベートネットワーク）は、リモートアクセスの要として業務継続の重要な役割を果たしていますが、その一方でセキュリティホールになりがちな機器でもあります。

実際、FortinetやPulse Secure、Ivantiといった大手ベンダーのVPN機器は、近年複数回にわたって脆弱性を突かれる「ゼロデイ攻撃」の対象になっています。こうした事例の多さは、「VPN機器の脆弱性は管理が難しい」という現実に直結しています。

では、なぜVPN機器は管理が難しいのでしょうか。そして、どのようにすれば効果的に対処できるのでしょうか。

管理を難しくする3つの課題

VPN機器の管理が難しい理由として、以下の3つの課題が挙げられます。

1.管理責任の所在が曖昧

VPN機器に限らず、ネットワーク機器の管理・保守は情報システム部門が直接運用している場合もあれば、Sierに運用を委託しているケースもあります。しかし、その契約内容に「パッチ適用」や「セキュリティ診断」が含まれていない場合もあり、パッチ適用の責任者が不明瞭になりがちです。

さらに、複数の部署が関与している場合、「誰がやるべきだったのか」が曖昧なまま時間だけが過ぎていくという状況も散見されます。

2.資産管理が難しい

VPN機器は長期間稼働していて現場に設置されたままのことが多く、棚卸し対象から漏れやすい資産だと言われています。特に、支社や工場などの拠点単位で独自に導入されたVPN機器などは、セキュリティ統制の盲点になりやすいです。

Shodan(*1)などの機器やサービスを検索できる検索エンジンを使えば、インターネットに公開されたVPN機器を特定することは可能ですが、自社の全IPレンジや公開ポートが正確に把握されていなければ、検出にも限界があります。

(*1) Shodan
Shodan（ショーダン）は、インターネットに公開されている機器やサービスを検索できる検索エンジンです。いわば「IoT機器やサーバのGoogle」と呼ばれることもあります。
Shodan公式サイト：https://www.shodan.io/

3. パッチ適用がリスクになりうる

VPN機器のアップデートは手動作業が多く、Windowsのように自動更新はできません。また、アップデートには再起動や一時的な通信断が必要なことも多く、業務への影響を恐れて適用が先延ばしにされる傾向があります。

この「適用したくても適用できない」という状況が、パッチの適用遅延を慢性化させてしまうのです。

実際に発生したVPN機器への攻撃事例

VPN機器への攻撃は、特定のベンダー製品を狙うことも多いと言われています。以下のような報告があります。

Fortinet FortiOS（CVE-2022-42475）

Fortinet製VPN機器に存在したバッファオーバーフロー脆弱性は、国家系攻撃者によってゼロデイで悪用されました。内部ネットワークの侵害やデータ窃取に用いられ、後にFortinet社が緊急アップデートを公開しましたが、多くの企業がパッチ適用に数週間を要しました。

Ivanti（旧Pulse Secure）VPN脆弱性

2021年以降、IvantiのPulse Secureにも深刻な認証回避やRCEの脆弱性が多数報告され、米国の政府機関や医療機関などが被害を受けました。特に古い機種の“放置”が攻撃の入口となり、使っていないつもりの機器が危険な「裏口」となっていたことが明らかになりました。

また、ランサムウェア攻撃の入り口として、VPN機器が悪用されるケースも多数報告されています。

株式会社イズミ

2024年2月、社内サーバへの侵入が検知され、ランサムウェア攻撃の対象となりました。調査の結果、VPN機器を狙ってサーバが攻撃を受けていたことが判明しています。基幹系システムなどネットワークに繋がっている全システムが一時的に停止し、攻撃の影響で発注などの商品管理ができない状態になっています。さらに、バックアップサーバにまでランサムウェアの暗号化の被害が及んでおり、社内システム・サービスの全復旧までに約3ヶ月を要しました。

岡山県精神科医療センター

2024年5月、岡山県精神科医療センターのシステムがランサムウェアに感染し、システムの共有フォルダに保存されていたデータが流出する事件がありました。最大4万人分の患者情報、会議の議事録などが流出し、ダークウェブに掲載されていたことも明らかになっています。

4つの柱で考えるVPNセキュリティ

VPNのセキュリティ対策は、4つの柱で考えることが大切です。

1.機器インベントリの整備

もっとも大切なのは、管理すべきVPN機器がいくつあり、どこに設置されているのかといった「拠点ごとの現地確認や設定収集でVPN機器を洗い出す」という作業です。IPアドレスレンジと機器の対応表を整備し、定期的な見直しを行うことも重要です。

2.管理責任の明確化

自社か委託かを整理し、委託する際には契約書に「パッチ適用の責任範囲」や「障害時対応」を明記することが大切です。また、自社で管理する場合には、社内の管理体制図に機器ごとの運用責任者を定め、いざという時の連絡方法などを確立しておくことをお勧めします。

3.パッチ適用の計画と冗長構成

システム停止や通信断の懸念がパッチ適用の遅延を招きがちであるため、冗長構成の導入を検討することをお勧めします。メンテナンス時間の確保、パッチ検証環境の整備、チェックリスト運用で適用の負担を軽減可能です。ただし、コストがかかるため、すべての企業でできる方法ではありません。

4.多層的な検知・防御体制の構築

残念ながら、VPN機器にはEDRを導入できません。そのため、ログ監視やNDR/SIEMによる挙動検知を併用し、さらにMFA（多要素認証）の導入によって、アカウント乗っ取りのリスクを低減することを検討しましょう。XDR製品による攻撃兆候の早期検知も有効です。

ゼロデイの現実とAPT攻撃の高度化

しかしながら、どれだけ対策しても、ゼロデイ攻撃などのサイバー攻撃を完璧に防ぐことは難しいのが現実です。2025年に報告されたAPT攻撃事例「Water Gamayun」では、Windowsの.mscファイルを悪用するゼロデイ（CVE‑2025‑26633）が使われ、企業内ネットワークへの静かで巧妙な侵入が行われました。これは「VPNの更新をサボっただけで感染する」というレベルの話ではなく、「更新していても狙われる」時代に突入したことを意味します。

また、ますます高度化しているAPT攻撃（Advanced Persistent Threat）にも警戒が必要です。「Advanced（高度な）」検知されにくい高度な技術で、「Persistent（しつこい）」長期間潜伏する「Threat（脅威）」は、非常に重要なデータやシステムを狙ったサイバー攻撃のプロフェッショナルによる攻撃と言われています。

VPN機器の脆弱性管理は、単なる技術的作業ではありません。それは、「資産管理」「契約設計」「運用体制」「情報共有」「緊急時対応」といった複数の業務が連携して機能しなければ成立しません。VPNが攻撃対象の「入口」だとするならば、それを取り巻く管理体制全体をセキュアに整備しなければ、防御の意味は薄れてしまいます。

つまり、今後はVPN機器だけにとどまらず、システム全体で「先制防御」を意識した設計が求められていると考えるべきです。今こそ、「VPNの脆弱性対策」という局所的な課題を超え、「ネットワーク防御の設計全体”を見直す」という視点を持つべきでしょう。

関連記事：サイバー脅威を防止、検知する「脅威インテリジェンス」とは？
https://hypervoice.jp/threat_intelligence

まとめ

VPN機器のパッチ適用は、システム停止や通信断を伴うことが多いため遅延しがち
管理責任の明確化や資産管理、運用体制の確立が重要
サイバー攻撃はますます高度化しているため、多層的な検知・防御態勢の構築を検討すべき