ランサムウェアの被害が増加しています。感染経路で目立つのは、VPNとリモートデスクトップです。VPNはリモートでの作業に便利で、採用している企業・団体は少なくありません。ネットワークにつないで業務を行う限り「絶対安全」にはならないですが、リスクを減らすためにVPN環境を見直してみましょう。

VPNは狙われやすい

アサヒグループホールディングスが、ランサムウェアの被害を受け、VPN（Virtual Private Network）を廃止すると発表しました。ランサムウェアの侵入経路は明確にしていないのですが、「グループ内の拠点にあるネットワーク機器を経由」「VPN接続を廃止」と言っていることから、VPNから侵入した攻撃であったことは間違いないといわれています。

警視庁が発表している「令和7年上半期におけるサイバー空間をめぐる脅威の情勢について」によると、ランサムウェアの感染経路はVPNとリモートデスクトップが大半で、全体の84％を占めているとあります。

参考：警察庁｜令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について

VPNは、トンネリングと呼ばれる仮想の通信経路を作る技術を用いて、インターネット接続を行います。トンネリング内で行われる通信は、外部の通信を遮断可能なうえ、通信内容を暗号化、認証を行い、セキュリティ対策として利用されることもあります。

セキュリティレベルが高い印象があるにもかかわらず、サイバー攻撃のターゲットにされやすいのは、脆弱性の放置や設定の不備、認証情報の漏えいなどがあるからです。

アサヒグループホールディングスが被害にあったランサムウェア攻撃グループ「Qilin」はVPNの脆弱性を突いた攻撃を繰り返しています。

VPNの種類

攻撃を防ぐために、まずはVPNにどういう種類があるのかを復習しておきましょう。

インターネットVPN

インターネット上に仮想ネットワーク環境を構築する方法で、インターネットに接続できればVPN対応ルーターに接続するだけと、簡単に導入できるのがメリットです。

その反面、インターネット回線が混んでいるときは通信速度が低下したり、オープンな回線を使うために不正アクセス、データの漏えいなどのリスクがあったりというデメリットも生じます。

インターネットVPNは、さらに2種類に分類されます。

SSL-VPN：SSL技術を採用した接続方式で、インターネット上で暗号化したデータを送受信します。
IPsec-VPN：IPsec技術（IPパケットを暗号化する技術）を用いた接続方法です。専用ソフトのインストール、設定が必要ですが、IPパケット単位でのデータ改ざんリスクを検知できます。

IP-VPN

閉域ネットワークを使用した接続方式で、通信事業者が提供しています。

帯域保証型回線を使うので、一定の通信速度が保証されます。デメリットは導入コストが高い傾向にあることです。

エントリーVPN

ブロードバンド回線に、閉域ネットワークを構築する方法です。低コストながら、インターネットVPNよりも不正アクセス、データ漏えいなどのリスクを低減できます。

通信量が多いときは速度が遅くなりますが、光回線に対応したエントリーVPNを選べば、通信品質が保たれます。

広域イーサネット

IP-VPNが使用できるプロトコルがIPに限定されるのに対して、広域イーサネットはIPのほか、RIPやOSPFなど多様なプロトコルに対応できます。

通信品質とセキュリティ性が高いことがメリットですが、導入、運用コストが高く、ネットワーク設定も高度になります。

VPNを安全に使うには

上記4つの種類では、インターネットVPN方式のセキュリティが低いため、ほかの方式を選ぶほうが安全です。

どんなに対策を講じても、VPNは絶対に安全とはいえません。VPNを辞めてZTNA（Zero Trust Network Access：ゼロトラスト・ネットワーク・アクセス）に置き換えている企業・団体もあります。

とはいえ、脱VPNしたくともすぐにほかの方法に変えられないなどの理由で、VPNを利用する企業・団体はまだまだあります。

絶対安全とはいえないことも踏まえつつ、VPNのリスクを減らすための対策を考えていきます。

システムのアップデート

VPNの脆弱性を突いた攻撃は、ゼロデイ攻撃（脆弱性が発見された日から、修正用のパッチが公開されるまでの期間に行われる攻撃）とも限りません。

既知の脆弱性があるにもかかわらず、システムのアップデートが遅れている場合などに、狙われてしまうことがあるのです。

多要素認証の導入

アスクルのランサムウェア被害は、VPNからではありませんが、業務委託先に付与していたID、パスワードが漏えいしたことから攻撃者に侵入を許すことになってしまいました。

VPNの認証も同様に、ID、パスワードが盗まれてしまったら容易に攻撃をしかけられてしまいます。

多要素認証を導入し、不正アクセスを防ぎましょう。

通信手段と端末のセキュリティ

大切なのは、VPNまわりだけではありません。各端末のセキュリティが甘かったり、フリーWi-Fiの利用があったりすると、そこからVPNへの攻撃につながります。

ルールの徹底

従業員に対してセミナーなどを行い、VPN使用ルールを徹底しましょう。

シャドーITの禁止、IDとパスワードの管理（特に外でアクセスするときは、画面を覗かれないようにするなど）といった対策をすべての従業員に当事者意識を持って行ってもらいます。

アウトソーシング

自社にIT専門スタッフが少ないなどで、セキュリティが万全ではない場合は、セキュリティ専門の会社にアウトソーシングするのも一つの手です。

関連記事：フォーティネット（FortiGate）がSSL-VPNのサポートを終了その先にある現実解とは？
https://hypervoice.jp/ssl-vpn-end

関連記事：なぜVPN機器の脆弱性は管理しづらいのか？～課題と対策を実例から探る～
https://hypervoice.jp/VirtualPrivateNetwork

関連記事：増えるランサムウェア攻撃に多い侵入経路と対策は？
https://hypervoice.jp/ransomware-entry-points

まとめ

ランサムウェアの侵入経路はVPN、リモートデスクトップで84％を占める
VPNには、比較的セキュリティの高い種類、低い種類がある
「絶対安全」はないが、できるだけの対策を行う