警察庁の報告では、ランサムウェアの侵入経路の約5割が VPN の機器だった。VPN の機器は社内と社外の境目に置かれ、インターネットに出ているため狙われる。悪用が確認された VPN 関連の製品と、IPA・警察庁・JPCERT/CC などが挙げる対策を表にした。
- 警察庁の報告では、ランサムウェアの被害を受けた組織への調査で、侵入経路の約5割が VPN の機器だった（2026年上半期）。インターネットに出ている所から遠隔で入る手口が多く、メールの添付ファイルからの感染は減っているとしている
- VPN の機器は社内と社外の境目に置かれ、インターネットに出ている。IPA は、こうした境目の機器で深刻な脆弱性が続けて報告され、実際に悪用された例もあるとしている
- 被害を受けた日本の会社が、どのメーカーの VPN を使っていたかは、読んだ公式の資料には書かれていない。JPCERT/CC は、Fortinet の製品に関わる認証情報の漏えいに「国内企業に関連するもの」が含まれていたとしている
1. 会社で VPN が使われる場面（各資料の記述から）
| 場面 | 何をつなぐか | 資料に書かれていること |
|---|---|---|
| テレワーク | 社員の家と会社 | 急いで作ったテレワークの環境の不備が、侵入経路の一つになった（2021年、内閣サイバーセキュリティセンター） |
| 拠点の間 | 本社と支店・工場・海外拠点 | 拠点の間を VPN で常時つないでいると、相手側の機器が乗っ取られたとき、そこから侵害が及ぶおそれがある（JPCERT/CC） |
| 社外から社内への入口 | インターネットと社内のネットワーク | VPN の機器は社内と社外の境目にあり、インターネットに出ている（IPA、警察庁） |
2. VPN の機器が入口になる理由
| 理由 | 資料に書かれていること | 資料 |
|---|---|---|
| 直していない脆弱性 | 修正していない脆弱性が侵入に使われる | 警察庁 |
| 漏れた・簡単な ID とパスワード | 漏れた認証情報、簡単なパスワードが使われる | 警察庁 |
| 設定の不備 | 設定の不備が使われる | 警察庁 |
| 乗っ取られると中継の拠点にされる | 乗っ取られた機器が、ほかの組織への攻撃の中継に使われる（ORB 化）。長く潜まれるおそれもある | IPA |
| 社内の認証情報まで盗まれる | 乗っ取られた VPN の機器を経由して、社内の Windows の認証情報まで盗まれた事例がある | JPCERT/CC |
3. 悪用が確認された VPN 関連の製品（2025年〜2026年。メーカーと米国 CISA の資料から）
| メーカー | 製品 | 関わる機能 | 弱点の中身 | 悪用 |
|---|---|---|---|---|
| Fortinet | FortiOS など | 管理画面に、Fortinet のクラウドのアカウントで入る機能（FortiCloud SSO。VPN の接続そのものではない） | 本人確認の知らせが本物かを確かめておらず、パスワード無しで管理画面に入れる。管理画面から機器をサポートに登録すると、スイッチを切らない限りこの機能が入る作りだった | 確認あり（メーカー） |
| Palo Alto Networks | PAN-OS | 利用者の確認をするポータル | 認証なしで、機器の最上位の権限でプログラムを動かせる | 限定的な悪用を確認（メーカー） |
| Cisco | Secure Firewall ASA・FTD | VPN のウェブサーバー | 外からプログラムを動かせる弱点と、権限の確認の欠如 | 確認あり（CISA） |
| Citrix（Cloud Software Group） | NetScaler ADC・Gateway | Gateway（社外からの接続） | 認証なしで任意の命令を動かせる | 確認あり（CISA） |
| Check Point | Security Gateway | 古い方式（IKEv1）のリモートアクセス VPN | 正しいパスワードなしで VPN の接続を張れる | 数十の組織が標的。1件はランサムウェアの関与（メーカー） |
| WatchGuard | Firebox | Mobile VPN・拠点の間の VPN（IKEv2） | 認証なしで任意のプログラムを動かせるおそれ | 確認あり。ランサムウェアでの使用も（CISA） |
| Array Networks | ArrayOS AG（SSL VPN のゲートウェイ） | — | OS の命令を差し込める | CISA の一覧に掲載 |
4. VPN の機器の対策
| 対策 | 挙げている資料 |
|---|---|
| 修正（パッチ）を速やかに当てる | 警察庁、IPA、JPCERT/CC、国家サイバー統括室、各メーカー |
| サポートの切れた古い機器を入れ替える | IPA |
| 管理画面をインターネットに出さない。使っていない機能・ポートを止める | IPA、JPCERT/CC、国家サイバー統括室、Palo Alto Networks、Fortinet |
| 多要素認証を使う（特に VPN） | 警察庁、JPCERT/CC、国家サイバー統括室 |
| ID・パスワードを強くし、入れ替える。初期のままや簡単なものを使わない | 警察庁、JPCERT/CC |
| IP アドレスや地域で接続を制限する | 警察庁、JPCERT/CC、Palo Alto Networks |
| ログを取り、見覚えの無い管理アカウントや設定の書き出しの跡が無いか確かめる | 警察庁、JPCERT/CC |
| すでに入り込まれていないか調べる | JPCERT/CC、警察庁 |
| ネットワークを分け、権限を最小にして、乗っ取られたときの広がりを抑える | IPA、JPCERT/CC、警察庁 |
| バックアップと、事業を続ける計画、訓練 | 警察庁、IPA |
修正を当てても、すでに盗まれた ID とパスワードは残る。JPCERT/CC は Fortinet の件で、修正に加えて認証情報の入れ替えと、侵害されていないかの確認を求めている。
確かめた一次資料
- 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について ↗
- ランサムウェア被害防止対策 ↗
- VPN機器等に対するORB（Operational Relay Box）化を伴うネットワーク貫通型攻撃のおそれについて ↗
- Fortinet製品に関連する認証情報の漏えいに関する注意喚起（JPCERT-AT-2026-0019） ↗
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030） ↗
- ランサムウエアによるサイバー攻撃に関する注意喚起 ↗
- 悪用が確認された脆弱性の一覧（Known Exploited Vulnerabilities Catalog） ↗
- FG-IR-25-647（FortiCloud SSO の認証回避） ↗
- CVE-2026-0300 PAN-OS の脆弱性 ↗
- IKEv1 の VPN の脆弱性の修正についてのブログ ↗
- WGSA-2025-00027 ↗
この記事は、上の一次資料の原文を読んで書いています。数字は原文のとおりで、計算した値はそう書いています。