VPNの脆弱性対策｜中小企業が今やること：機種と版の確かめ方、注意喚起の探し方、侵入を疑うときの手順

01この記事でわかること（3行まとめ）

• ランサムウェアの入口は、VPN機器が最も多い。警察庁の統計では、令和3〜7年に入口が分かった485件のうち293件がVPN機器でした。中小企業も同じように狙われています。
• まず「機種」と「版」を知る。機器のラベルや管理画面、保守の会社の書類で確かめ、JPCERT/CC・JVN・メーカーの注意喚起と照らし合わせます。
• 更新・アカウント整理・多要素認証・ログ・入れ替えの5つ。サポートが終わった機器は修正版が出ないので、入れ替えるしかありません。入られた疑いがあれば、電源を切らずに相談します。

02そもそもVPN機器って何？なぜ狙われるの？

VPN機器は、社外から会社のネットワークに安全に入るための「通用口」の装置です。自宅や出張先のパソコンから社内のファイルサーバーや業務システムを使うとき、この装置が「本当に社員か」を確かめて、通信を暗号化してつないでくれます。VPNそのものは守るための仕組みです。

問題は、この通用口がいつもインターネットに向けて開いていることです。社員がいつでも外からつなげるように、24時間、世界中から届く場所に置かれています。警察庁は、今のランサムウェアの手口について「VPN機器等のインターネットに露出した箇所から、攻撃者が遠隔操作で未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用してネットワーク内部に侵入する手口が多くを占めています」と説明しています。

たとえるなら、会社の通用口の鍵が古い型のまま、合鍵が出回っていることに気づかずにいるような状態です。正面玄関（メールやウェブサイト）をいくら固めても、通用口から入られてしまいます。しかも通用口を通った人は「社員」として扱われるので、中で動き回っても気づかれにくいのです。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの8位に「リモートワーク等の環境や仕組みを狙った攻撃」が入っています。IPAは、リモートワーク用の端末やVPN機器などが標的になりやすく、脆弱性や設定ミス、総当たりや盗んだアカウント情報の悪用で社内に入られる、と書いています。

03数字で見る：ランサムウェアの入口は半分以上がVPN機器

警察庁は毎年、ランサムウェアの被害に遭った企業・団体にアンケートを取り、どこから入られたかをまとめています。統計データ（Excel）の数字を写すと、次のとおりです。

令和3〜7年の5年分を合わせると、入口が分かった485件のうち293件がVPN機器でした。メールの添付ファイルから入られたものは24件だけです。警察庁は令和8年上半期の報告書で「侵入経路はVPN機器が約５割を占める状況である」と書いています。IPAは同じ警察庁の数字をもとに、VPN機器とリモートデスクトップを合わせた割合が2022年の80.4％から2025年の87.0％へと上がっているとまとめています。

狙われているのは大企業だけではありません。令和8年上半期のランサムウェア被害の報告123件のうち、79件が中小企業でした。さらに、被害に遭った組織のうち、修正パッチ（脆弱性を直す更新）の状況を答えた29件中17件に「未適用のセキュリティパッチがあった」とされています。直せるはずの穴が開いたまま入られた例が多い、ということです。ほかの数字は警察庁の上半期統計の記事にまとめています。

リモートデスクトップ（社外から社内のパソコンを画面ごと操作する仕組み）も2番目に多い入口です。こちらの守り方はリモートデスクトップを狙う攻撃の記事で扱います。

04どうやって入られるのか：公的機関が挙げる4つのすき

入り方の細かい手順はここでは書きません。守る側が知っておくべきなのは、公的機関が挙げている次の4つの「すき」です。

1. 直していない脆弱性

VPN機器のソフト（ファームウェア）に欠陥が見つかると、メーカーが修正版を出します。修正版を当てていない機器は、外から勝手に操作されるおそれがあります。2026年もJPCERT/CCは、NetScaler、F5 BIG-IP、Palo Alto Networks、Check Point、Cisco などのネットワーク機器について、相次いで注意喚起を出しています。10月には、修正版が出る前から悪用されていたIvanti Connect Secure の脆弱性も公表されました。

深刻度が「中くらい」とされた脆弱性でも安心はできません。9月に公表されたデジタル庁のGSSの件では、VPN機器の脆弱性から侵入されており、デジタル庁のQ&Aによると、悪用された脆弱性は、当初公表されていた評価では「中（CVSS値Mediumレベル）」でした。

2. 漏れたID・パスワード、簡単なパスワード

脆弱性がなくても、正しいIDとパスワードがあれば入れてしまいます。JPCERT/CCは2026年6月23日、FortiGateなどに関連する認証情報（ログインのための情報）が漏えいしたとされる事案、通称「FortiBleed」について注意喚起を出しました。海外のセキュリティ会社が、86,644台以上の機器のログイン情報を含むデータベースを確認したとしており、JPCERT/CCは国内企業に関連する情報が含まれていることを確認しています。

8月に公表された両毛システムズの件では、外部の第三者がVPNのアカウントを悪用して社内ネットワークに入ったと発表されています。警察庁は、初期パスワードや「password」「qwerty」「12345678」のような簡単な文字列を避けるよう呼びかけています。

3. 設定の不備

管理画面をインターネットから開ける状態にしている、使わない機能を有効のままにしている、といった設定のすきも狙われます。IPAは、管理インターフェースは外部に公開せず、不要なサービスやポートは止めるよう勧めています。

IPAはもう一つの危険として、乗っ取られたVPN機器がほかの組織を攻撃するための中継点（ORB）として使われるおそれも指摘しています。自社の被害だけでなく、知らないうちに攻撃の片棒を担がされることもあるのです。

4. つないでいる相手の機器

JPCERT/CCは FortiBleed の注意喚起で、被害組織の一部でIPsec VPNのトンネルへのログインが確認されたとしています。そのうえで、拠点や取引先とサイト間VPNで常につなぎ、相手側を「信頼できる範囲」として設定している組織では、相手側の侵害された機器を起点に被害が及ぶ可能性があると書いています。自社の機器が無事でも、つないでいる先の機器が古ければ、そこが入口になります。グループ会社や取引先とVPNでつないでいるなら、相手側の機器の版と更新の状況もお互いに確かめ合ってください。

05自社のVPN機器の機種と版の確かめ方

対策の出発点は、「何という機種の、どの版が動いているか」を知ることです。これが分からないと、注意喚起が出ても自社に関係があるのか判断できません。次の順に確かめます。

1. 機器そのものを見る：社内のラックや事務所の棚にある機器の前面・底面のラベルで、メーカー名と型番を控えます。VPN専用の装置のほか、UTM（複数の守りを1台にまとめた機器）やルーターがVPNの役目を兼ねていることもあります。
2. 管理画面で版を見る：多くの機器は、管理画面にログインした最初の画面や「システム情報」のような画面に、ファームウェアの版（バージョン）が表示されます。画面の名前は機種や版によって違うので、メーカーの説明書で確かめてください。
3. 保守の会社の書類を見る：導入した販売店やSIerの納品書、保守契約書、設定の記録に、機種と版が書かれていることがあります。分からなければ、保守の会社に「VPNに使っている機器のメーカー・型番・今のファームウェアの版・最後に更新した日」を文書で出してもらいます。
4. 一覧にして残す：メーカー、型番、版、設置場所、管理している人（会社）、保守の期限、サポート終了日を表にします。拠点どうしをVPNでつないでいる場合は、相手側の機器も書きます。

総務省の「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）」でも、社内にリモートアクセスするためのVPN機器などには、メーカーサポートが終了した製品を使わず、最新のセキュリティアップデートを適用することが求められています。一覧があれば、この確認がすぐにできます。総務省は、ヤマハのVPNルーターなど、テレワークでよく使われる製品の設定解説資料も公開しています。

06メーカーの注意喚起の見つけ方

機種と版が分かったら、その機種に関係する注意喚起が出ていないかを確かめます。見る場所は主に次の4つです。

• JPCERT/CCの「注意喚起」：国内で特に急いで対応が必要なものが載ります。2026年の一覧には、NetScaler（3月・8月・9月）、F5 BIG-IP（3月・9月）、Palo Alto Networks の PAN-OS（5月）、Check Point（6月）、Fortinet製品に関連する認証情報の漏えい（6月）などが並んでいます。メーリングリストやRSSで新しい情報を受け取れます。
• JVN（脆弱性対策情報ポータル）：JPCERT/CCとIPAが共同で運営する、日本の製品も含めた脆弱性情報の窓口です。10月28日にもヤマハの YMS-VPN8 などの脆弱性が掲載されています。製品名で探せます。
• メーカーのセキュリティ情報のページ：たとえばヤマハは、ルーターなどの脆弱性情報を「FAQ for YAMAHA Router Series / Security」にまとめ、UTX200/UTX100 のVPNに関する脆弱性なども載せています。自社の機器のメーカー名と「セキュリティ」「脆弱性」「PSIRT」などの言葉で公式ページを探し、ブックマークしておきます。
• CISAの「悪用が確認された脆弱性の一覧（KEV）」：米国の機関が「実際に悪用された」と確認した脆弱性の一覧です。英語ですが、製品名で検索できます。ここに載ったものは最優先で直します。KEVに載った例はFortiGateやFortiMailの件にまとめています。

IPAの「重要なセキュリティ情報」にも、VPN機器などの脆弱性が載ることがあります。IPAは2025年10月31日、VPN機器などのネットワーク境界の機器で深刻な脆弱性が相次いでいるとして、まとめての注意喚起を出しています。注意喚起は「見た人が動く」ことで初めて役に立ちます。誰が見て、誰に知らせ、いつまでに更新するかを決めておいてください。

07すぐやる対策5つ

1. ファームウェアを最新の修正版にする
2. 使っていないアカウントを消す
3. 多要素認証（MFA）を入れる
4. ログを確認し、残す設定にする
5. サポートが終わった機器は入れ替える

1. ファームウェアを最新の修正版にする

警察庁は「主要な侵入経路であるＶＰＮ機器は速やかな対応が必要です」とし、更新ファイルやセキュリティパッチが公開されたら速やかに適用するよう求めています。JPCERT/CCも、インターネットから接続できる機器で深刻な脆弱性が公開された場合は、迅速に対策や回避策を適用するよう勧めています。更新の前には、今の設定を保存しておきます。すぐ更新できないときは、メーカーが示す回避策を当て、更新の日を決めます。

注意したいのは、更新したら終わりではないことです。修正版を当てる前にすでに入られていた場合、盗まれたパスワードや仕込まれた仕組みは残ります。更新のあとに、次の2〜4もあわせて行います。

2. 使っていないアカウントを消す

退職した人、異動した人、昔の保守用、テスト用のアカウントが残っていないかを確かめ、使っていないものは消します。JPCERT/CCは、業務上不要なものは利用を停止し、侵害が疑われる認証情報は変更するよう書いています。FortiBleed の注意喚起では、「forticloud」「fortiuser」「fortinet-support」のような、意図しないアカウントが追加されていないかを調べるよう案内しています。見覚えのない管理者アカウントがあれば、消す前に保守の会社に相談してください（調査の手がかりになるためです）。

3. 多要素認証（MFA）を入れる

パスワードだけでは、漏れたら終わりです。多要素認証は、パスワードに加えてスマホのアプリなど別の確認を求める仕組みです。警察庁は多要素認証などの強固な認証手段と、IPアドレスなどによるアクセス制限の組み合わせを勧めています。IPAは、FIDO／FIDO2（パスキーなど）の利用も挙げています。VPNの利用者だけでなく、機器の管理者のアカウントにも必ずかけます。パスワードは長く、ほかで使っていないものにします。

4. ログを確認し、残す設定にする

警察庁は、ネットワーク機器や端末のログ（いつ・誰が・何をしたかの記録）は調査の重要な手がかりになるとして、日ごろから取得しておくよう勧めています。総務省のチェックリストも、オフィスに接続するときのアクセスログを集めること、端末と接続先の時刻を合わせることを挙げています。見方は次の節で説明します。

5. サポートが終わった機器は入れ替える

サポートが終わった機器には、新しい脆弱性が見つかっても修正版が出ません。IPAは、サポートが終了している古い機器は更新または廃棄を検討するよう求め、10大脅威の解説書でも「サポート切れやメンテナンスが行えない機器の使用を避ける」としています。メーカーのページで「サポート終了日」「EOL」を確かめ、近いものは予算を取って入れ替えを計画します。

あわせて：外から見える入口を減らす

IPAは、ASM（Attack Surface Management。インターネットから見える自社の機器やサービスを洗い出す取り組み）で公開状況を把握し、不審な中継通信を見張るよう勧めています。JPCERT/CCも、業務上不要なものは利用を停止するとしています。昔テレワーク用に急いで置いた機器、試しに開けたままの設定、使わなくなった拠点の回線など、「誰も覚えていない入口」がないかを保守の会社と一緒に洗い出します。脆弱性診断のサービスには、外から見える機器を調べるものもあります。

08ログで何を見ればいい？

「ログを見る」と言われても、何を見ればいいか分からないものです。公的機関の注意喚起や実際の事例から、中小企業でも見やすい点を挙げます。

• 普段と違う時間・場所からのログイン：深夜や休日の接続、海外など社員がいるはずのない場所からの接続。JPCERT/CCは、正規の利用では想定されないIPアドレスからの管理者アクセスがないかを確認するよう案内しています。
• 失敗の多いログイン：同じアカウントへの失敗が続く、多数のアカウントに少しずつ失敗が出る、といった動きです。
• 設定の変更や書き出し：誰も触っていないのに設定が変わっている、設定ファイルが書き出されている。JPCERT/CCは FortiGate について、管理画面のログで設定の書き出し（エクスポート）の履歴を確かめる方法を紹介し、可能なら正常時の設定と今の設定を比べるよう勧めています。
• 1つのアカウントが短い時間に大量のファイルを開く：デジタル庁の件は、保守運用担当者のアカウントでサーバー上の大量のファイルへのアクセスが行われたのを検知したことで発覚しました。

ログは機器の中に少しの期間しか残らないことが多いので、外部の保存先に送って残す設定にします。自社で見続けるのが難しければ、監視を外部に任せるSOC・MDRのサービスもあります。

09侵入が疑われるときにやること（この順番で）

1. 電源は切らずに、記録を残す：警察庁は、調査に必要なログなどが消えることがあるとして、パソコンやネットワーク機器の電源を落とさないよう案内しています。画面の写真を撮り、気づいた時刻と内容をメモします。
2. 保守の会社・社内の責任者に知らせる：VPN機器の設定や切り離しは、機器を管理している会社と相談しながら行います。
3. 切り離せるものは切り離す：JPCERT/CCは、切り離せるものはすぐにネットワークから隔離するとしています。VPNを止めると在宅の社員が仕事できなくなるため、誰が・いつ止めるかを責任者が決めます。
4. パスワードを変え、セッションを切る：警察庁は、アクセスされた可能性がある機器のパスワードを速やかに変えるよう求めています。JPCERT/CCは、不審な操作・アカウント・プロセスやセッションの有無を調べ、状況に応じてパスワード変更やセッションのリセットを検討するとしています。
5. 社内のほかの機器も調べる：VPN機器から先に入られている前提で考えます。FortiBleed の注意喚起では、VPN機器が連携しているActive Directory（社内のID管理）で不審な動きがないかも確かめるよう求めています。
6. 警察・IPA・JPCERT/CCに相談・届出する：次の節の窓口に連絡します。個人データが漏れたおそれがあれば、個人情報保護委員会への報告も必要です。

ファイルが暗号化された、脅迫文が出ている、という段階なら、ランサムウェアに感染したら最初の1時間でやることの手順に移ってください。調査を頼む先は事故対応・フォレンジックの会社の一覧で探せます。

10VPNをやめる選択肢：ゼロトラスト型の接続

VPNは「一度中に入れば社内のどこへでも行ける」作りになりやすいのが弱点です。IPAは、シンクライアント、VDI（仮想デスクトップ）、ZTNA（ゼロトラスト・ネットワーク・アクセス）などの「セキュリティに強いリモートワーク環境」の採用を勧めています。

ゼロトラストは、「社内だから安全」と考えず、使う人と端末をそのつど確かめて、必要なシステムにだけつなぐ考え方です。インターネットに向けて開いた通用口を置かずに済む製品もあります。10月には国内でもVPN機器を置かない接続サービスの提供が始まりました。いきなり全部を置き換える必要はありません。今のVPNを更新しながら、つなぐ先を絞るところから始められます。サービスはゼロトラスト・SASEの一覧と法人VPN・リモートアクセスの一覧で比べられます。

11保守の会社に任せている会社が確認すること

• 機種と版を報告してもらう：メーカー・型番・ファームウェアの版・最後に更新した日を文書でもらい、年に数回は更新してもらいます。
• 注意喚起が出たときの連絡と期限：誰が注意喚起を見て、何日以内に連絡し、何日以内に更新するかを契約で決めます。
• 保守用アカウントの扱い：保守の会社が使うアカウントにも多要素認証をかけ、使う時間帯や接続元を絞ってもらいます。
• ログの保存先と期間：どこに、何日分残っているかを確かめます。
• サポート終了日と入れ替えの計画：いつまで修正版が出るのか、入れ替えの見積もりはいつ出すのかを聞きます。

デジタル庁は再発防止として、脆弱性管理の強化や外部からの接続環境の見直しを進めるとしています。保守を任せていても、「任せている内容」を自社が知っていることが大切です。取引先から対策を求められたときの考え方は取引先から対策を求められたときのページにあります。

12困ったときの相談先

• 警察：最寄りの警察署または都道府県警察のサイバー犯罪相談窓口。警察庁は、通報・相談・情報提供を受け付ける全国共通のオンライン窓口も設けています。
• IPA「企業組織向けサイバーセキュリティ相談窓口」：インシデントが起きたときの初動について助言し、対応する専門業者の一覧を紹介します（調査や解析そのものは行いません）。メールで相談を受け付けています。不正な侵入やその形跡があったときは、IPAのウイルス・不正アクセスの届出窓口にも届け出られます。
• JPCERT/CC「インシデント対応依頼」：ウェブのフォームから、事故の対応について相談できます。
• 保守の会社・販売店：IPAは、個別のシステムや環境についての質問は、機器を調達したベンダーや保守事業者、販売店などの契約先に問い合わせるよう案内しています。

相談先を一枚にまとめて、すぐ見られる場所に貼っておくと、いざというときに慌てずに済みます。中小企業向けのお助け隊サービスは、相談窓口と駆けつけをまとめて頼めます。

13よくある質問