and secure企業のためのセキュリティ情報

トップ ＞ 最近の攻撃の解説 ＞ VPN 機器からの侵入

VPN機器からの侵入とは｜最近の事例と中小企業の対策

最終更新 2026年11月2日

VPN 機器やファイアウォールを入口にした侵入の手口を、警察庁・IPA・JPCERT/CC の最新の発表と2026年の注意喚起・事例からまとめます。中小企業が確かめたい対策のチェックリスト付き。

VPN 機器からの侵入とは

VPN（仮想専用回線）は、社外から社内のネットワークへ安全につなぐための仕組みです。テレワークや拠点の間の通信、保守の会社からの接続などに使われ、その出入口になるのが VPN 機器（ファイアウォールや UTM に VPN の機能が入ったものを含みます）です。

VPN 機器はインターネットに向けて常に開いているため、修正していない脆弱性や、漏れた ID・パスワードがあると、攻撃者がそこから社内に入り込めます。警察庁は、VPN について「管理不備やぜい弱性を突かれると、暗号化を突破され、ランサムウェアの侵入経路となり得る」と説明しています（警察庁、2026年9月10日）。

IPA の「情報セキュリティ10大脅威 2026」（2026年1月29日）では、組織編の8位が「リモートワーク等の環境や仕組みを狙った攻撃」（2021年から6年連続）、4位が「システムの脆弱性を悪用した攻撃」です。VPN 機器を入口にする攻撃は、この2つにまたがります。

最近の手口（公的機関の発表から）

ランサムウェアの侵入経路の約5割が VPN 機器 警察庁が2026年9月10日に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェアの被害報告は123件で、半期として統計を取りはじめてから最多でした。被害組織へのアンケートでは、侵入経路は VPN 機器が約5割を占めています。被害企業の約6割は中小企業です。警察庁は、攻撃者が未修正の脆弱性や漏えいした認証情報を悪用して侵入し、管理者の権限を奪い、データを盗んでから暗号化すると説明しています。ランサムウェアの全体の流れは「ランサムウェアとは」にまとめています。

脆弱性を突く：修正版が出る前後に悪用される VPN 機器・リモート接続の機器では、2026年も深刻な脆弱性の注意喚起が続いています。

時期 製品 JPCERT/CC などの発表
2026年5月 Palo Alto Networks の PAN-OS（CVE-2026-0265） Cloud Authentication Service を有効にしていると認証を回避されるおそれ。詳しい解説で、GlobalProtect（VPN）の認証を回避して接続できることが示された
2026年9月 F5 BIG-IP APM（CVE-2026-94127） 特定の構成で、認証なしにリモートからコードを実行されるおそれ。侵害を調べる方法も示された
2026年9〜10月 NetScaler ADC・NetScaler Gateway（CVE-2026-88771・88772 ほか） 認証なしにリモートからコードを実行されるおそれ。開発元が悪用を確認し、回避策はなし。VPN の仮想サーバーでは、影響する DTLS が初めから有効
2026年10月 WatchGuard Fireware OS（CVE-2026-93857 ほか17件） 7件が重大（Critical）。Access Portal など、使っている機能によっては認証なしに攻撃されるおそれ。悪用は把握されていない（速報）

修正版が出た脆弱性も、当てるまでは攻撃の対象です。脆弱性を突く攻撃の全体は「ゼロデイ攻撃・脆弱性を突く攻撃とは」にまとめています。

盗まれた ID・パスワードで入る JPCERT/CC は2026年6月23日、Fortinet の FortiGate などに関わる認証情報が漏えいしたとされる事案（通称「FortiBleed」）について注意喚起を出しました。国内の企業に関わる情報も含まれていることを確かめたとしています。Fortinet は、新しい脆弱性によるものではなく、過去のインシデントで取られた情報の再利用が主な原因との見解です。

この注意喚起で大事なのは次の点です。

  • 漏れた認証情報が使われると、VPN 機器への不正アクセスから社内のネットワークへ侵入が広がるおそれがある
  • FortiGate の設定ファイルには管理者のパスワードのハッシュが入っており、設定ファイルを取られると、機器に直接触れなくてもパスワードを解読されるおそれがある
  • 侵害した機器を通して、社内の Windows のドメインの認証情報まで盗まれた事例がある。VPN 機器の対処だけでは足りず、社内の Active Directory の不審な動きも確かめるよう求めている

つまり、脆弱性を修正したあとでも、その前に盗まれた ID・パスワードや設定がそのままなら、入られる道は残ります。

国内の事例（会社の発表から）

  • ワシントンホテル：2026年9月7日の最終報で、ランサムウェアの侵入の起点は外部接続機器を経由した不正アクセスだったと公表しました。機器の種類は公表されていません（速報）
  • そのほか、VPN 機器に関わる速報は、このページの下の「VPN 機器からの侵入の最近の事例」と「これまでの記事」に並んでいます

中小企業の対策（チェックリスト）

警察庁・IPA・JPCERT/CC の呼びかけをもとに、中小企業が確かめたい点を並べます。

持っている入口を知る

  • 社外からつながる機器（VPN 機器・ファイアウォール・UTM・リモートデスクトップの入口）の製品名・型番・ファームウェアの版の一覧を作る
  • 保守の会社やリース会社が置いた機器、子会社・海外拠点・支店の機器も一覧に入れ、誰が更新するかを決める
  • サポートが終わった機器や、使っていない VPN の機能（SSL-VPN・Access Portal など）を洗い出し、止めるか入れ替える

修正版を早く当てる

  • JPCERT/CC の注意喚起と、使っている機器の会社のセキュリティのお知らせを、担当を決めて週に1回は見る
  • 「悪用を確認」とされたものは、ほかの作業より先に修正版を当てる。すぐ当てられないときは、発表元の回避策（機能を止める・接続元を絞る）を使う
  • 修正版を当てる前に攻撃されていないかを、発表元が示す痕跡（不審なファイル・アカウント・ログ）で確かめる

ID・パスワードを守る

  • VPN の接続に多要素認証を付ける。ID とパスワードだけで入れる状態をなくす
  • 退職者・異動した人・保守の会社の使っていないアカウントを消す
  • 機器の管理画面をインターネットから開けないようにする（社内からだけ、または接続元を絞る）
  • 脆弱性の修正や認証情報の漏えいの知らせがあったときは、修正版を当てたあとに管理者と利用者のパスワードを変える

入られたときに気づく・広げない

  • VPN 機器の接続の記録（いつ・どこから・どのアカウントで）を、上書きで消えない量と期間で残す
  • 夜間・休日・海外からの接続など、ふだんと違う接続を見る担当を決める
  • VPN から入れる範囲を、仕事に必要なサーバーだけに絞る
  • バックアップを社内のネットワークから切り離して持ち、戻せるかを試しておく

被害にあったら

  • 広げない：攻撃されたおそれのある VPN 機器・サーバーをネットワークから切り離す。ログや記録を消さないよう、初期化する前に記録を残す
  • 入口をふさぎ直す：修正版を当て、VPN と管理者のアカウントのパスワードを変え、多要素認証を付ける。社内の Active Directory のアカウントも確かめる
  • 相談する：IPA の「企業組織向けサイバーセキュリティ相談窓口」「不正アクセス特別相談窓口（事業者向け）」、JPCERT/CC の「インシデント対応依頼」
  • 警察に相談する：都道府県警察のサイバー事案の相談窓口
  • 個人情報保護委員会に報告する：不正アクセスで個人データが漏えいした、またはそのおそれがある場合は、件数にかかわらず報告と本人への通知が必要です

出典

VPN 機器からの侵入の最近の事例

これまでの記事