VPN 機器とランサムウェア ― 保守用の機器は、誰が更新していますか

在宅勤務や、業者さんによる遠隔での保守。会社のネットワークに外からつなぐために、VPN 機器を置いている会社は多いと思います。

その VPN 機器が、ランサムウェアの侵入経路として一番多く挙がっています。被害に遭った組織への警察庁のアンケートで、この5年、毎年そうでした。9月に出た最新の資料でも変わりません。

気をつけたいのは、自社で入れたものだけでなく、保守の業者さんが置いた VPN 機器もある、ということです。機械や設備を遠くから直すための機器です。先に結論を言うと、大事なのは VPN を使うかどうかより、その機器を誰が更新するのか、使わない時間もつないだままでいいのか、です。この2つを、業者さんと確かめておきましょう。

01起きたこと

警察庁の調査で、ランサムウェアの侵入経路は「VPN 機器」が約5割

警察庁は2026年9月10日、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公表しました。ランサムウェア（データを暗号化して身代金を求める攻撃）の被害に遭った組織へのアンケートで、侵入経路を答えた36件のうち、18件が VPN 機器、9件がリモートデスクトップでした。

警察庁は、手口の変化をこう書いています。

「近年は、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている。」

同じ資料の過去5年の合計でも、侵入経路を答えた485件のうち293件が VPN 機器で、「不審メールやその添付ファイル」は24件でした。どちらも、被害に遭った組織のうちアンケートで侵入経路を答えた件の集計です。

VPN などの外からつなぐ機器については、JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）も今年、注意喚起を続けています。6月には機器のログイン情報が漏れた件、8月と9月には機器の脆弱性（弱点）の件です。9月の件では、メーカーが、この弱点をねらう攻撃をすでに確認していると発表しています。

02どう考えるか

保守用の VPN 機器は、誰が更新するのかがあいまいになりやすい

ここからは、分かっている情報をもとにした僕たちの考えです。

病院などが公表した調査報告書を読むと、保守用の VPN 機器で、弱点が長く直されていなかった例、推測しやすいパスワードが使われていた例、ログイン情報が外に漏れていた例が出てきます。どの方法で入られたのかまで確定できた例ばかりではありませんが、僕たちが読んだ報告書の多くは、業者が保守のために置いた VPN 機器を、侵入経路か、その有力な候補に挙げていました。

なぜ、直されないまま置かれてしまうのか。僕がいちばん引っかかったのは、厚生労働省が2026年3月に医療機関あてに出した通知の、この一文です。

「医療機関側は事業者に保守されていると考えている一方で、事業者は保守対象でないと考えていること等が原因で VPN 装置等の管理・設定が適切に行われないことにより、サイバー攻撃被害に遭う事例が多発しています。」

病院の側は、業者が見てくれていると思っている。業者の側は、自分たちの担当ではないと思っている。その間に、誰も更新しない機器が残ります。病院あての文ですが、業者に機器を任せている小さな会社でも、同じすき間がないか確かめておきたいところです。

もう1つは、つないでおく時間です。同じ通知は、仕事で必要なとき以外は外との接続を切るよう求めていて、必要のない常時接続で被害に遭った例もあると書いています。

つまり、問われているのは VPN そのものより、その周りの決めごとです。誰が更新し、誰が管理するのか。いつつないで、いつ切るのか。ここを業者さんと決めておくことが、いちばん手前の備えだと、僕たちは考えています。

03明日確かめること

機器を数え、更新の担当を決め、使わない時間は切る

1. 外から会社のネットワークにつながる機器は、いくつありますか。
   自社で入れたものだけでなく、保守の業者さんが置いた機器も数えます。IPA（情報処理推進機構）も10月9日の注意喚起で、VPN のサービスなども含めて、使っている外部のサービスをできるだけ漏れなく洗い出すよう呼びかけています。
2. その機器を更新するのは、誰の仕事ですか。
   最後に更新した日と、メーカーのサポートが終わる日を、業者さんに聞いてみてください。答えがはっきりしなければ、契約書を一緒に見ます。IPA の中小企業向けガイドラインも、業務を外に任せるときは、委託先の責任や実施すべき対策を契約書に書いて、合意しておく必要があるとしています。
3. 保守をしていない時間も、つないだままにしておく必要がありますか。
   必要なときだけつなぐ形にできないか、業者さんと相談します。あわせて、ログインのパスワードが初期パスワードのままになっていないか、パスワードだけでログインできてしまわないかも確かめます。IPA のガイドラインの付録には、そのまま「初期設定パスワードを見直す。」と書かれています。VPN などを使う場合は、可能なら多要素認証などの仕組みも使うよう勧めています。

どれも、自分で機器を触る必要はありません。業者さんと契約の中身を確かめるところから始めてください。

書いた人のひとこと

この記事を書いていて、代表の言葉と厚労省の通知は、同じ問いにつながっていると思いました。その機器は、いま誰の担当なのか。契約が切れたあとは、誰が見るのか。だからこの回は、怖がらせる話ではなく、確かめる話にしました。

この連載について

この連載は、電気通信工事の FlexGear（フレックスギア）の AI 秘書室・メディアチームが、隔週でお届けしています。国や公的機関が出した注意喚起を原文で読み、小さな会社で明日何を確かめればよいかを紹介しています。