blog
AIブログ
VPNの脆弱性とは？仕組み・種類別の弱点、攻撃手口6分類と対策【2026年】
文：クリスタルメソッド編集部 監修：河合 継（代表取締役）
結論：VPNの脆弱性対策で最初に着手すべきこと
VPN機器・ルーター・ファイアウォールなど外部に公開している機器の脆弱性を突く侵入とは、インターネットから直接届く機器の未修正の欠陥や弱い認証を入口にして社内ネットワークへ入り込む攻撃である。
警察庁が令和8年1月に公表したリーフレット「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」によれば、ランサムウェア被害企業への調査で侵入経路はVPN機器62.2%、リモートデスクトップ22.2%であり、この2経路だけで約84%を占める（警察庁リーフレット、令和8年1月）。同調査では、VPN機器を利用している組織の52%が最新パッチを未適用と回答している。
対策の要点は三つある。第一に、外部に公開している機器を棚卸しして、悪用が確認された脆弱性から先に修正すること。第二に、多要素認証を入れ、使っていないIDを削除すること。第三に、ログとバックアップを取り、侵入されても早く気づいて広げない体制を作ることである。AIは、外部公開資産の洗い出し（ASM）や、侵入後の不審な通信の検知を速くする補助であり、パッチ適用・多要素認証・ログ取得といった基本対策が前提になる。
VPNで弱いパスワードを狙われるときは、ブルートフォース攻撃の手口と対策で説明しています。
VPNとは：仕組みと種類別の弱点
VPN（Virtual Private Network）は、インターネットや事業者の回線の上に、仮想の専用線（トンネル）を作り、通信を暗号化して社内ネットワークへつなぐ仕組みだ。仕組みは、「誰が接続するのかを確かめる（認証）」「通信を暗号化して送る」「社内の宛先へ転送する」の3つの働きでできている。VPN機器はその入口に置かれる。入口が公開されているため、機器の欠陥と認証の弱さが、そのまま攻撃の足がかりになる。
VPNには種類があり、使い方と、気をつける点が違う。NISTの資料は、IPsecを使う方式とSSLを使う方式のどちらを選ぶかが設計の分かれ目になること、SSL VPNはWebブラウザが対応するSSLを使うため、利用者に特別なソフトを入れさせなくてよいことが魅力であると説明している。NIST SP 800-113 IPsecはネットワーク層で通信を保護する方式である。NIST SP 800-77 Rev.1
| 種類 | 仕組み・使われ方 | 弱点・気をつける点 | 根拠・自社での確認点 |
|---|---|---|---|
| SSL-VPN（インターネットVPN） | SSL/TLSで暗号化する。社外から利用者単位で社内につなぐ使い方が多い。ブラウザだけで使えるものもある | 機器がインターネットに公開されるため、機器の未修正の欠陥を直接狙われる。接続できるアカウントの権限が大きいと、入られた後に広がる | Ivanti Connect Secureの事例で、CISAはSSL VPN接続を特権のないアカウントだけに限定するよう示しているCISA AA24-060BIT trend |
| IPsec-VPN（インターネットVPN） | ネットワーク層で暗号化・認証・改ざんの検知を行う。特定のアプリに依存せず、拠点間の接続に向く | 暗号方式・認証方式・鍵の管理など設計と運用に専門知識が要り、設定を誤ると保護が不十分になる。リモートアクセスでは端末ごとの設定や証明書の管理の負担が増える | Check Point製VPNの脆弱性は、IKEv1を使い、機器の証明書を求めない構成が対象だったJPCERT/CC JPCERT-AT-2026-0016IT trend |
| IP-VPN・広域イーサネット（通信事業者の閉域網） | 通信事業者の閉域網を使い、インターネットを通らずに拠点間をつなぐ | インターネットから分離される点が保護の特徴だが、費用が高くなりやすい。閉域網にいても、つながる各拠点の機器や端末の管理は利用者側で必要になる（考え方） | IT trend 閉域網でも、入り口が外にある拠点やリモート保守の機器は、別途の点検が必要だ |
どの方式でも、「入口の機器の更新」「認証の強化」「入られた後の見張り」の3つは共通して必要になる。次に、攻撃者が入口をどう破るのかを見ていく。
次に読む：多要素認証の突破の手口とAIで防ぐ方法は？
なぜVPNの脆弱性は狙われるのか：5つの理由
VPNは、社外から社内ネットワークへ入るための「入口」だ。攻撃者から見ると、入口を一つ破れば社内に入れるため、効率のよい標的になる。公的な資料から、狙われやすい理由を整理する。
| 理由 | 何が起きるか | 根拠 |
|---|---|---|
| インターネットから直接届く場所にある | 外部から見つけやすく、修正されていない機器が攻撃の対象になる | CISA BOD 26-02 |
| 破られると社内に入れる | VPN機器から入り、認証情報を盗み、基幹システムまで広がる | 大阪急性期・総合医療センター調査報告書（2023年3月28日） |
| 修正が遅れやすい | VPN機器を利用する組織の52%が最新パッチを未適用 | 警察庁リーフレット（令和8年1月） |
| 誰が管理するのかが曖昧になりやすい | 設置した事業者と使う側で保守・脆弱性管理の分担が決まらず、放置される | 大阪急性期・総合医療センター調査報告書 |
| 認証が弱いことがある | 社外からの業務アクセスがID・パスワードのみの組織が39.8% | 警察庁リーフレット（令和8年1月） |
警察庁の調査では、ランサムウェア被害企業の侵入経路はVPN機器が62.2%と最多だった。VPNを使うこと自体が悪いのではなく、入口の機器の管理が追いついていない点が狙われている。
機器の脆弱性のほかに、認証を破る攻撃も同じ入口に向かう。ID・パスワードの総当たりや、流出した認証情報の使い回しはブルートフォース攻撃の解説、多要素認証をすり抜ける手口は多要素認証の突破の解説で扱っている。VPNの入口は、機器の更新と認証の強化の両方で守る必要がある。
VPNの脆弱性を突く侵入の流れ：Ivantiの事例から
CISAはエッジデバイスを「組織のネットワーク境界にあり、公衆インターネットから到達できるすべての機器」と定義している。ファイアウォール、ルーター、VPNゲートウェイ、IoT機器、インターネットに公開されたサーバーなどが含まれる（CISA BOD 26-02、2026年2月5日）。
下図は、CISAがIvanti Connect Secureの事例をもとに整理した侵入の典型的な流れである（CISA AA24-060B、2024年2月29日）。
この攻撃フローが成立する条件は、機器のパッチ未適用・弱い認証・設定の不備の組み合わせである。手口の種類を以下の表に整理する。
| 手口 | 代表的な事例・根拠 | 出典 |
|---|---|---|
| 未修正の既知の脆弱性の悪用 | Ivanti Connect Secure（CVE-2023-46805等）、NetScaler ADC/Gateway、Cisco SD-WAN Managerで修正済み脆弱性の悪用を確認 | CISA AA24-060B；JPCERT/CC Weekly Report 2026年10月7日号 |
| 認証の弱さ・設定の不備の悪用 | Check Point製VPN（CVE-2026-50751）：IKEv1使用・機器証明書未要求の構成が対象。遅くとも2026年5月7日には悪用が観測 | JPCERT/CC JPCERT-AT-2026-0016（2026年6月10日） |
| サポート終了（EOS）機器の放置 | CISAはEOSエッジデバイスへの脅威は「大きく、常に存在する」と指摘 | CISA BOD 26-02（2026年2月5日） |
| 公開されたシステム全般への既知脆弱性の探索 | JPCERT/CCは、WebサービスやAPIを含む公開システムに既知脆弱性を探索する試みと、設定ファイル・バックアップファイルの窃取を試みる例を確認 | JPCERT/CC JPCERT-AT-2026-0030（2026年10月8日公開・10月9日更新） |
警察庁も、ランサムウェアの侵入口の例としてVPN機器などインターネットに露出した箇所を挙げている（警察庁「ランサムウェア被害防止対策」、2026年10月時点で閲覧）。
VPN機器への攻撃手口6分類：認証を破る手口と機器を破る手口
VPN機器への侵入の手口は、認証を破るもの（ブルートフォース、パスワードスプレー、フィッシング）と、機器そのものの弱点を突くもの（設定不備、既知の脆弱性、ゼロデイ）に大きく分けられる。MITRE ATT&CKは、VPNやCitrixなど外部に公開したリモートサービスの悪用を、初期侵入の手口（T1133）に分類し、有効なアカウントが必要になるため、認証情報をフィッシングなどで入手すると説明している。MITRE ATT&CK T1133
| 手口 | 何をしているか | 事例・根拠 | 主な対策 |
|---|---|---|---|
| 1. ブルートフォース | 1つのアカウントに、よくあるパスワードの一覧などを使って、何度もログインを試す | SSH、RDP、SMB、SSO、Office 365などが標的になる。1時間に300回超の試行を行う例があるMITRE ATT&CK T1110.001 | 失敗が続いたときのロックアウト、多要素認証、パスワードのルールの見直し。ロックアウトを厳しくしすぎると業務が止まる |
| 2. パスワードスプレー | 1つのよくあるパスワードを、多数のアカウントへ順に試す。ロックアウトを避けられる | 失敗の記録が少なくなるよう、試行間隔を空ける例もあるMITRE ATT&CK T1110.003 | 多要素認証、接続元の制限。検知では、1つのIPから多数のアカウントへの失敗や、同じパスワードによる失敗の集中を見る |
| 3. フィッシング・認証情報の流用 | 偽のメールやサイトで利用者のID・パスワードを盗む。流出したIDの使い回しも使う | つるぎ町立半田病院の事例では、同じ脆弱性で漏れた認証情報のID・パスワードが変更されていなかった半田病院調査報告書MITRE ATT&CK T1566 | 利用者への教育（フィッシングの見分け方）、多要素認証、漏れた可能性のあるIDの変更 |
| 4. 設定不備 | 設定の甘さをそのまま使って入る | Check Point製VPN（CVE-2026-50751）は、IKEv1を使い機器証明書を求めない構成が対象。半田病院は、VPN装置への接続元IPアドレスの制限がなく、資格情報があればインターネットから接続できたJPCERT/CC半田病院調査報告書 | 接続元の制限、使わない機能の停止、ベンダーの案内にある設定への見直し |
| 5. 既知の脆弱性 | 修正プログラムが公開済みなのに未適用の欠陥を突く | 半田病院はFortinet社製VPN装置のCVE-2018-13379が放置されていた。Ivanti Connect Secureの事例でも悪用が確認されている半田病院調査報告書CISA AA24-060B | 機器の棚卸しと修正の適用。悪用が確認されたものを優先する。サポートが終わった機器は入れ替える |
| 6. ゼロデイ（公表前の悪用） | 修正がまだ無い、または公表前の欠陥を突く | Check Pointの脆弱性は、ベンダーの公表（2026年6月4日）より前の5月7日には悪用が観測されていたJPCERT/CC JPCERT-AT-2026-0016 | 修正だけでは間に合わない。機器の外側のログの観測、公開範囲の縮小、侵入後に広げない設計（権限の分離）で被害を抑える |
表の1〜3は「認証」、4〜6は「機器」の問題だ。認証の対策は多要素認証が共通して効くが、機器の欠陥を突く手口には、多要素認証だけでは足りない。Check Pointの事例のように、機器の認証そのものを回避される欠陥もある。どの手口が入口になったのかを、あとから確かめられるよう、ログを残しておく。
実際の被害事例：何が起きたか
抽象的な説明だけでなく、2025年以降に公表された具体的な事例を見ておく。
アサヒグループホールディングス（2025年9月〜）
2025年9月29日にランサムウェアが動作したことが確認されている。侵入はその約10日前、拠点のネットワーク機器からと公表されているが、VPN経由と明記はされていない。本社データセンターではパスワードの弱点を突かれて管理者権限を奪われ、営業時間外を中心に内部が探索された。
公表された再発防止策として、同社は次を挙げている：リモートアクセス用VPN機器の全面廃止、ゼロトラスト対応の専用端末への全PC移行、全PCとクラウドへのEDR強化、パスワード変更と権限管理の強化、ペネトレーションテストと脅威ハンティングの継続。個人情報の漏えいについては、2026年2月18日時点で従業員5,117件・取引先役員等110,396件（件数は記録件数）の漏えいを確認、2025年11月26日時点の漏えいのおそれは問い合わせ者152.5万件ほかと公表されている（アサヒグループホールディングス、2026年2月18日）。
この事例で注目すべきは、再発防止として修正の徹底にとどまらず、VPN自体の廃止とゼロトラスト型への移行が選ばれたことである。
大阪急性期・総合医療センター（2022年10月）：委託先のVPN機器から基幹システムまで
2022年10月31日、大阪急性期・総合医療センターでサイバー攻撃による大規模なシステム障害が発生した。調査委員会の報告書（2023年3月28日）によると、攻撃者は、給食事業者の給食システムに、リモート保守のために設置されたVPN機器の脆弱性を使って侵入した（漏洩したID・パスワードが使われた可能性もあるとされる）。給食事業者の端末から病院の給食サーバーの認証情報を盗んでRDPで病院側に入り、他サーバーの認証情報も盗んで電子カルテを含む基幹システムへ広がり、ランサムウェアに感染した。調査報告書概要（2023年3月28日）
電子カルテサーバーが再稼働したのは同年12月12日、診療機能が完全に復旧したのは翌年1月11日である。報告書は、VPN機器の保守や脆弱性管理の役割分担が曖昧で脆弱性が放置されていたこと、リモート保守の許可基準が曖昧でRDP接続が常時接続になっていたことを発生要因に挙げている。また、サーバーと端末で同じWindowsパスワードが使われていたことを、被害が広がった一因としている。自社の機器だけでなく、委託先が設置した機器も点検の対象になるという教訓だ。
つるぎ町立半田病院（2021年10月）：放置されたVPN装置の脆弱性
2021年10月31日の未明、つるぎ町立半田病院がサイバー攻撃を受け、電子カルテをはじめとする院内システムが使えなくなった。通常診療の再開は2022年1月4日である。有識者会議の調査報告書（2022年6月7日）は、メールや公開RDP、ソフトウェアの更新などの経路を検討した上で、リモート保守のために設置されたFortinet社製VPN装置（FortiGate 60E）が唯一の侵入経路と考えられると結論づけた。この装置は導入当初から更新されず、脆弱性CVE-2018-13379が放置されていた。有識者会議調査報告書（2022年6月7日）
報告書は課題として、脆弱性の管理をしていなかったこと、同じ脆弱性で漏洩した認証情報のID・パスワードを変更していなかったこと、VPN装置への接続元IPアドレスの制限を怠っていたこと（このため資格情報さえあればインターネットから接続できた）を挙げている。ログの裏付けは、インシデント後にファームウェアの更新などが行われたため取れていない。有識者会議調査報告書 大阪の事例と同じ脆弱性が、別の組織でも放置されていた例だ。
Check Point製VPN（CVE-2026-50751）
VPNのリモートアクセス／モバイルアクセスで認証を回避され、不正にVPN接続を確立されるおそれがある脆弱性。ベンダー公表（2026年6月4日現地時間）の前、遅くとも5月7日には悪用が観測されており、6月上旬に試行が増加した。JPCERT/CCは影響を受ける可能性のある製品が国内で広く使われていることを確認している（JPCERT/CC JPCERT-AT-2026-0016、2026年6月10日）。
修正公表前から悪用が始まっているという事実は、「公表されたら直す」という対応の限界を示している。AIを含む検知体制をいかに早く構築するかが問われる。
NetScaler ADC/GatewayおよびCisco Catalyst SD-WAN Managerでも、修正済み脆弱性を悪用した攻撃が確認されている（JPCERT/CC Weekly Report 2026年10月7日号）。関連する事例の動向についてはAIハッキングと情報漏洩の被害一覧も参照されたい。
2026年10月には、Cisco ASA・FTD のリモートアクセスSSL VPNに、認証なしで機器を再起動させられるおそれのある脆弱性（CVE-2026-76418）が見つかり、悪用の確認とCISA KEVへの掲載も行われた。影響するのは、SSL VPNが外部から到達できる状態で、トンネルグループにセカンダリ認証を設定している場合だ（CVE-2026-76418の解説）。
自社のVPN機器が影響を受けるかを確かめる手順
脆弱性の情報（CVE番号）が公表されても、それが自社の機器に当てはまるとは限らない。製品の種類や版数によって、影響を受けるかどうかが変わる。次の順に確かめる。
- 機器を洗い出し、版数を控える：VPN機器、ファイアウォール、ルーターについて、製品名・型番・OS（ファームウェア）の版数を一覧にする。委託先が設置・管理している機器も含める。大阪急性期・総合医療センターの事例では、委託先経由で設置された機器が入口になった。
- ベンダーの公式案内で対象の版かを見る：製品を出している会社が公表する脆弱性情報（アドバイザリ）で、対象の製品と版数を確認する。
- 悪用されているかを確認する：CISAのKEVカタログ（実際に悪用が確認された脆弱性の一覧）や、JPCERT/CCの注意喚起と照らし合わせる。悪用が確認されたものから先に直す。CISA KEVカタログ
- サポート期限を確認する：サポートが終わった機器は修正が出ないため、入れ替えが必要だ。CISA BOD 26-02
- 修正できないときの軽減策を探す：すぐに修正を適用できない場合は、ベンダーの案内にある回避策を検討する。Check Point製品の例では、IKEv1の無効化が軽減策として示されている。管理画面などインターネットに公開する必要がないサービスは止める。JPCERT/CC JPCERT-AT-2026-0016JPCERT/CC JPCERT-AT-2026-0030
- 侵害されていないかも並行して見る：Check Point製VPNの脆弱性は、ベンダーの公表（2026年6月4日）より前の5月7日には悪用が観測されていた。公表前から攻撃が始まっていた可能性があるため、修正後もログを確認する。
VPNの脆弱性への対策と導入の順番
以下は、警察庁・JPCERT/CC・CISAの公的機関の推奨を組み合わせた対応の順序案である。公的機関が示した推奨の順序を参考に整理したものであり、個別の環境によって優先度は異なる。
- 外部に公開している機器の棚卸し：EOS機器の把握を含む。CISAはBOD 26-02で、サポート終了のエッジデバイスについて棚卸しと廃止のフローを示している。公開が不要なサービス・管理機能は停止する（JPCERT/CC JPCERT-AT-2026-0030）。
- 修正の適用・MFAの導入：CISAはIvantiの事例で既知の悪用脆弱性を優先して24〜48時間以内の適用を推奨している。すぐに適用できない場合はIKEv1の無効化などの軽減策を検討する（JPCERT/CC JPCERT-AT-2026-0016）。多要素認証の導入と、異動で使わなくなったIDの削除も同時並行で進める（警察庁リーフレット）。
- ログの取得とバックアップ：警察庁は、被害調査に不可欠なログの取得と、オフラインを含むバックアップの取得を未然防止・拡大防止の両方で挙げている。
- 異常検知（NDR・EDR）の導入：VPN機器からの不審な通信や、営業時間外の管理者権限による探索行動を平常時の振る舞いと比較して検知する体制を整える。アサヒはEDRの全PCとクラウドへの強化を再発防止策として公表している。
- ゼロトラスト型への移行の検討：VPN機器への依存度を下げ、アクセスの文脈による判断に移行する方向性を中長期計画として持つ。
SSL VPN機器からの外向き通信は必要なサービスに限定し、SSL VPN接続を特権のないアカウントのみに限定する。ADやLDAP連携のバインドアカウントは低権限にする。露出した可能性のある認証情報は侵害済みとみなしてリセットを検討する（CISA AA24-060B）。
VPN機器のセキュリティ点検チェックリスト：教育・診断・運用まで
ここまでの内容を、自社で点検できる形にまとめる。警察庁のアンケートでは、社外からの業務アクセス時の認証が「ID・パスワードのみ」の組織が39.8%、「電子証明書」27.5%、「認証アプリ」23.2%、「ワンタイムパスワード」17.8%、「SMS認証」6.1%だった。また、事故対応マニュアルなどが未作成の組織が約4割（41.2%）ある。警察庁リーフレット（令和8年1月）
| 分類 | 確認する項目 | 根拠 |
|---|---|---|
| 機器 | VPN機器・ルーター・ファイアウォールを一覧にし、製品名・版数・サポート期限を控えているか。委託先が管理する機器も含めたか | CISA BOD 26-02大阪急性期・総合医療センター調査報告書 |
| 修正 | 悪用が確認された脆弱性（KEVカタログ）を優先して直しているか。サポートが終わった機器を入れ替えているか | CISA KEVカタログ |
| 認証 | 多要素認証を入れているか。異動や退職で使わなくなったIDを削除したか。パスワードを一定の長さ以上にしているか | 警察庁リーフレット |
| 接続の制限 | 接続元IPアドレスを限定したか。使わない管理機能・サービスを止めたか。VPN接続のアカウントの権限を小さくしたか | 半田病院調査報告書CISA AA24-060B |
| 従業員教育 | フィッシングを見分ける訓練を、VPNを使う全員に行っているか。パスワードを使い回していないか | MITREは、利用者が社会工学やフィッシングメールを見分けられるよう教育できると示しているMITRE ATT&CK T1566 |
| 専門家による診断 | 外部から見える自社の機器を定期的に洗い出しているか。実際に入れるかをペネトレーションテストで試しているか | 経済産業省はASM（外部公開資産の棚卸し）の導入ガイダンスを公表している。アサヒグループはペネトレーションテストと脅威ハンティングの継続を再発防止策に挙げた経済産業省 ASM導入ガイダンス |
| ログ・バックアップ | 被害調査に必要なログを取り、オフラインを含むバックアップを取っているか | 警察庁リーフレット |
| 事故への備え | サイバー攻撃を想定した事業継続計画（BCP）と、事故対応の手順を作ったか | 警察庁リーフレット |
診断は、年に1回などの定期点検と、重大な脆弱性が公表されたときの臨時の点検の2つに分けて考えるとよい。自社だけで行うのが難しい場合は、外部の専門家に診断を依頼する。診断の結果は、上の表の「機器」と「修正」の項目に反映させる。
侵入が疑われるときの最初の動き
VPN機器に不審な動きがあるときは、機器が出す「問題なし」の表示だけで安心しないことが大切だ。CISAはIvanti Connect Secureの事例で、ベンダー提供の整合性チェックツールの結果は過去の侵害を示す信頼できる指標ではないと明記している。攻撃者がファイルの上書きやタイムスタンプの改ざんで、機器をクリーンに見せかけたためだ。工場出荷時の状態にリセットした後も、攻撃者が残り続けた例も確認されている。CISA AA24-060B（2024年2月29日）
- ログを残す：被害調査にはログが欠かせない。機器の再起動や初期化の前に、ログを保全する。警察庁も、ログの取得を被害の拡大を防ぐ策として挙げている。警察庁リーフレット（令和8年1月）
- 露出した可能性のある認証情報をリセットする：CISAは、露出した可能性のある認証情報は侵害されたものとみなしてリセットを検討するよう示している。VPNの接続アカウント、AD・LDAPの連携アカウントが対象になる。
- 機器の外側の記録で確かめる：機器自身の点検結果だけに頼らず、ネットワークの通信記録や他のサーバーのログで、不審な通信や管理者権限の操作がないかを見る。
- バックアップを使える状態にしておく：オフラインを含むバックアップは、復旧の最後の手段になる。警察庁リーフレット（令和8年1月）
AIで補う方法：段階別の仕組みと限界
AIが有効な段階と仕組み
| 段階 | 仕組み・技術 | 何をするか | 限界・注意点 |
|---|---|---|---|
| 事前（入口を減らす） | ASM（アタックサーフェス管理） | インターネット側から見える自社のIT資産（VPN機器・ルーター・忘れられた検証機など）を継続的に洗い出し、機器の種類・バージョンから脆弱性の可能性を判定。AIが資産の突き合わせ・機器名の判別・リスクの順位付けを担う | 外部から見える情報だけでは「ありそう」かどうかしか判定できない。内部の実態までは把握不可 |
| 事前（直す順番を決める） | AIによる脆弱性優先順位付け | CISAのKEVカタログ（実際に悪用された脆弱性一覧）と自社の資産情報を突き合わせ、修正の優先順位を自動で付ける | 公表された脆弱性にしか効かない。ゼロデイ攻撃には無効 |
| 侵入後（早く見つける） | NDR・UEBA・AI SOC・EDR | VPN機器から社内への見慣れない通信、営業時間外の管理者アカウントによる探索行動（アサヒの事例で確認された動き）を、平常時の振る舞いとの差で検知。EDRは端末側で不審な動作を止める | 侵害を受けた機器自身の点検ツールでは見抜けない場合がある（後述）。機器の外側からの観測を併用する必要がある |
| 侵入後（広げない） | ゼロトラスト型アクセス制御 | 誰が・どの端末で・どこからアクセスするかの文脈を見て許可や遮断を判断。アサヒはVPN廃止とゼロトラスト対応端末への移行を再発防止策として公表 | 既存のVPN環境からの移行には計画とコストが必要 |
経済産業省は「ASM導入ガイダンス」（2023年5月29日取りまとめ）を公表しており、外部公開資産の自動棚卸しの考え方を整理している（経済産業省、2023年5月29日）。CISAのKEVカタログは「脆弱性管理の優先順位付けの枠組みへの入力として使うべき」とCISA自身が述べている（CISA KEVカタログ、2026年10月時点で閲覧）。
AIの限界：過信が生む死角
CISAはIvantiの事例で、ベンダー提供の整合性チェックツール（ICT）の結果は「過去の侵害を示す信頼できる指標ではない」と明記している。攻撃者がファイルの上書き・タイムスタンプの改ざん・ランタイムパーティションの再マウントで機器を「クリーン」に見せかけたためである（CISA AA24-060B）。AI検知にも同種の死角があり得る。機器の外側であるネットワーク・ログの観測を必ず併用する。
また、Check Pointの事例が示すように、ベンダー公表の前から悪用が始まるケースがある。AIによる優先順位付けは公表された脆弱性にしか機能しないため、ゼロデイ攻撃への対応は検知体制に頼らざるを得ない。サポートが終了した機器は修正が提供されないため、AIでは対応不可能であり、入れ替え以外に選択肢はない（CISA BOD 26-02）。
AIセキュリティ対策全体の考え方についてはAIセキュリティ対策の解説を参照されたい。
ほかの侵入の手口と対策
VPNの脆弱性を狙う侵入は、ほかの手口と組み合わせて使われることが多い。関係する手口の仕組みと対策は、それぞれの解説ページにまとめている。
| 手口（詳しい解説へ） | どんな攻撃か |
|---|---|
| サプライチェーン攻撃 | 委託先・取引先・OSS・クラウドなど、自社の外にあるつながりを経由して侵入する攻撃 |
| フィッシング | 本物そっくりのメールやサイトでID・パスワードを入力させて盗む手口 |
| 多要素認証の突破 | 承認通知の連打・中継型の偽サイト・SIMの乗っ取りで、2段階目の確認をすり抜ける手口 |
| ブルートフォース攻撃 | パスワードの総当たりや、流出したID・パスワードの使い回しを試してログインする攻撃 |
| ラテラルムーブメント | 侵入した後、社内ネットワークを横に移動して管理者の権限や重要なデータへ近づく行為 |
| 内部不正 | 社員・退職者・委託先が、与えられた権限を悪用して情報を持ち出す行為 |
| ビジネスメール詐欺（BEC） | 取引先や経営者になりすましたメールで、偽の口座へ送金させる詐欺 |
| DDoS攻撃 | 多数の機器から大量の通信を送りつけ、サイトやサービスを止める攻撃 |
手口全体の見取り図と、AIを使った対策の優先順位はAIセキュリティ対策の解説で扱っている。
よくある質問
VPN機器は危険なのか
危険というより、インターネットに公開されて狙われやすく、修正が遅れがちな点が問題である。警察庁のアンケートでは、ランサムウェア被害企業の侵入経路の62.2%がVPN機器であり、VPN機器を利用する組織の52%が最新パッチを未適用だった（警察庁リーフレット、令和8年1月）。
脆弱性が公表されたら、どれくらいの期限で直すべきか
CISAはIvantiの事例で、既知の悪用脆弱性を優先して24〜48時間以内の適用を推奨している。Check Pointの事例ではベンダー公表の前から悪用が観測されており（2026年5月7日）、公表を待って対応するだけでは間に合わない場合がある（JPCERT/CC JPCERT-AT-2026-0016）。
サポートが終わった機器はどうすればよいか
修正が提供されないため、入れ替えが必要である。CISAはEOSのエッジデバイスへの悪用の脅威は「大きく、常に存在する」としている（CISA BOD 26-02）。AIを含むいかなる検知ツールも、パッチがない機器の脆弱性そのものを解消することはできない。
多要素認証は必要か
警察庁のアンケートでは、社外からの業務アクセス時の認証方法としてID・パスワードのみとの回答が39.8%を占めた。警察庁は未然防止策として多要素認証の導入を明示している（警察庁リーフレット、令和8年1月）。認証の強化は、設定の不備を突く攻撃への直接的な対策になる。
VPNをやめるべきか
アサヒグループは再発防止策としてリモートアクセス用VPN機器の全面廃止とゼロトラスト型への移行を公表した。ただし、すべての組織が直ちにVPNを廃止する必要があるわけではない。使い続ける場合は修正の適用と多要素認証を徹底し、ゼロトラスト型への移行は計画を立てて進める。
参考文献
- 警察庁「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」（令和8年1月）
https://www.npa.go.jp/bureau/cyber/pdf/R7countermeasures_leaflet.pdf - NIST SP 800-113「Guide to SSL VPNs」（2008年7月）
https://csrc.nist.gov/pubs/sp/800/113/final - NIST SP 800-77 Rev.1「Guide to IPsec VPNs」（2020年6月）
https://csrc.nist.gov/pubs/sp/800/77/r1/final - MITRE ATT&CK T1133 External Remote Services・T1110 Brute Force・T1566 Phishing（2026年10月時点）
https://attack.mitre.org/techniques/T1133/ - IT trend「VPNとは」
https://it-trend.jp/vpn/article/48-0063 - つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議「調査報告書」（2022年6月7日）
https://www.handa-hospital.jp/topics/2022/0616/report_01.pdf - 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会「調査報告書 概要」（2023年3月28日）
https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf - 警察庁「ランサムウェア被害防止対策」（2026年10月時点で閲覧）
https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html - CISA BOD 26-02「Mitigating Risk from End-of-Support Edge Devices」（2026年2月5日）
https://www.cisa.gov/news-events/directives/bod-26-02-mitigating-risk-end-support-edge-devices - CISA「エッジデバイス向けガイダンス公表」（2025年2月4日）
https://www.cisa.gov/news-events/alerts/2025/02/04/cisa-partners-asds-acsc-cccs-ncsc-uk-and-other-international-and-us-organizations-release-guidance - CISA AA24-060B「Ivanti Connect Secure and Policy Secure Vulnerabilities」（2024年2月29日）
https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b - CISA KEVカタログ（Known Exploited Vulnerabilities Catalog）（2026年10月時点で閲覧）
https://www.cisa.gov/known-exploited-vulnerabilities-catalog - JPCERT/CC JPCERT-AT-2026-0016「Check Point製品における脆弱性（CVE-2026-50751）について」（2026年6月10日）
https://www.jpcert.or.jp/at/2026/at260016.html - JPCERT/CC JPCERT-AT-2026-0030「インターネット公開システムへの不正アクセスに関する注意喚起」（2026年10月8日公開・10月9日更新）
https://www.jpcert.or.jp/at/2026/at260030.html - JPCERT/CC Weekly Report 2026年10月7日号
https://www.jpcert.or.jp/wr/2026/wr261007.html - アサヒグループホールディングス「情報セキュリティインシデント」（2026年2月18日）
https://www.asahigroup-holdings.com/en/newsroom/detail/20260218-0101.html - 経済産業省「ASM（Attack Surface Management）導入ガイダンス」（2023年5月29日取りまとめ）
https://www.meti.go.jp/press/2023/05/20230529001/20230529001.html
AIの業務活用をご検討の方へ
クリスタルメソッドは、バーチャルヒューマンをはじめAIの開発・業務導入を支援しています。生成AI・AIエージェントの活用や、自社業務へのAI導入をご検討の際は、お気軽にご相談ください。
- 無料相談・お問い合わせ：ご相談はこちら
Read next
あわせて読みたい
-
ブルートフォース攻撃とは？手口の種類・国内事例と、対策の優先順位【2026年】
結論：ブルートフォース攻撃対策は「多要素認証」から始める ブルートフォース攻撃（総当たり攻撃）とは、ID・パスワードの組み合わせを機械的に大量に試し、ログインを...
-
多要素認証の突破とは？MFA疲労・AiTMの手口、事例と防ぐ方法【2026年】
結論：多要素認証の突破とは？手口と防ぎ方の要点 多要素認証（MFA）は、知識・所持・生体のうち2つ以上を示してログインする仕組みだ。パスワードが漏れても、第2の...
-
ラテラルムーブメントとは？手口・検知・対策をわかりやすく解説
ラテラルムーブメントとは？侵入後にネットワーク内で被害を広げる攻撃 ラテラルムーブメント（日本語では水平移動・横展開などと呼ばれる）とは、侵入に成功した攻撃者が...