テレワークや社外からのアクセスに欠かせないVPNですが、近年の大規模なランサムウェア被害の多くは、このVPN機器の脆弱性や認証情報の窃取を起点としています。VPN機器の脆弱性対策を怠ると、そこを起点とした情報漏洩（VPN情報漏洩）につながる恐れもあります。この記事では、VPN脆弱性対策の基本的な考え方と、企業が今すぐ確認すべきポイントを解説します。
なぜVPNが狙われるのか
VPNは社外から社内ネットワークへ直接アクセスできる「入口」です。そのため、攻撃者にとっては一度突破すれば社内の広い範囲にアクセスできる、非常に価値の高い標的になります。具体的には、次のような手口が報告されています。
- VPN機器のソフトウェアに存在する脆弱性を悪用し、外部から直接侵入する（OpenVPNなど特定のVPNソフトウェアの既知の脆弱性が悪用されるケースもあります）
- フィッシングやダークウェブ経由で盗まれたID・パスワードを使い、正規の利用者としてVPN経由でログインする（実際の漏洩事例はID・パスワード漏洩の実例と対策で紹介しています）
- 侵入後、VPNを踏み台に社内サーバーへ横展開し、ランサムウェアを展開する（多要素認証がどこまで防げるかはランサムウェア対策としての多要素認証｜防げる経路と防げない経路で解説しています）
VPN脆弱性対策の基本
1. VPN機器のファームウェア・ソフトウェアを常に最新に保つ
VPN機器メーカーが脆弱性情報を公表した際は、速やかにパッチを適用します。古いバージョンを使い続けることが、既知の脆弱性を突かれる最大の原因です。
2. ID・パスワードのみに依存しない
VPN機器自体の脆弱性対策だけでは、盗まれたID・パスワードによる正規ログインは防げません。VPN接続時にも多要素認証を導入し、パスワードが漏洩しただけでは接続できない状態にすることが重要です。詳しくは 多要素認証（MFA）とは？の解説記事をご覧ください。VPNを突破された場合の最後の防御線として、接続先のWindows PC・サーバー側の OSログインの2要素認証まで導入しておくと、より安全です。
3. 不要なVPNアカウントを棚卸しする
退職者・異動者や、既に利用していない委託先のVPNアカウントが残っていないか、定期的に確認します。使われていないアカウントは、攻撃者に悪用されても気づきにくい危険な抜け道になります。
4. アクセスログを監視する
普段と異なる時間帯・地域からのVPN接続がないか、ログを定期的に確認する体制を整えます。異常なログインを早期に発見できれば、被害を最小限に抑えられます。
取引先経由のVPN侵入にも注意
自社のVPNだけでなく、取引先や委託先のVPNが踏み台にされるケースも増えています。こうした サプライチェーン攻撃への対策も、VPN脆弱性対策とあわせて確認しておくとよいでしょう。VPN経由の侵入は、その後 ランサムウェア被害に発展した例が目立ちます。
よくある質問
Q. なぜVPNが攻撃者に狙われるのですか？
A. VPNは社外から社内ネットワークへ直接アクセスできる「入口」です。そのため、攻撃者にとっては一度突破すれば社内の広い範囲にアクセスできる、非常に価値の高い標的になります。
Q. VPN機器を最新版に保っていれば安心ですか？
A. 十分ではありません。VPN機器自体の脆弱性対策だけでは、フィッシングやダークウェブ経由で盗まれたID・パスワードによる正規ログインは防げないため、VPN接続時にも多要素認証を導入することが重要です。
Q. 自社のVPNだけ気をつければ大丈夫ですか？
A. 自社のVPNだけでなく、取引先や委託先のVPNが踏み台にされるサプライチェーン攻撃も増えています。VPN経由の侵入は、その後ランサムウェアの被害に発展した例が目立ちます。あわせて対策を確認しておくとよいでしょう。
まずは自社のVPN・認証状況を確認する
自社のVPN接続がID・パスワードのみに依存していないか、多要素認証が導入されているかは、現状の運用によって異なります。applippliの無料棚卸しでは、10問・約3分で、外部からのアクセスを含むID・パスワードの運用状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。限られたリソースでの優先順位の付け方は 中小企業がやるべき不正アクセス対策チェックリストも参考になります。