テレワークや社外からのアクセスに欠かせないVPNですが、近年の大規模なランサムウェア被害の多くは、このVPN機器の脆弱性や認証情報の窃取を起点としています。VPN機器の脆弱性が残っていると、そこを起点とした情報漏洩（VPN情報漏洩）につながることもあります。また、社内のWi-Fi（無線LAN）も、VPNと同じく社内ネットワークへの入口です。この記事では、VPN脆弱性対策の基本的な考え方と、Wi-Fiで同じように確認したい点、企業が確認しておきたいポイントを解説します。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
なぜVPNが狙われるのか
VPNは社外から社内ネットワークへ直接アクセスできる「入口」です。そのため、攻撃者にとっては一度突破すれば社内の広い範囲にアクセスできる、非常に価値の高い標的になります。具体的には、次のような手口が報告されています。
- VPN機器のソフトウェアに存在する脆弱性を悪用し、外部から直接侵入する（OpenVPNなど特定のVPNソフトウェアの既知の脆弱性が悪用されるケースもあります）
- フィッシングやダークウェブ経由で盗まれたID・パスワードを使い、正規の利用者としてVPN経由でログインする（実際の漏洩事例はID・パスワード漏洩の実例と対策で紹介しています）
- 侵入後、VPNを踏み台に社内サーバーへ横展開し、ランサムウェアを展開する（多要素認証がどこまで効くかはランサムウェア対策としての多要素認証 効く経路・効かない経路で解説しています）
VPN脆弱性対策の基本
1. VPN機器のファームウェア・ソフトウェアを常に最新に保つ
VPN機器メーカーが脆弱性情報を公表した際は、速やかにパッチを適用します。古いバージョンを使い続けることが、既知の脆弱性を突かれる最大の原因です。
2. ID・パスワードのみに依存しない
VPN機器自体の脆弱性対策だけでは、盗まれたID・パスワードによる正規ログインは止められません。VPN接続時にも多要素認証を導入し、パスワードが漏洩しただけでは接続できない状態にすることが重要です。詳しくは 多要素認証（MFA）とは？の解説記事をご覧ください。VPNを越えられた場合に備えて、接続先のWindows PC・サーバー側の OSログインの2要素認証まで入れておくと、入口と社内の両方で確認が働きます。
3. 不要なVPNアカウントを棚卸しする
退職者・異動者や、既に利用していない委託先のVPNアカウントが残っていないか、定期的に確認します。使われていないアカウントは、悪用されても気づきにくい抜け道になります。
4. アクセスログを監視する
普段と異なる時間帯・地域からのVPN接続がないか、ログを定期的に確認する体制を整えます。異常なログインを早期に発見できれば、被害を最小限に抑えられます。
Wi-Fiも同じ：社内の無線LANも入口になる
VPNが「社外から社内へ」の入口なら、社内のWi-Fiは「建物の中や周りから社内へ」の入口です。Wi-Fiにつながれば、社内のPCやサーバーと同じネットワークに入れるため、VPNを突破されたときと同じ状態になります。次の点を確認します。
1. Wi-Fiルーター・アクセスポイントを最新に保つ
Wi-Fiルーターやアクセスポイントにも、VPN機器と同じように脆弱性が見つかり、メーカーから修正版が出ます。購入したまま一度も更新していない機器や、メーカーのサポートが終わった古い機器は、入口の弱点になります。
2. 共有のWi-Fiパスワードを見直す
社員全員で同じWi-Fiのパスワードを使い、何年も変えていない会社は少なくありません。退職者・来訪者・出入りの業者に知られたままなら、その人たちはいつでも社内のネットワークにつながれます。電波は駐車場や隣の建物にも届くため、建物に入らなくても接続できます。
3. 古い暗号化方式を使わない・来客用を分ける
WEPなどの古い暗号化方式は短時間で解読されます。WPA2以上（できればWPA3）を使い、来客用のWi-Fiは社内のネットワークと分けておきます。社内Wi-Fiの確認点は社内Wi-Fiの脆弱性と不正アクセスで詳しくまとめています。
VPN・Wi-Fiから入られた後に被害を1台で止める
VPN機器の脆弱性は、修正版が出る前に悪用されることもあります。Wi-Fiも同じで、機器の更新やパスワードの管理には漏れが出ます。入口の対策を続けたうえで、「VPNやWi-Fiから入られても、その先に進ませない」という備えを分けて考えておくことが大切です。
近年のランサムウェア被害では、攻撃者はVPN経由で社内に入った後、盗んだID・パスワードで社内のPCやサーバーに次々とログインし、最後にまとめて暗号化します。つまり被害の大きさを決めるのは、社内のPC・サーバーのログインがパスワードだけで通ってしまうかどうかです。各端末のログインに2つ目の要素があれば、VPNやWi-Fiから入られても次の端末に進めず、被害は入られた1台にとどまりやすくなります。
取引先経由のVPN侵入にも注意
自社のVPNだけでなく、取引先や委託先のVPNが踏み台にされるケースも増えています。こうした サプライチェーン攻撃への対策も、VPN脆弱性対策とあわせて確認しておくとよいでしょう。VPN経由の侵入は、その後 ランサムウェア被害に発展した例が目立ちます。
普段の管理が楽になると何が変わるか
VPN機器の更新やアカウントの棚卸しは、入口の担当として続ける仕事です。その先の社内のPC・サーバーまで毎日見て回るのは、兼任の担当者には難しいものです。
アプリップリキーでは、全PC・サーバーのログイン記録（日時・利用者・接続元のPC名とIPアドレス）を1画面で見られます。VPN経由でリモートデスクトップを使った社員がいつどのPCに入ったかも、同じ一覧で確かめられます。ランサムウェアの前兆やログインの連続失敗があるときだけ担当者のLINEに届き、LINEのボタンからネットワークの切り離しもできます。夜間や休日に何もなければ、見に行かなくて大丈夫です。退職者が出たときは、VPNのアカウントを止めるのと一緒に、スマホの登録解除とローカルアカウントの停止も席まで行かずに済ませられます。
よくある質問
Q. なぜVPNが攻撃者に狙われるのですか？
A. VPNは社外から社内ネットワークへ直接アクセスできる「入口」です。そのため、攻撃者にとっては一度突破すれば社内の広い範囲にアクセスできる、非常に価値の高い標的になります。
Q. VPN機器を最新版に保っていれば安心ですか？
A. 十分ではありません。VPN機器自体の脆弱性対策だけでは、フィッシングやダークウェブ経由で盗まれたID・パスワードによる正規ログインは止められないため、VPN接続時にも多要素認証を導入することが重要です。
Q. 自社のVPNだけ気をつければ大丈夫ですか？
A. 自社のVPNだけでなく、取引先や委託先のVPNが踏み台にされるサプライチェーン攻撃も増えています。VPN経由の侵入は、その後ランサムウェアの被害に発展した例が目立ちます。あわせて対策を確認しておくとよいでしょう。
まずは自社のVPN・認証状況を確認する
自社のVPN接続がID・パスワードのみに依存していないか、多要素認証が導入されているかは、現状の運用によって異なります。applippliの無料棚卸しでは、10問・約3分で、外部からのアクセスを含むID・パスワードの運用状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。限られたリソースでの優先順位の付け方は 中小企業がやるべき不正アクセス対策チェックリストも参考になります。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。
2026年10月に悪用が確認されたVPN機器の脆弱性はIvanti Connect Secureの脆弱性（2026年10月）で、対象の確かめ方と更新後の確認をまとめています。