VPN（VPN 機器）とは
VPN（Virtual Private Network）は、社外から社内のネットワークやシステムを使うための仕組みの 1 つです。テレワークなどで使われます。
ひとことで言えば「インターネットの上に、社内へ通じる暗号化された専用の通路を作る」ことです。
社内ネットワークへの暗号化された通路
IPA（情報処理推進機構）は中小企業向けのガイドラインで、VPN 方式を、テレワーク端末から社内ネットワークに通信を暗号化してつなぐ方式と説明しています。 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26IPA 情報処理推進機構（中小企業の情報セキュリティ対策ガイドライン 第 4.0 版）原文
VPN 方式：テレワーク端末から社内ネットワークに通信を暗号化して接続する方式
Microsoft Learn（2025-06-26 更新・リモートデスクトップにネットワークの外からアクセスする）原文
If you connect to your local area network by using a virtual private network (VPN), you don't have to open your PC to the public internet. Instead, when you connect to the VPN, your RD client acts like it's part of the same network and is able to access your PC.
| 語 | 指すもの |
|---|---|
| VPN | 社外から社内ネットワークへの、暗号化された通路 |
| VPN 機器 | その通路の入口として、社内側でインターネットに向けて置く装置。ファイアウォールと一体の製品もある |
| 暗号化 | 通り道で中身を読まれないようにすること |
通路の中身は暗号化で守られますが、入口の機器そのものはインターネットから届く場所にあります。
入口の機器が狙われる
警察庁の令和 7 年（2025 年）の報告では、ランサムウェアの被害を受けた組織へのアンケートで回答のあった侵入経路のうち、VPN 機器だけで 6 割以上を占めました。 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26警察庁サイバー警察局（令和 8 年 3 月・令和 7 年におけるサイバー空間をめぐる脅威の情勢等について）原文
被害組織へのアンケート結果によると、侵入経路は VPN（Virtual Private Network）機器が６割以上を占める状況である。
警察庁サイバー警察局（令和 8 年 3 月・令和 7 年におけるサイバー空間をめぐる脅威の情勢等について）原文
攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。
ファイアウォールや VPN 機器を作る Fortinet は 2026 年 3 月、自社の機器（FortiGate）を狙ったと報じられた攻撃を調べ、脆弱性は使われておらず、外に開いた管理用の窓口と、パスワードだけで守られた弱い認証情報が突かれていたと報告しています。 出典を開く確認 2026-09-26Fortinet（2026-03-06・Attacks at the Speed of AI）原文
During our investigation, we observed no exploitation of FortiGate vulnerabilities. Instead, this campaign succeeded by exploiting exposed management ports and weak credentials with single-factor authentication.
| 突かれるもの | 例 | 手当て |
|---|---|---|
| 修正していない脆弱性 | 公開された脆弱性。修正の前から悪用されるゼロデイもある | 更新する。外から届く機器を最優先に Fortinet（2026-03-06・Attacks at the Speed of AI）原文Understand your attack surface and keep your devices up to date and patched, giving top priority to any internet-facing devices.出典を開く確認 2026-09-26 |
| 弱い認証 | 簡単なパスワード・パスワードだけのログイン | 多要素認証（MFA）。Fortinet は、多要素認証があれば報じられた攻撃は成り立たなかったとしている Fortinet（2026-03-06・Attacks at the Speed of AI）原文The reported cyberattack would have been impossible with MFA in place.出典を開く確認 2026-09-26 |
| 開いた管理用の窓口 | 機器の管理画面にインターネットから届く | 管理画面をインターネット側に開けない |
確かめること
次の 4 つを一覧にして、確かめる担当を決めておきます。
| 確かめること | どう見るか |
|---|---|
| 製品名と版 | 開発元が出す修正の情報と突き合わせる |
| 利用者と管理者のアカウント | すべてに多要素認証。使っていないアカウントを消す |
| 管理用の窓口 | インターネットから届かないか |
| 通す先 | 社内のどこまで入れるか。外から直接開けているリモートデスクトップは VPN の内側へ |
- 中小企業の被害の実態と、先に守る入口は 中小企業はなぜランサムウェア被害の 6 割か にまとめてあります
- 入口ごとの攻撃の経路は 入口ごとの攻撃経路と推奨の 3 手 にまとめてあります