用語集・ネットワークと境界
VPN
Virtual Private Network
VPN（Virtual Private Network）は、インターネットなどの上に、多くの場合は暗号化で守った通り道を作り、社外の端末や拠点を社内ネットワークに専用線のようにつなぐ技術である。
別の呼び方 仮想プライベートネットワーク、SSL-VPN、IPsec-VPN、リモートアクセスVPN、VPN装置
要点
- 意味 VPN（Virtual Private Network）は、インターネットなどの上に、多くの場合は暗号化で守った通り道を作り、社外の端末や拠点を社内ネットワークに専用線のようにつなぐ技術です。
- 中小企業にとって テレワークや保守業者の遠隔作業を支える一方、インターネットに常に開いた社内への入口になる。
- このサイトでは 攻撃手法 2 種、事例 2 件、グループ 1 組のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
テレワークや保守業者の遠隔作業を支える一方、インターネットに常に開いた社内への入口になる。
警察庁は、VPN機器等の未修正の脆弱性や漏れた認証情報を悪用した侵入がランサムウェアの手口の多くを占めるとしている。
まずは自社と委託先が使うVPNを洗い出し、更新の即時適用、多要素認証、使わないアカウントの削除を徹底するとよい。
よくある誤解
- 誤解VPNでつないでいれば通信は安全なので、社内に入られる心配はない
- 実際CISAなどの共同ガイドは、VPNで社内につながった後も、設計上の弱点、設定の誤り、VPN製品自体の脆弱性によって侵害されうるとしている。暗号化は通り道を守るだけで、入ってくる相手が正しいかは別の問題である。
- 誤解VPN装置は一度設置すれば更新しなくても動き続けるので問題ない
- 実際警察庁は、VPN機器を主要な侵入経路と位置づけ、更新ファイルやセキュリティパッチが公開されたら速やかに適用するよう求めている。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法VPN・エッジ機器の脆弱性悪用
このページの手口は、修正プログラムが当たっていないVPN装置などの脆弱性を突いて社内へ入るもので、VPNの運用で最も警戒すべき経路である。
- 攻撃手法認証情報の悪用
漏れたIDとパスワードや推測しやすいパスワードでVPNにログインされると、正規の利用者と見分けにくい。
- 事例名古屋港
記録では保守用VPNにIPアドレス制限がなくIDとパスワードが合えば誰でも接続でき、VPN機器の公表済み脆弱性も未対応だった。
- 事例Colonial Pipeline
記録では使われていないはずの古いVPNのプロファイルが悪用され、パスワードだけで入れたとされる。
- ハッカーグループAkira
このグループの手口にはVPNなどの外部リモートサービスからの侵入が挙げられている。
出典
- ランサムウェア被害防止対策 警察庁
- 中小企業の情報セキュリティ対策ガイドライン 第4.0版 IPA・2026-03
- Modern Approaches to Secure Network Access Security CISA・2024-06
- CISA and NSA Release Guidance on Selecting and Hardening VPNs CISA・2021-09-28
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）