サイバー攻撃被害で「VPNが原因で侵害された」という報告を見たとき、「あ、VPN機器はやっぱりよくないのか」と感じる方も多いのではないでしょうか。
実際、テック系のSNSでは、被害が報じられるたびに「またVPNが悪用された」「VPNを使っているから悪い」といった声が上がり、VPNの是非を巡る議論が活発化しています。こうした問題提起を行ったXでの投稿が、2026年2月中旬に大きな反響を呼びました。
(参考/2026年2月24日参照：https://x.com/ntsuji/status/2022601527706386745?s=20)
「VPNが侵害された」という事実は、必ずしも「VPNが原因だった」とは言い切れないのではないでしょうか。 他に要因があったにもかかわらず、結果としてVPNだけが注目されているケースもあるのではないでしょうか。
本ブログでは、ネットワークとセキュリティソリューションの両方を取り扱う弊社の立場から、昨今のインシデントにおけるVPNの位置づけを整理し、本当にVPNが問題なのか原因の構造と現実的な対策について考察します。
情報漏洩の原因は本当にVPNという仕組みなのか？
昨今報告されている情報漏洩の事例を、どのように捉えればよいのでしょうか。
さまざまな報告がなされていますが、その内容を見ていくと、本当にVPNの脆弱性が悪用され「VPNが原因」と言えるケースと、そうとは言い切れないケースの両方が存在します。
大きく分けると、三つのケースに整理できます。
ケース1 ：VPNが原因であるケース
VPN機器の脆弱性が悪用され、それが直接的な侵害につながるケースです。この場合、VPNという仕組みや製品そのもののリスクが要因になっていると言えます。
ケース2：VPNが原因ではないケース
VPNが侵害経路として使われたものの、脆弱性が悪用されたわけではないケースです。たとえば、漏洩したIDや初期設定の認証情報が悪用され、正規の認証でログインされてしまうような場合です。このような事例では、問題の本質はVPNではなく、認証管理や運用体制にあると考えられます。
ケース3：VPNが原因でもあり、他にも要因があるケース
上記二つが重なったような、いわばハイブリッド型のケースです。管理外のVPN機器が設置されていたり、既知の脆弱性が長期間放置されていたりする場合には、VPNのリスクと管理不備の両方が影響している可能性があります。
このように、同じ「VPNが侵害された」という結果であっても、その背景や原因は一様ではありません。
ケースごとの原因と対策の深掘り
先ほど整理した三つのケースについて、さらに原因を深掘りし、対策の方向性を見ていきましょう。
ケース1 ：VPNが原因であるケース
VPNはその構造上、インターネット上に公開されることが前提となる仕組みです。リモートワークのような柔軟な働き方を前提とすると、送信元を限定することは現実的ではなく、攻撃者からもアクセス可能な状態になります。そのため、脆弱性が存在すれば、悪用されるリスクは常にあります。
実際、VPN機器の脆弱性は継続的に報告されており、迅速な対応が求められる一方で、運用リソースの問題からも全ての脆弱性にタイムリーに対応できている組織は多くはありません。VPNは利便性が高く、ビジネスを支える重要な基盤でもあります。そのため、どこまで内在するリスクを許容するのかによって、取るべき対策は変わります。
具体的な対策
VPNは利便性が高く、ビジネスを支える重要な基盤でもあります。そのため、どこまで内在するリスクを許容するのかによって、取るべき対策は変わります。
-
VPNを重大なリスクと捉えるのであれば、利用をやめるという選択肢があります。SASE（Secure Access Service Edge） やZTNA（Zero Trust Network Access）のように、VPN機器を外部公開しない仕組みを導入することで、構造的なリスクの回避が可能です。
- 一定のリスクを受容して使用を続ける場合には、運用によるリスク低減が前提となります。公開しているVPN機器の把握や脆弱性の迅速な検知を行うために、ASM（アタックサーフェス管理）やSCRM（サプライチェーンリスク管理）/セキュリティレーティングの活用が有効です。発見したリスクへ迅速に対応できる体制を維持することが重要です。
ケース2：VPNが原因ではないケース
VPN機器を含むインターネットに公開されているIT資産は、正規のID情報が悪用されることで、脆弱性がなくても侵害される可能性があります。自組織のID基盤をどれだけ強固に守っていても、外部サービスから漏洩した認証情報が悪用されることもあります。また、標準アカウントの初期パスワードの変更漏れが原因となる事例も少なくありません。これはVPNの問題というよりも、ID管理や認証統制の不備に起因するケースと言えるでしょう。
具体的な対策
-
ID（アカウント）の設定を適切に管理することが重要です。初期設定のままのアカウントや不要なアカウントを放置することは大きなリスクになります。ISPM（Identity Security Posture Management：アイデンティティセキュリティ態勢管理） を活用し、設定の最適化やリスクの可視化を行う定常的な運用が有効です。
-
認証の強化も不可欠です。多要素認証（MFA）を必須とすることで、仮に認証情報が漏洩しても実際に侵害されるリスクを大きく下げることができます。
ケース3：VPNが原因でもあり、他にも要因があるケース
管理部門が把握すべきIT資産は年々増加しており、構造的にシャドーITが発生しやすい状況にあります。適切に管理されていない資産は、必要なセキュリティ対策が施されていない可能性が高く、攻撃者に狙われやすくなります。仮にVPN機器の脆弱性が悪用されたとしても、その機器の存在を把握できていなかった、あるいは既知の脆弱性が放置されていたのであれば、原因はVPNだけではなく、そもそもの資産管理や運用体制にもあると言えるでしょう。
具体的な対策
-
シャドーITを可視化し、自組織にどんな資産があるのか正確に把握することが重要です。ASMやSCRM/セキュリティレーティングを活用することで、管理漏れの公開資産を発見できます。
-
公開資産の設定ミスや脆弱性など、攻撃の起点となりうる箇所を把握しきちんと対処しておくことも重要です。特にクラウド上のIaaSやPaaS環境では、CSPMやCNAPPを活用し、継続的な監視と是正を行うことが効果的です。
具体的な対策の多くは、ツールを導入するだけでは十分ではありません。組織内で運用フローを定義し、定常的に回し続けることではじめて効果を発揮します。単一の防御策だけで守り切れる時代ではない、という点も意識しておく必要があります。
まとめ
情報漏洩被害の報告で「VPNが侵害された」と書かれていたとしても、それだけでVPNそのものが原因だと断定することはできません。一方で、クラウド前提の環境や柔軟な働き方が広がる現在において、VPNという仕組みが従来通りの形で最適とは言い切れなくなっているのも事実です。
VPNの廃止を検討する場合、すぐに全面的な移行ができるとは限りません。しかし、いずれ見直しが必要になる可能性があるのであれば、今のうちからリスクを整理し、優先順位を明確にしておくことが重要です。その間に取れる対策も数多く存在します。
こうした整理や対策の検討にあたっては、弊社では現状の可視化から移行の検討、運用体制の強化まで、それぞれの状況に応じたご提案が可能です。
脱VPN (SASE/ZTNA)
Cato Networksを活用したSASEをご提案。Cato Socketを活用することでVPN機器を公開することなく柔軟な働き方を実現。
公開資産対策(ASM/SCRM/セキュリティレーティング)
SecurityScorecardを活用したサプライチェーン全体の公開IT資産の定常的なリスク管理をご提案。シャドーITの発見や脆弱性の早期発見をサプライチェーン全体で実現。
ID/認証対策(ISPM/MFA)
Silverfortを活用したAD認証に対するIDと認証の双方の強化をご提案。アカウント情報不備の早期発見や、従来では実現ができなかったAD認証への多要素認証も実現。
クラウド対策(CSPM/CNAPP)
Orca SecurityやCloudbaseを活用したIaaS/PaaSクラウド基盤向けのセキュリティ強化をご提案。クラウド基盤内のあらゆる資産を対象にした資産とリスクの棚卸しを実現。
移行に踏み切れない、何から着手すべきかわからないといったお悩みがあれば、ぜひ一度ご相談ください。
