--- title: "VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/ description: "警察庁が被害を受けた組織に行ったアンケートによると、2025年のランサムウェアの侵入の経路は、VPN機器が6割以上を占めました。インターネットに面した機器が狙われる理由と、機器の把握、更新、認証の強化、不要なアカウントの整理、記録の確認による守り方を説明します。" updated: 2026-11-07 publisher: "アメリア・テクノロジー株式会社" --- # VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方 警察庁が被害を受けた組織に行ったアンケートによると、2025年のランサムウェアの侵入の経路は、VPN機器が6割以上を占めました。インターネットに面した機器が狙われる理由と、機器の把握、更新、認証の強化、不要なアカウントの整理、記録の確認による守り方を説明します。 2026.11.07 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） ## この記事の要点 - 警察庁が被害を受けた組織に行ったアンケートによると、2025年のランサムウェアの侵入の経路は、VPN機器が6割以上を占めました。 - 警察庁の2025年上半期の分析では、原因として、機器の認証の情報が安易だったことや、不要なアカウントが管理されずに残っていたことが挙げられています。 - 機器を一覧にして更新を当て、多要素認証の設定と不要なアカウントの整理を進め、更新の後も不審な形跡がないかを確かめます。 ランサムウェアの侵入の入り口として、VPN機器などのインターネットに面したネットワーク機器が多く使われています。守りの基本は、どこにどの機器があるかを把握し、更新を当て、認証を強くし、使っていないアカウントや機能を閉じることです。 ## ランサムウェアの入り口になっている機器 [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/)機器とは、社外から社内のネットワークに安全につなぐための機器です。リモートワークや拠点の間の接続のために、多くの会社で使われています。 警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）によると、2025年の[ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/)の被害で、被害を受けた組織へのアンケートによる侵入の経路は、VPN機器が6割以上を占めました。警察庁は、主要な侵入の経路であるVPN機器などは、速やかな対応が必要であるとしています。 出典：[令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf) 警察庁の「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月）では、アンケートの結果、VPNやリモートデスクトップ用の機器からの侵入が、感染の経路の8割以上を占めるとしたうえで、その原因として、機器のIDやパスワードなどが非常に安易だったこと、不必要なアカウントが適切に管理されずに残っていたことを挙げています。海外の拠点の機器を管理できていなかったために、そこから侵入されて国内の本社が被害に遭った事例や、試しに作ったアカウントの安易な認証の情報を使われて侵入された事例も紹介されています。 出典：[令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2025年9月）](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf) ## なぜ狙われやすいのか VPN機器が狙われやすいのは、次のような性質があるためと考えられます。 - インターネットに直接面していて、外から誰でも接続を試みられる - 通れば社内のネットワークに入れるため、攻撃する側にとって価値が高い - 一度設置すると長く使われ、機器の中のソフトウェアの更新が後回しになりやすい - 管理の担当がはっきりせず、設置した委託先と社内の間で、更新の責任があいまいになりやすい 機器の中のソフトウェアにも[脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/)が見つかり、提供元から修正版が出ます。提供元のサポートが終わった機器には修正版が出なくなるため、入れ替えが必要です。 ## 守り方 守り方は、機器を一覧にする、更新を当てる、認証を強くする、不要なアカウントと機能を閉じる、記録を確かめる、の5つです。 VPN機器などの守り方（5つ） - **機器を一覧にする**：本社だけでなく、支社・海外の拠点・工場・倉庫まで含める - **更新を当てる**：提供元のセキュリティの発表を受け取り、修正版が出たら早めに当てる - **認証を強くする**：推測されやすいパスワードをやめ、多要素認証を設定する - **不要なアカウントと機能を閉じる**：不要なアカウントを消し、管理画面は社内からだけ操作できるようにする - **記録を確かめる**：いつもと違う時間帯や場所からの接続がないかを、定期的に確かめる ### 機器を一覧にする インターネットに面した機器を、本社だけでなく、支社・海外の拠点・工場・倉庫まで含めて一覧にします。機種、機器の中のソフトウェアの版、設置した会社、管理の担当、提供元のサポートの期限を書きます。使っていないのにつながったままの機器は、止めるか外します。 ### 更新を当てる 提供元のセキュリティの発表を受け取れるようにし、修正版が出たら早めに当てます。脆弱性の情報の集め方と優先順位の決め方は、[脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方](https://www.ameliatechnology.co.jp/blog/vulnerability-information-sources/)で説明しています。保守を委託している場合は、更新を誰が、どのくらいの期間で当てるかを契約で決めておきます。 ### 認証を強くする 推測されやすいパスワードをやめ、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)を設定します。多要素認証とは、パスワードに加えて、スマートフォンのアプリなど別の手段でも本人であることを確かめる方法です。 ### 不要なアカウントと機能を閉じる 退職した人のアカウント、試しに作ったアカウント、初期設定のままのアカウントを洗い出し、不要なものを消します。機器の管理画面をインターネットから操作できる状態になっている場合は、社内からだけ操作できるように制限します。 ### 記録を確かめる ログインの成功と失敗、設定の変更などの[ログ](https://www.ameliatechnology.co.jp/glossary/log/)を残し、いつもと違う時間帯や場所からの接続がないかを、定期的に確かめます。 ## 更新だけで終わらせない 修正版を当てても、修正の前にすでに侵入されていた場合は、その形跡が残ります。脆弱性が公表される前から悪用されていることもあるため、提供元の案内に従って、不審な設定の変更やアカウントの追加がないかを確かめます。侵入が疑われる場合は、機器のパスワードや認証の情報を変更し、社内のネットワークに広がっていないかを専門の会社とあわせて調べます。 被害を受けた後の業務の再開に備えて、[バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)を、社内のネットワークとは切り離した場所に残しておくことも大切です。被害が経営に与える影響は、[脆弱性を放置すると、会社に何が起きるのか。被害の型と、経営として備えること](https://www.ameliatechnology.co.jp/blog/vulnerability-business-risk/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、インターネットに面した機器の棚卸し、設定の見直し、更新の運用づくり、記録の確かめ方までをご支援しています。夜間・休日の監視や、侵入が疑われるときの専門的な調査は、外部の専門の会社と連携してお受けしています。自社の状況をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。 - VPN - ランサムウェア - 脆弱性 - リモートワーク - ネットワーク機器 ## この記事に出てくる用語 - [ランサムウェア](https://www.ameliatechnology.co.jp/glossary/ransomware/) - [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/) - [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/) - [脆弱性](https://www.ameliatechnology.co.jp/glossary/vulnerability/) - [KEV](https://www.ameliatechnology.co.jp/glossary/kev/) - [CVSS](https://www.ameliatechnology.co.jp/glossary/cvss/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [ログ](https://www.ameliatechnology.co.jp/glossary/log/) ## 関連する法令・指針（参考情報） - 指針 独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月）） 中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。 [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html) - 指針 経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月）） 大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。 [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [脆弱性の情報を、どう集めて優先順位をつけるか。JVN・KEV・CVSSの使い方](https://www.ameliatechnology.co.jp/blog/vulnerability-information-sources/) - [PHPの脆弱性とは。サポートの終わった版を使い続けると何が起きるのか](https://www.ameliatechnology.co.jp/blog/php-vulnerability-support/) - [PHPのバージョンアップの進め方。サイトを止めずに版を上げる手順](https://www.ameliatechnology.co.jp/blog/php-version-upgrade-steps/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「VPN機器の脆弱性とランサムウェア。入り口になりやすい機器の守り方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/vpn-device-vulnerability/