ランサムウェアの入口、毎年ほぼ同じ顔ぶれ

警察庁の統計では、ランサムウェア被害の感染経路として「VPN機器」が毎年トップに立っています。2025年上半期の集計では、経路が判明した45件のうち28件（62%）がVPN機器からの侵入でした。2位のリモートデスクトップが22%なので、両方を足すと8割を超えます。2024年の通年でも、VPN機器55%、リモートデスクトップ31%と顔ぶれは変わりません。

これだけ毎年名指しされると、素朴な疑問が湧いてきます。VPN、もうやめればいいのでは？

結論を先に言うと、半分は正しいです。使っていないVPNは今日にでも消すべきです。ただし、残りの半分には落とし穴があります。

※注：この数字は、警察庁に被害を報告した企業へのアンケートを半年・1年単位で集計したもので、「最近VPN経由の被害が急に増えた」という意味ではありません。ここ2〜3か月に報道された情報漏えいを見ても、VPN起因のものが目立って増えているわけではなく、原因は委託先経由、クラウド設定の不備、メール経由、アプリケーションの脆弱性など様々です。VPNは「数年来ずっと最大の入口」であって、「今まさに激増している入口」ではない、という前提で読んでください。

VPNが狙われるのは、弱いからではなく「おいしい」から

VPN機器が攻撃者に好まれる理由は4つあります。

インターネットに直接さらされているから
社内に入るための装置ですから、外から見える場所に置くしかありません。攻撃者は世界中のVPN機器をスキャンして、古いバージョンのものを探せます。
突破すれば社内ネットワークに丸ごと入れること
VPNの設計思想は「つないだ端末を社内にいる扱いにする」ことなので、正門を抜ければ廊下は全部歩けてしまいます。
認証の弱さ
IDとパスワードだけで入れる設定のまま運用している組織は、まだ多くあります。どこかで漏れたパスワードの使い回しで、脆弱性を突くまでもなく入られてしまいます。
パッチが遅れがちなこと
VPN機器は止めると全社のリモートワークが止まるので、更新を先送りしやすいのです。2025年11月のアシュアード社の調査では、従業員1,000人以上の企業でも約半数が自社のVPN機器のバージョンを正しく把握していませんでした。

つまり「外から見えて、入れば全部触れて、鍵が甘くて、古いまま」。攻撃者からすれば、狙わない理由がありません。

悪いのはVPNという製品より、「正門さえ守れば中は安全」という設計

4つの理由を並べてみると、VPN固有の欠陥と言えるものは実は少ないことに気づきます。外にさらされるのも、パッチが遅れるのも、認証が甘いのも、入口に置く装置なら何でも抱える問題です。

本当の急所は2つ目、「入れば全部触れる」構造にあります。社内と社外を壁で分け、壁の内側は信用するという考え方を境界型（ペリメータ型）と呼びます。VPNはこの壁に開けた扉で、扉が破られたときの被害を大きくしているのは扉そのものより、「内側は全部信用」というルールのほうです。

ですからVPNを別の扉に取り替えても、この構造が残っていれば攻撃者の仕事はほとんど変わりません。

やめていい会社は、実はかなり多い

「VPNで何にアクセスしているか」を棚卸しすると、答えが出る会社は多いはずです。

メール、チャット、ファイル共有、会計、勤怠がすべてクラウドサービスで動いているなら、VPNを経由する必然はありません。各サービスは最初からインターネット越しに使う前提で作られていて、多要素認証やログ監視も備えています。こういう会社に残っているVPNは、たいてい「昔ファイルサーバがあった頃の名残」で、誰も使っていないのに入口だけ開いている状態です。これは今すぐ消して構いません。

一方、社内にしか置けないものがある会社は、そう簡単にいきません。基幹システム、工場の制御系、開発用のサーバ、クラウドに出せない個人情報のデータベース。これらに外から触る必要がある限り、何らかの入口は要ります。VPNをやめても、代わりの入口を作るだけです。

つまり問いは「VPNを使うか」ではなく「社外から社内に入る扉が必要か。必要なら、その扉をどう守るか」になります。

置き換え先のZTNAも、魔法ではない

VPNの代わりとして業界が推しているのが、ZTNA（ゼロトラストネットワークアクセス）です。発想はシンプルで、「ネットワークに入れる」のをやめて「このアプリだけに、この人を、この端末の状態なら通す」に変えます。正門を抜けたら廊下を自由に歩けるVPNに対して、ZTNAは一部屋ごとに鍵がかかっていて、部屋に入るたびに本人と端末を確認する仕組みです。

この設計なら、一つの認証情報が漏れても被害はそのアプリ一つに留まりやすくなります。ランサムウェアが社内全体に広がる前に止められる可能性が、構造的に上がります。

ただし、ZTNA製品にも脆弱性は出ます。接続を仲介するクラウド側がやられれば、影響範囲はむしろ広くなります。設定を間違えて「全アプリに全員OK」にしてしまえば、名前がゼロトラストなだけのVPNです。導入コストも、中小企業にとっては軽くありません。

道具を変えれば安全になるわけではありません。「誰に何をどこまで許すか」を決める作業を、道具が強制してくれるだけです。その作業をサボれば、何を入れても同じ結果になります。

VPNを残すなら、やることは4つで足りる

現実には、来年もVPNを使い続ける会社が大半でしょう。それ自体は悪いことではありません。警察庁が被害企業に聞いた感染経路の大半は「機器の脆弱性」か「弱いパスワード」で、どちらも運用で潰せます。

多要素認証を必須にする。パスワードだけで入れる状態を今日なくす
VPN機器の更新を最優先にする。ベンダーの脆弱性情報が出た週のうちに当てる
使っていないアカウントを消す。退職者、委託先、テスト用
VPNで入った先を絞る。全社ネットワークではなく、必要なサーバやセグメントだけ

派手さはありませんが、報道されたランサムウェア事例の多くは、この4つのどれかが抜けていたところから始まっています。

消すべきはVPNではなく、無防備な扉

「VPNをやめる」は目的ではなく、結果としてそうなる会社がある、という話です。

外から社内に入る扉が要らないなら、VPNもZTNAも置かない。要るなら、扉の先を狭くして、鍵を二重にして、古くなった扉はすぐ替える。それができていれば、扉の名前がVPNでもZTNAでも、統計の上位からは抜けられます。

警察庁の数字が毎年VPNを指しているのは、VPNが危険な道具だからではありません。守られていない扉のうち、いちばん数が多いのがたまたまVPNだった、というだけのことです。

逆に言えば、「VPNを入れてあるから大丈夫」と思って扉の手入れをやめた会社は、遅かれ早かれ全部抜かれます。これは脅しではなく確率の話です。主要なVPN製品には毎年のように深刻な脆弱性が公表され、攻撃者はその公表から数日以内に、インターネット上の古いバージョンの機器を自動で探し当てます。パッチを当てない機器は「いつか見つかる」ではなく「いつ見つかるか」の問題で、見つかった先が全社ネットワークなら、持ち出せないものはありません。VPNに甘えるとは、そういう賭けを毎日続けていることなのです。

参考：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」の感染経路データ（宮城県警の資料より）、令和7年警察白書の要約（労働新聞）、アシュアード社調査（@IT）