旧型VPNの罠！警察庁データで判明した放置機器の侵入防衛術

「数年前に導入したVPNルーターが問題なく動いているから大丈夫」――そう信じ込んで放置された旧型ネットワーク機器が、サイバー犯罪集団の格好の侵入口となり、社内ネットワーク全体が壊滅する被害が後を絶ちません。

先日、年商約8億円規模の総合卸売企業を経営される社長様からも切実なご相談をいただきました。リモートワーク用に数年前に導入したVPN機器がメーカーサポート終了（EOL）を迎えていたにもかかわらず、ファームウェアの更新や設定の見直しを行わないまま放置。公表された脆弱性を悪用した自動スキャンによって管理者パスワードを突破され、深夜に基幹サーバーへランサムウェアを送り込まれました。翌朝には受発注データがすべて暗号化され、原因究明のフォレンジック調査、機器の緊急入替、取引先への事実報告などに追われ、総額で2,700万円規模の実損害が発生した事例でした。

サポート切れの機器は、いわば「鍵が壊れたドアを玄関に放置している」状態と同じです。本稿では、警察庁などの公的統計データをもとに被害実態の内訳を整理し、高額な最新機器へ直ちに買い替えられない現場でも、明日から社内で0円でできるレガシーVPNの防衛実務を解説します。

【公的統計エビデンスと被害額の内訳】

警察庁「サイバー空間をめぐる脅威の情勢等」の公表データによると、ランサムウェア被害における侵入経路の約6割以上が「VPN機器からの侵入」であり、その大半に古いファームウェアの放置や既知の脆弱性が介在しています。また、損保各社の事故調査実績における平均対応総額は約2,300万円〜3,000万円に上ります。
【被害費用の客観的内訳】
・侵入経路特定と情報流出範囲を調査するフォレンジック費用：約800万〜1,400万円
・暗号化サーバーおよびインフラ設備の復旧・再構築費用：約500万〜900万円
・外部委託先・取引先への通知および事後対応に伴う弁護士費用：約300万〜500万円
・業務停止に伴う売上損失および顧客への納期遅延対応費：数百万円〜数千万円規模

1. なぜ起こったのか？（事件の客観的原因分析）

旧型VPNが狙われる最大の原因は、「攻撃者による脆弱性スキャンの自動化」と「社内における機器の管理責任の曖昧さ」にあります。

サイバー攻撃者は特定の企業を狙って手作業で侵入するだけでなく、インターネット上に公開されているVPN装置のIPアドレスをロボットで常時スキャンしています。サポートが切れた機器や未パッチの機器を発見すると、既知の脆弱性攻撃プログラムを自動的に流し込み、わずか数分で社内ネットワークの管理者権限を奪取します。多くの企業では「ネットワーク機器は壊れるまで使い続ける」という意識が根強く、サポート期限の把握や定期的なファームウェア更新の責任者が決まっていないことが致命傷となっています。

2. どうすれば防げたのか？（被害者側の0円防衛実務）

高額な最新UTMや次世代ファイアウォールを慌ててリース契約する前に、既存機器の設定を見直しアクセスを絞り込むだけで、侵入リスクの大半は排除できます。

3. 明日から社内でゼロ円でできる基本防衛のステップ

1. 自社のルーター・VPN機器の「型番とサポート期限」を一覧化する
   社内にある通信機器の型番を調べ、メーカーのホームページで「サポート終了（EOL/EOS）」を迎えていないか確認します。期限が切れている場合、新たなセキュリティパッチが提供されないリスクを経営陣が直ちに把握してください。
2. 管理画面（WAN側）への外部アクセスを「拒否」に設定する
   社外の不特定多数からVPN機器の管理画面にアクセスできる状態を停止します。社内LANからのみ設定画面にアクセスできるよう制限するか、特定の固定IPアドレスからのみ接続を許可する運用に切り替えます。
3. 退職者や使われていない「休眠VPNアカウント」を即時削除する
   過去に在籍した従業員や外部ベンダーに一時的に発行したアカウントが放置され、それが侵入口になる事例が後を絶ちません。現在日常的にリモート接続を使っている人員だけにIDを絞り込みます。

4. 最後のセーフティネットとしての見極め方

機器の延命策やアクセス制限を施しても、ハードウェアが旧型である以上、未知の脆弱性を突かれた場合の侵入確率を完全なゼロにすることは困難です。事業を継続不能にさせないための防波堤がサイバー保険です。

検討時の客観的判断基準は、「外部侵入を許した際、原因究明と影響範囲の特定に必要なフォレンジック調査費用が上限実費で補償されるか」、そして「事故発生時に専門家チーム（インシデントレスポンス業者）の派遣サポートが迅速に受けられるか」です。自社に専任のIT担当者がいない中小企業ほど、金銭的補償と初動の専門家手配が一体となった保険設計を備えておく必要があります。

5. まとめ

VPN機器は、社内ネットワークとインターネットを繋ぐ「オフィスの表玄関」です。サポート切れの機器を放置し続けることは、防犯設備の壊れたオフィスで現金を管理するのと同じリスクを背負っています。まずは明日から自社機器の型番を確認し、不要な接続ポートを閉じるという0円の社内点検から着手してください。