VPNに潜むセキュリティリスクとは？　事故の事例や安全対策のポイント

VPN機器の脆弱性

VPNは安全な通信を確立するための重要な技術ですが、機器やソフトウェアが最新の状態に保たれていない場合、攻撃者はその脆弱性を突いてシステムに侵入し、データの盗聴や改ざんを引き起こす可能性があります。

特に、セキュリティ更新が遅れたVPN機器は攻撃の標的になりやすく、既知の脆弱性を悪用した攻撃によってネットワークの安全性が損なわれるおそれがあります。そのため、VPN機器や関連ソフトウェアは定期的に更新し、最新のセキュリティパッチを適用することが大切です。

無料VPN・無料Wi-Fiの利用

無料VPNや公衆Wi-Fiは手軽に利用できる便利なサービスですが、その多くはセキュリティ対策が十分に施されておらず、情報漏洩のリスクが高いとされています。

特に公衆Wi-Fiは暗号化が弱い、あるいはまったく暗号化されていないことが多く、通信内容が第三者によって盗み見られる可能性も少なくありません。特に、悪意のある攻撃者が同じWi-Fiネットワーク内にいる場合、通信データを傍受される恐れがあります。

安全性を確保するためには、信頼できる有料のVPNサービスを選択し、最新の暗号化技術や多要素認証を導入したセキュリティ対策を講じることが重要です。

また、出先で公衆Wi-Fiを利用する際には、VPN経由で通信を暗号化するか、モバイルデータ通信や専用のWi-Fiルーターを活用するなど、より安全な方法を検討する必要があります。

ウイルス感染

テレワーク環境では、従業員が自宅や外出先からVPNを利用して社内ネットワークにアクセスすることが一般的です。しかし、使用する端末がマルウェアやウイルスに感染していると、VPNを経由して社内ネットワーク全体に感染が広がる危険性があります。

このような感染が発生すると、社内システムやサーバーが攻撃を受けて業務データが流出するおそれがあります。また、データの破壊やランサムウェアによるファイル暗号化といった被害が生じる可能性も考えられます。

VPN接続による安全性を過信するのではなく、接続端末のセキュリティ対策を徹底することが大切です。

事例② 大手ゲーム会社で顧客情報漏洩

2020年、ある大手ゲーム会社でVPN経由の不正アクセスが発生し、約16,000人分の個人情報が外部に流出する事故が発生しました。この不正アクセスの原因は、海外支店に設置された旧型のVPN機器を緊急対応として使用したことにありました。

新型コロナウイルス感染症拡大によりテレワークを推進した際、ネットワーク負荷の増加に対応する必要が生じました。そこで旧型のVPN機器を導入したところ、その脆弱性が攻撃者に悪用されました。攻撃者はVPN機器を経由して社内ネットワークに侵入し、米国や日本のサーバーから顧客や株主の個人情報を盗み取ったとされています。

この事例は、VPN機器のセキュリティ対策が不十分な場合に大きなリスクを招くことを示し、VPN環境の適切な管理と最新のセキュリティ対策の重要性を改めて認識させる事件でした。

事例③ 大手電機メーカーで端末がウイルス感染

2019年、国内の大手電機メーカーでVPN経由の不正アクセスが発生し、国内外で132台の端末がウイルス感染の疑いを受けるセキュリティ事故が発生しました。原因は、中国拠点に設置されていたVPN機器の脆弱性を攻撃者に悪用されたことにあり、これを経由して社内ネットワークへの侵入を許してしまいました。

中国拠点で感染が広がったウイルスは、その後日本国内の本社にも拡大し、ネットワーク内のPCやサーバーが攻撃者による遠隔操作を受ける事態に陥りました。感染が疑われる端末は国内外で計132台におよび、その中には防衛省が指定した「注意情報」が含まれていたことも明らかになっています。

事例④ 総合医療センターのシステム障害

この事例は、2022年、IT事業者がリモート保守のために設置したVPN機器の脆弱性を悪用され、基幹システムサーバーと2,200台ものPC端末が不正アクセスを受けたセキュリティ事故です。

VPN機器の脆弱性が放置されていたことに加え、ネットワーク機器やPC端末のパスワードが共通化されているなど、脆弱性管理や認証設定といったITガバナンスの欠如が原因となりました。

その結果、ランサムウェアによってシステムデータが暗号化され、病院のシステムが使用不能となり、救急診療や外来診療などの医療業務に深刻な支障をきたしました。

事例⑤ コンテナターミナルのシステムがランサムウェア感染

この事例は、2023年、保守作業用のVPNを経由して物理サーバーにランサムウェアが侵入し、サーバー内のデータが暗号化されたセキュリティ事故です。外部接続に関するセキュリティ対策が見落とされていたことに加え、サーバーやネットワーク機器の脆弱性対策が不十分だったことが主な原因とされています。

さらに、サイバー攻撃への対応手順やプロセスが未整備だったことも被害を拡大させる要因となりました。その結果、港湾の統一システムが停止し、コンテナの搬出入作業が停止に追い込まれるなど、物流業務に深刻な影響を与える事態となりました。

対策法② VPN機器を定期的にアップデートする

VPN機器も他のネットワーク機器と同様に、時間が経過するにつれて脆弱性が発見されることがあります。アップデートを怠り、脆弱性を放置し続けると、セキュリティホールが悪用されてネットワークが危険にさらされるリスクが高まります。

定期的にアップデートすることで、セキュリティホールを修正し、攻撃者の侵入を防ぐことが可能です。また、アップデートには新たなセキュリティ機能の追加や、既存の機能の改善も含まれるため、VPN機器を常に最新の状態に保つことは、全体的なセキュリティ向上にもつながります。

対策法③ 多要素認証を導入する

多要素認証は、ユーザーがVPNにアクセスする際に、単一の認証方法だけでなく、複数の異なる情報を組み合わせて認証する手法です。

通常、パスワード（知識情報）だけではセキュリティが不十分とされるため、追加で所持情報（例：スマートフォンによる認証コード）や生体情報（指紋や顔認証など）を要求することによって、不正アクセスのリスクを大幅に低減させられます。

仮に攻撃者がパスワードを盗んだとしても、そのほかの認証要素がなければアクセスができないため、セキュリティが強化されます。

対策法④ 通信端末のセキュリティ対策をする

VPNを安全に利用するためには、通信端末自体のセキュリティ強度を向上させることが重要です。そのために、MDM、MAM、MCMの導入が効果的です。

対策法⑤ BYODを禁止する

BYOD（Bring Your Own Device：従業員が私物として所有する通信端末を業務に利用する形態）を許可すると、情報セキュリティリスクが生まれます。

個人の端末は、企業のセキュリティポリシーや管理体制が整っていないことが多く、ウイルス感染やデータ漏洩、外部からの不正アクセスに対する脆弱性が高くなります。そのため、企業は専用の業務用端末を従業員に支給し、VPNを運用することが大切です。

専用端末は、セキュリティポリシーに従った設定や管理が容易になり、MDMやMAMなどのセキュリティツールも適用できます。

対策法⑥ 情報セキュリティ対策を専門企業へ委託する

自社でセキュリティ対策を整備・管理するには高い専門知識と多くのリソースが必要ですが、セキュリティ対策に特化した会社に依頼することで、効率的かつ確実に安全性を高めることが可能です。

外部の専門会社に依頼することで、最新の脅威に対応したセキュリティシステムの提供や運用管理のサポートを通じて、VPNを含むネットワーク環境全体を保護してくれます。

また、セキュリティ面を考慮しつつ安全なリモートワーク環境を構築したい場合は、リモートアクセスサービスを利用するのもお勧めです。

リモートアクセスサービスは、VPN不要で接続できる仕組みや、多要素認証、暗号化通信などの高度なセキュリティ機能を備えたソリューションを提供しているため、導入や運用負担を軽減しながら、より安全なアクセス環境を構築できます。