リモートワークとクラウド業務が当たり前となった現在も、多くの企業がVPNを標準的なリモートアクセス手段として使い続けています。しかし近年のサイバー攻撃では、VPNこそが“最も狙われる入口”となっています。構造的に古い仕組みであるにもかかわらず、依然として企業の入口としてインターネットに公開されているため、攻撃者にとっては格好の標的です。
本コラムでは、VPNが抱える根本的な弱点と最新の攻撃動向、そしてゼロトラストやデータレスクライアントといった新しいアプローチまで、包括的にまとめます。
VPNが“攻撃される理由”
1. 公開されたVPNゲートウェイは常にスキャンされている
VPN装置は「社内ネットワークの玄関口」としてインターネット上にさらされています。Shodanなどの公開検索サービスでは、世界中のVPN装置が一覧で確認でき、攻撃者は日常的にスキャンしています。
脆弱性（CVE）が出た瞬間に自動攻撃ツールが出回り、パッチ適用が遅れた装置は真っ先に狙われます。
2. 認証情報が狙われやすく、突破されたら内部へ“直通”
VPNはID/パスワードの突破＝社内ネットワークへの侵入、という単純かつ危険な構造です。
・フィッシング
・リスト型攻撃
・MFA未導入
・私物PCのキーロガーによる盗難
攻撃者にとって「VPNログイン情報」は企業内部に入るための“正面玄関の鍵”であり、魅力的な標的と言えます。
3. 認証後のアクセス範囲が広すぎる（境界型モデルの欠点）
VPNは“認証さえ通れば内部ネットワーク全体に広くアクセス可能”という旧来型の境界モデルです。
そのため侵入後は、
・ファイルサーバ
・AD（Active Directory）
・他部署システム
などへ横移動が容易になり、内部侵害が一気に広がります。
現代のゼロトラストの考え方と真逆をいく構造のため、リスクが非常に高いのです。
VPN運用の落とし穴と現場で起きていること
1. 老朽化したVPN装置が最大の脆弱ポイントになる
VPN機器は5〜7年で老朽化し、以下の問題が発生しやすくなります。
・ファームウェア更新停止
・暗号方式が旧式化
・ゼロデイ攻撃に即時対応できない
実際、世界的に大規模なランサムウェア事件の多くが「パッチ未適用のVPN侵害」を起点にしています。
2. 端末のセキュリティ格差がそのまま企業内部に持ち込まれる
VPNは自宅PCやBYOD端末でも接続できるため、端末の“質”が企業内部に直結します。
・ウイルス対策が古い
・OSが未更新
・家族共用PC
・脆弱なWi-Fiに接続
こうした環境からマルウェアが社内に流入し、内部で拡散するケースは国内外で多数報告されています。
3. スプリットトンネル構成の危険性
効率化のため、VPNを経由しない通信を許可する“スプリットトンネル”が使われます。しかしこれは、
- 端末が外部で攻撃を受ける
- その端末がVPNで社内に接続する
- マルウェアが企業内部に侵入
という最悪のパターンを招きます。
4. 帯域逼迫とパフォーマンス低下
クラウド利用が増えた結果、
・Teams/Zoom
・クラウドストレージ
・Web化された業務アプリ
などがすべてVPN経由となり、装置・回線がすぐに逼迫します。
増強には高額のコストがかかり、運用者の悩みのタネになっています。
VPN自体が侵害される時代
1. VPNサーバが踏み台として悪用される
侵害されたVPN装置は攻撃者に利用され、
・他社攻撃の踏み台
・マルウェア配布の中継地点
・社外への大量データ送信
といった“攻撃基盤”に変貌します。
2. 偽装VPNアプリによる情報窃取
スマホ向けVPNアプリの中には、通信内容を抜き取る悪質な偽アプリも存在。
“セキュリティ強化”を装ってインストールさせるため、被害が後を絶ちません。
ポストVPNとして脚光を浴びる技術たち
VPNを置き換える方式は単一ではなく、いくつかのアプローチが並行して進化しています。
1. ゼロトラストネットワークアクセス（ZTNA）
ZTNAは「アクセスはアプリ単位で制御する」という考え方を採用し、VPNのようにネットワーク全体を開放しません。
ユーザーや端末の状態を都度確認し、必要なアプリにだけ最小権限でアクセスを許可するため、侵害時の被害拡大を抑止できます。
クラウドサービスとの親和性が高く、VPNを段階的に置き換える企業が増えています。
2. セキュアブラウザ／ブラウザ分離
“ローカル端末にデータを保存させない”ことを実現する技術として、セキュアブラウザが注目されています。
端末にファイルを残さず、画面転送や保護されたブラウジング環境で業務を行うため、端末がマルウェアに感染しても情報漏洩リスクが大幅に減少します。
BYODとの相性も良く、端末管理の負担軽減にもつながります。
3. VDI / DaaS
仮想デスクトップをクラウド側に集約し、端末は単なる画面表示に徹する方式です。
昔から存在する仕組みですが、セキュリティの高さから再評価されています。
ただしネットワーク品質の影響を受けやすく、コストが課題となるケースも少なくありません。
“データを端末に残さない”データレスクライアントという新潮流
近年よく使われるようになってきたのが、「データレスクライアント」という考え方です。
これは特定の技術名というより、働き方全体を指すアーキテクチャ思想に近いものです。
端末にはデータを持たせず、操作画面だけを扱うことを前提とする为、
- 端末紛失時の情報漏洩リスクがほぼゼロ
- OS差異や端末性能の影響を受けにくい
- BYODでも安全に利用できる
- ゼロトラストの考え方に非常に合致する
といったメリットがあります。
セキュアブラウザやVDIは、このデータレスクライアントという発想を実現する手段であり、
ZTNAと組み合わせることで“アクセス制御”と“データを残さない”の両輪が成立します。
VPNからの移行は「段階的」に進む
VPNは依然として多くの企業で利用されていますが、
安全性・運用効率・クラウド適合性を考えると、今後は以下のような移行が一般的になるでしょう。
- まずはクラウドアプリ部分をZTNAに移行
- ファイル操作やブラウジングをセキュアブラウザ化
- 高度な作業はVDIに集約
- 全体としてデータレスクライアントの方向へシフト
段階的に置き換えていくことで、無理なく“VPN依存からの脱却”が実現します。
まとめ：VPNは便利だが“もはや万能ではない”
VPNは長年企業を支えてきた技術ですが、
・攻撃手法の高度化
・クラウド中心の業務
・BYODの普及
・端末セキュリティのバラツキ
によって、その限界が明確になってきました。
「VPNを使っている＝安全」ではなく、
VPNの運用・構造そのものがリスク要因になる時代
に入っています。
これからの企業に求められるのは、
・ゼロトラスト
・アプリ単位認証
・データレスクライアント
といった“端末を信用しない・データを残さない”方向へのシフトです。
VPN依存からの脱却は、セキュリティだけでなく、業務効率や運用負荷の改善にも直結します。
“端末を信用しない・データを残さない”リモートアクセスの環境構築はSmartGateを参照ください！！
