更新されないVPN機器から、社内データが暗号化された

本記事は、よく見られる被害の流れをもとに構成したモデルケースです。特定の企業・事件を指すものではありません。

何が起きたのか

1. 4年前：在宅勤務のためにVPN機器を導入自宅から社内のファイルサーバーにつなぐため、業者に依頼してVPN機器を設置しました。保守契約は結ばず、設定はそのまま。社員は共通のアカウントでログインしていました。
2. 約1年前：修正版が公表される機器のメーカーが、この機器の脆弱性と、修正したファームウェア（機器を動かすソフト）を公表しました。しかし、社内でメーカーの情報を見ている人はおらず、更新されませんでした。
3. ある金曜の夜：侵入攻撃者は、古いファームウェアのまま動いているVPN機器を見つけて侵入。数日かけて社内のネットワークを調べ、サーバーの管理者権限を手に入れました。社内のネットワークにつながっていたバックアップ用の機器も見つけ、中のデータを消しました。
4. 月曜の朝：一斉に暗号化ファイルサーバー、会計、受注管理のデータが暗号化され、使えなくなりました。脅迫文には「支払わなければ、盗んだデータを公開する」とも書かれていました。
5. 約2週間：業務が止まる受注は電話と紙で対応し、警察に相談するとともに、外部の専門業者に調査と復旧を依頼しました。データの一部は、数か月前に別の外付けディスクへ保存していたコピーから戻せましたが、それ以降の分は取り戻せませんでした。

入口になった“ほころび”

攻撃者が使ったのは、特別な技術ではなく、すでに公表され、修正版も出ていた脆弱性でした。言いかえれば、更新さえしていれば防げた可能性が高い被害です。背景には、次のような積み重ねがありました。

• 外とつながる機器が更新されていなかった：VPN機器は、インターネットと社内をつなぐ「玄関」です。玄関の鍵に欠陥が見つかり修正版が出ていたのに、そのままになっていました。
• 機器の担当者がいなかった：設置した業者との契約は終わり、社内では「設置済みのもの」として誰も気にかけていませんでした。
• アカウントの管理が甘かった：共通アカウントのパスワードは導入時のまま変わっておらず、2要素認証もありませんでした。脆弱性がなかったとしても、別の入口になりえた状態です。
• バックアップが同じネットワーク上にあった：社内ネットワークにつながったままのバックアップは、攻撃者から見えるため、本体と一緒に壊されてしまうことがあります。

数字で見る、中小企業とランサムウェア

警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）↗（新しいタブで開きます）によると、令和7年に警察へ報告されたランサムウェアの被害は226件で、被害に遭った組織のおよそ6割が中小企業でした。被害組織へのアンケートで感染経路を見ると、VPN機器からの侵入が6割以上を占めています。

一方で、サイバー攻撃を想定した業務継続計画（BCP）を策定していた被害組織は、約18%にとどまりました。「小さな会社だから狙われない」のではなく、外とつながる機器に弱点があれば、規模に関係なく被害に遭いうること、そして多くの会社が「止まったときの備え」をまだ持っていないことが分かります。

VPN機器やルーターは、一度設置すると普段は目に触れず、パソコンのように更新の通知が出ることもあまりありません。だからこそ、「誰が、いつ確認するか」を決めておかないと、何年も放置されやすい機器だといえます。

今日からできる確認

1. 外とつながる機器を書き出す：VPN機器、ルーター、ファイアウォールなどについて、メーカー、型番、ファームウェアのバージョン、保守を担当する会社を一覧にします。
2. ファームウェアを更新する：メーカーのサイトで最新版と注意喚起を確認し、更新します。メーカーのサポートが終わった機器は、入れ替えを検討してください。使っていないVPNは止めるのが安全です。
3. VPNのアカウントを見直す：退職者や共通のアカウントを整理し、人ごとのアカウントにします。2要素認証が使える機器なら有効にします。
4. バックアップを「切り離した場所」にも置く：ネットワークから外せる媒体や、別の仕組みで守られたクラウドなど、社内ネットワークとは別の場所にもコピーを持ちます。あわせて、実際に戻せるかを一度試しておきます。
5. 止まったときの手順を決める：誰に連絡するか、紙や電話でどの業務を続けるか、外部の専門家の連絡先はどこかを、1枚の紙にまとめておきます。これが小さなBCPの第一歩です。
6. 被害に気づいたら：感染が疑われる機器はネットワークから切り離し、電源はむやみに切らずに状況を記録します。そのうえで、都道府県警察のサイバー犯罪相談窓口に相談してください。身代金を支払っても、データが戻る保証はありません。