2025/11/12

ランサムウェアの主要な侵入口「VPN機器」のセキュリティ対策実態調査

〜大企業の6割超がVPN機器の脆弱性を即時特定できず、攻撃スピードに間に合わない可能性〜

従業員数1000名以上の企業に勤務する情報システム・セキュリティ担当者300名を対象に、VPN機器のセキュリティ対策に関する調査を実施しました。その結果、約半数（48.3%）がVPN機器のバージョンを正確に把握できておらず、脆弱性が発見された際に、対応機器の特定に時間を要する、または特定できない企業が6割超（63.3%）に上るなど、ランサムウェアの主要な侵入経路となり得る場所で、深刻なボトルネックがあることが明らかになりました。

※1 本調査を引用される際には、「yamory調べ」と必ずご記載ください。

＜調査結果サマリー＞

・約半数がVPN機器のバージョン情報を「正確には把握していない」

・脆弱性発覚時、6割超が対応機器の即時特定ができていない

・約半数が「対応遅延の経験あり」。主な課題は「人手・リソース不足」

・ランサムウェア被害増加を受け、約8割がVPN機器対策の強化を決定・検討

ランサムウェア被害拡大の背景：狙われる「VPN機器の脆弱性」

近年、企業におけるランサムウェア被害は高水準で推移しており、直近でも様々な被害が発生し、連日報道されています。特に、警察庁の発表（※2）でも、ランサムウェアの主な感染経路として、VPN機器等からの侵入が多くを占めると指摘されており、VPN機器は、組織のネットワークへの侵入を許す「主要な入り口」として狙われやすい状況にあります。
このような背景を踏まえ、yamoryは、大企業の情報システム・セキュリティ担当者を対象に、VPN機器のセキュリティ対策に関する調査を実施しました。

※2 警察庁サイバー警察局「令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について」https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf

約半数がVPN機器のバージョン情報を「正確には把握していない」

利用しているVPN機器のファームウェアやOSのバージョン情報について、「正確には把握できていない」と回答した担当者が48.3%に上りました。これは、資産情報（インベントリ）の管理が追いついておらず、脆弱性発生時に対応すべき機器を迅速に特定できないリスクを示しています。

脆弱性発覚時、6割超が対応機器の即時特定ができていない

収集した脆弱性情報と、社内の「どのVPN機器の、どのバージョン」が該当するかを特定する速さについて尋ねたところ、43.3%が「数日以内」、8.7%が「1週間以上」かかると回答、また11.3%は「特定するための仕組みがない、またはできていない」と回答しました。合計で63.3%が機器の特定に時間を要している、または特定できず脆弱性を放置していることが明らかになり、ランサムウェアの主要な入り口として攻撃しやすい状況が見受けられます。

約半数が「対応遅延の経験あり」。主な課題は「人手・リソース不足」

重大なVPN機器の脆弱性が発見された際に、対応機器の特定から影響調査に工数がかかり、対応が遅れた経験について、「頻繁にある」（10.0%）、「時々ある」（37.3%）と、約半数（47.3%）が課題を感じていることが分かりました。 VPN機器の脆弱性対策関しては、約8割が課題を抱えており、「対応するための人手・リソース不足」（42.7%）が最も多く、次いで「脆弱性情報が多すぎて優先順位がつけられない」（34.0%）となり、リソースの制約が対策の遅れに直結している実態が浮き彫りになりました。

ランサムウェア被害増加を受け、約8割がVPN機器対策の強化を決定・検討

昨今のランサムウェア被害の増加・報道を受け、自社のセキュリティ対策強化の一環として、VPN機器の脆弱性対策の見直しを行う予定について尋ねたところ、「すでに具体的な対策強化を決定した」（29.3%）、「対策強化を検討している」（49.0%）を合わせ、約8割（78.3%）が対策の強化に前向きな姿勢を示しています。

株式会社アシュアード yamory事業部プロダクトオーナー　鈴木康弘　コメント

今回の調査結果から、VPN機器のセキュリティ対策において、「資産情報の不備による対応機器の特定遅延」と「人手不足による対策工数確保の難しさ」という二重の課題があることが明らかになりました。特に、VPN機器は外部からのアクセス経路として標的になりやすく、ランサムウェア被害の増加を受け、対策強化の必要性を認識している企業は多いものの、実務が追いついていない状況です。

昨今、脆弱性情報が公開されてから悪用されるまでの期間が短縮されており、公開された脆弱性情報に迅速に対応することが、ネットワーク侵入を防御する上で極めて重要です。脆弱性の特定に数日以上を要する企業が半数以上に上る現状は、昨今の攻撃スピードとの間に大きなギャップが生まれています。

yamoryはこうした課題に対し、利用しているVPN機器を含むIT資産のバージョン情報と、最新の脆弱性情報を自動で紐づけ、対応すべき機器と脆弱性を自動で可視化します。これにより、手作業による資産情報の突き合わせや、膨大な脆弱性情報の中から「いま、自社が対応すべきもの」を特定する工数を大幅に削減し、限られたリソースでも効率的かつ迅速な脆弱性対応を実現します。