境界機器（VPN・ルーター）の脆弱性を狙う初期侵入とランサムウェア展開
【背景と概要】
近年、国内の有名製造業者や流通企業、サービス事業者が相次いで大規模なシステム停止やデータ暗号化被害に追われました。これらの大規模インシデントにおいて、攻撃者が最初の侵入経路（初期アクセス）として最も多く悪用したのが、ネットワークの入口に設置されている「VPN機器やネットワークルーター等の境界機器の未修正脆弱性」です。
フィッシングメールによる侵入よりも、インターネット上に露出しているVPN機器の未修正の欠陥（ゼロデイおよびNデイ脆弱性）を突いて社内網へダイレクトに侵入する手口が、攻撃者にとっての「効率的な常套手段」となっています。
【なぜ境界機器が標的とされるのか】
VPN機器やネットワークエッジ機器特有の構造が関係しています。
- インターネットへの常時露出と認証の通過点
VPN機器は社外からのリモートアクセスを受け入れるため、24時間インターネット全体にIPアドレスが露出しています。ここに管理者権限を奪取できる重大な脆弱性（CVE）が存在した場合、攻撃者は物理的な認証を飛び越えて直接侵入することが可能となります。
- 機器内でのエージェント（EDR）不保持
一般的なPCやサーバーとは異なり、専用OS（Linuxベース等）で動作するネットワーク機器には、通常のアンチウイルスやEDR（端末監視ソフト）をインストールできません。そのため、機器自体がハッキングされても検知が遅れやすいというセキュリティの死角になります。
- 機器パッチ適用の運用負荷
VPN機器のファームウェア更新には再起動（通信切断）が伴うため、24時間365日稼働している企業ではパッチ適用が後回しにされやすく、数ヶ月〜数年前の古い脆弱性がそのまま放置されがちです。
【侵入後の「攻撃連鎖（Kill Chain）」の典型パターン】
VPN機器が突破されると、攻撃は一気に加速します。
- ステップ1： VPN機器の脆弱性を突き、機器内の管理者キャッシュやネットワークアクセス権を取得。
- ステップ2： 社内LANに侵入後、正規の運用コマンド（PowerShellやPsExec等）を用いてアクティブディレクトリ（AD）やドメインコントローラー（DC）へ横移動（ラテラルムーブメント）。
- ステップ3： 全ドメイン管理者権限を獲得した後、接続されているバックアップサーバーを優先的に破壊・消去。
- ステップ4： 業務時間外（夜間や休日）を狙い、全拠点・全端末へ一斉にランサムウェアを配信・暗号化実行。
【企業に求められる防衛アプローチ】
「境界の穴を即座に塞ぐ体制」と「侵入後の隔離」が求められます。
- アタックサーフェス管理（ASM）と優先度の高いパッチ適用
自社およびグループ企業がインターネットに公開している全境界機器を自動可視化（ASM）し、CISA（米サイバーセキュリティ局）のKEV（悪用確認済み脆弱性リスト）等に掲載された重要脆弱性は、数日以内に適用する運用体制を整えます。
- VPN接続における多要素認証（MFA）とパスキーの必須化
万が一機器の脆弱性から認証情報（ID/パスワード）が抜き取られた場合でも、FIDO2等のフィッシング耐性のあるMFAを設定しておくことで、不正ログインを抑止します。
- ZTNA（ゼロトラスト・ネットワークアクセス）への置き換え
ネットワーク全体へのフルアクセスを許す従来型VPNから、事前に許可された特定のアプリケーションにのみアクセスを限定する「ZTNA」へと切り替え、侵入された際の被害半径を狭めます。