VPN
正式名称
Virtual Private Network の略です[1]。総務省 東海総合通信局の用語集は、VPNの一種であるIP-VPNの説明で「仮想私設通信網」という訳語を使っています[6]。
何をする仕組みか
米国立標準技術研究所（NIST）の用語集は、出典ごとに複数の定義を載せています[1]。そのうちの1つはこうです（和訳）。
既存の物理的なネットワークの上に構築される仮想的なネットワークで、ネットワーク間でやり取りされるデータやIPの情報に、安全な通信の仕組みを提供できるもの
— NIST 用語集
別の定義は、作り方を「暗号化や、仮想ネットワークの通り道を実際のネットワークの中にトンネルのように通すこと」と書き、「利用者を限った論理的なコンピュータネットワーク」としています[1]。さらに別の定義は、「専用線のように見せる」接続だと説明しています[1]。
まとめると、すでにあるネットワークの上に、暗号化などで中身を守った「専用線のように見える通り道」を作るのがVPNです。
個人情報保護委員会は、テレワークの注意事項の中でVPN機器を「インターネット上に安全なセキュリティ経路を作るためのネットワーク装置」と注記しています[2]。
どこで使われているか
- テレワーク：社外から社内のシステムにつなぐ入口として使われます。個人情報保護委員会は、「VPN機器経由にてリモート環境から社内システムへアクセスする際には、多要素認証を導入することで、万が一IDとパスワードが漏えいした場合であっても、なりすましによる不正アクセス被害を防ぐ。」と対策を挙げています[2]（多要素認証）。
- 外出先の公衆Wi-Fi：IPAは、テレワークの注意事項として「公衆Wi-Fiを利用する場合は、必要に応じて信頼できるVPNサービス」を利用するよう呼びかけています[5]。
よくある誤解：VPNなら何でもインターネットを通るのか
VPNという言葉は、通信事業者のサービスの名前にも使われます。総務省 東海総合通信局の用語集は、「IP-VPN」を「電気通信事業者の閉域IP通信網を経由して構築された仮想私設通信網。」と説明し、「IP-VPNを利用することにより、遠隔地のネットワーク同士をLAN同様に運用することが可能。」としています[6]。
同じ「VPN」でも、どの回線の上に通り道を作っているかは製品やサービスによって違います。
なぜ攻撃に狙われるのか
VPN機器は、社外と社内の境目に置かれた入口です。IPAは2025年10月31日の注意喚起で、こう書いています[3]。
ネットワーク境界に位置するVPN機器等において、深刻な脆弱性が相次いで報告され、実際にネットワーク貫通型攻撃に悪用される事例も確認されています。
— IPA
影響の1つとして、「攻撃者が自組織のネットワーク内に侵入し、組織内の情報が窃取されるおそれがある。」と挙げています[3]。
この傾向は以前から指摘されていました。総務省の『令和2年版 情報通信白書』は、米国のセキュリティ機関CISAが「社外からの安全な接続を確立するためのVPNも脆弱性が発見されており、攻撃の標的にされるケースが増えていると警告している」と紹介しています[4]。個人情報保護委員会も、漏えい事案の例として「脆弱性があるVPN機器への不正アクセスにより社員の認証情報等が外部に漏えいした事例」を載せています[2]（脆弱性、不正アクセス）。
どう守るか
IPAの注意喚起は、主な対策として次を挙げています[3]。
- 「機器ベンダが提供する脆弱性対策済みのパッチを速やかに適用するとともに、サポートが終了している古い機器については更新または廃棄を検討する。」
- 「管理インターフェースは外部公開せず、不要なサービス・ポートは停止する。」
ニュースで読むときの注意
ニュースの「VPN」には、会社が社外からの接続のために置くVPN機器の話と、個人が契約するVPNサービスの話が混ざります。「VPN機器の脆弱性を突かれた」という記事は、前者の「組織の入口」の話です。どちらの話かを分けて読むと、自分に関係があるか（会社の情報システム担当の話か、自分のスマートフォンやパソコンの話か）が判断しやすくなります。
人通りの多い大通り（インターネット）に、外から中の見えない専用の地下通路を掘るようなものです。通路の中は守られていますが、通路の入口の扉（VPN機器）の鍵が壊れていれば、そこから誰でも入れてしまいます。