2026年10月、国内でサイバー攻撃の被害公表が続きました。IDCフロンティアのクラウド基盤がランサムウェア攻撃を受けて495の企業・自治体に影響が及び、そこにシステムを預けていた日水物流では全拠点の入出荷が止まりました。ブックオフでは約638万人分の会員情報が外部に取得されています。

3社とも侵入経路は調査中、または公表を差し控えるとしています。ただ、警察庁の統計では、ランサムウェアの侵入経路が判明した事例の約5割がVPN機器です。外部に公開している機器の弱点を、攻撃者より先に外から確かめる手段がネットワーク脆弱性診断です。

本記事では、ネットワーク脆弱性診断で何を調べ、何がわかるのか、診断の対象になる機器、診断を待たずに今日できるVPN機器の確認、依頼の流れと頻度を、情シス担当者向けに整理します。

想定読者

本記事は、次のような方を想定しています。

• 10月の攻撃報道を受けて、自社のVPNやファイアウォールが大丈夫か確認したい情シス担当者
• テレワーク用に導入したVPN機器を、導入後ほとんど触っていない方
• 脆弱性診断を検討しているが、Webアプリ診断とネットワーク診断の違いがわからない方
• 経営層や取引先から「セキュリティ診断は受けているか」と聞かれ、説明の材料を探している方

---

2026年10月に相次いだサイバー攻撃と、VPN機器が狙われる理由

10月に公表された3つの被害

10月上旬に公表された主な被害を、各社の公式発表から整理します。

日水物流の例は、自社の機器に問題がなくても、委託先のデータセンターやクラウドが被害を受ければ業務が止まることを示しています。診断の範囲を考えるときは、自社が外に公開している機器に加えて、業務を預けている委託先がどう守られているかも視野に入れる必要があります。

侵入経路の約5割はVPN機器（警察庁統計）

警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、令和8年上半期のランサムウェアの被害報告件数は123件で、半期の件数としては統計を取り始めた令和2年下半期以降で最多でした。被害組織の約6割は中小企業です。

侵入経路は、被害組織へのアンケートで判明した36件のうち、VPN機器からの侵入が18件、リモートデスクトップからの侵入が9件、その他が9件でした。令和7年の年間でも、判明した92件のうちVPN機器が61件を占めています。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」（11年連続）、4位は「システムの脆弱性を悪用した攻撃」です。

VPN機器が狙われる3つの理由

VPN機器が侵入口になりやすいのは、次の3つの性質が重なるためです。

1. インターネットに常時公開されている：社外から社内に入るための機器なので、インターネット側から到達できる状態で動き続けます。攻撃者は公開されている機器を機械的に探し、製品名とバージョンを特定できます
2. 深刻な脆弱性が相次いで見つかっている：IPAは2025年10月の注意喚起で「ネットワーク境界に位置するVPN機器等において、深刻な脆弱性が相次いで報告され、実際にネットワーク貫通型攻撃に悪用される事例も確認」されていると説明しています。修正版が出ても、適用するまでの間は攻撃を受けうる状態が続きます
3. 更新が後回しになりやすい：ファームウェアの更新には再起動が伴い、全社員のリモート接続が一時的に止まります。導入した保守ベンダー任せで、社内の誰もバージョンを把握していないケースもあります。サポートが終了した機器が、拠点の片隅で動き続けていることも珍しくありません

一度VPN機器から入られると、攻撃者は社内ネットワークの「内側」から動けます。ファイアウォールの内側にあるファイルサーバーや基幹システムが、外部から直接狙われるのと同じ状態になります。

---

ネットワーク脆弱性診断とは：何を調べ、何がわかるのか

ネットワーク脆弱性診断は、サーバー、ファイアウォール、ルーター、VPN装置といったネットワークを構成する機器に対して、既知の脆弱性や設定の不備が残っていないかを調べるサービスです。

経済産業省の「情報セキュリティサービス基準」は、脆弱性診断サービスを「Webアプリケーション脆弱性診断」「プラットフォーム脆弱性診断」「スマートフォン／タブレット端末アプリケーション脆弱性診断」の3つに区分しています。ネットワーク脆弱性診断は、このうちプラットフォーム脆弱性診断にあたる通称です。ベンダーによって「ネットワーク診断」「プラットフォーム診断」「サーバー診断」と呼び方が分かれますが、調べる対象は同じです。

Webアプリケーション診断・ペネトレーションテストとの違い

脆弱性診断には大きく3つの種類があり、目的と対象が異なります。

VPN機器が侵入口になる攻撃への備えとして最初に受けるのは、ネットワーク脆弱性診断です。ペネトレーションテストは、診断で弱点を把握し、対策を終えた後の検証として位置づけるのが一般的です。

外部診断と内部診断

ネットワーク脆弱性診断は、どこから調べるかによって2つに分かれます。

• 外部診断（リモート診断）：インターネット側から、自社のグローバルIPアドレスに対して診断します。攻撃者と同じ立場で、外から何が見えるかを確認するものです。VPN機器やファイアウォール、公開Webサーバーが主な対象になります
• 内部診断（オンサイト診断）：社内ネットワークに診断用の端末をつなぎ、内側から診断します。VPN機器を突破された後に、攻撃者が横に広がっていけるサーバーや端末がないかを確認します

VPN機器が狙われている状況への対応としては、まず外部診断で入口をふさぎ、次の段階で内部診断に広げる順番が現実的です。

診断でわかること・わからないこと

診断を依頼する前に、診断で確認できる範囲を押さえておくと、報告書を受け取ったあとの判断がぶれません。

診断はある時点の状態を写した写真です。報告書で問題がなくても、翌月に使っている機器の深刻な脆弱性が公表されることがあります。後述する頻度の考え方とセットで運用することが前提になります。

---

診断の対象になる機器：外から見える入口を洗い出す

ネットワーク脆弱性診断の見積もりと範囲は、「どのIPアドレスを診断するか」で決まります。対象になるのは、インターネットから到達できる次のような機器とサービスです。

• VPN装置・リモートアクセス用の機器：テレワーク用に導入したSSL-VPN装置、拠点間VPNのルーター
• ファイアウォール・UTM：インターネットとの境界に置いている機器と、その管理画面
• 拠点のルーター：拠点ごとに回線を契約し、本社の情シスが把握していないもの
• 公開サーバー：Webサーバー、メールサーバー、DNSサーバー、ファイル共有サーバー
• リモート保守用の回線：保守ベンダーが外から接続するために開けているポートやリモートデスクトップ
• クラウド上の公開サービス：AWSなどで、パブリックIPアドレスを持たせたサーバーや、外部に開けたままの管理用ポート

診断の対象から漏れやすいのは、拠点のルーター、検証用に立てたまま放置したクラウドのサーバー、保守ベンダー向けの接続口です。ドメインとグローバルIPアドレスの契約情報、ファイアウォールのNAT設定、クラウドの管理画面を突き合わせて一覧を作ると、抜けを減らせます。公開資産の棚卸しの手順と、台帳に残す項目は次の記事で詳しく解説しています。

---

診断を待たずに今日できるVPN機器の確認5つ

診断の日程が決まるまでには、見積もりと調整で数週間かかります。その間に、情シスが自分で進められる確認があります。IPAの注意喚起と警察庁が挙げる対策をもとに、優先度の高いものから並べました。

1. 機器のメーカー・型番・ファームウェアのバージョンを一覧にする：VPN装置、ファイアウォール、拠点ルーターのそれぞれについて、管理画面でバージョンを確認して記録します。保守ベンダーに任せている場合は、ベンダーに一覧の提出を依頼します
2. メーカーの脆弱性情報と照らし合わせ、未適用の修正を適用する：メーカーのセキュリティ情報、JPCERT/CC やIPAの注意喚起で、使っているバージョンに該当する脆弱性がないかを確認します。サポートが終了した機器は、IPAが示すとおり更新または廃棄の計画を立てます
3. 管理画面を外部に公開せず、不要なサービスとポートを止める：VPN装置やファイアウォールの管理画面がインターネットから開ける状態になっていないかを確認します。使っていない機能やポートは停止します
4. 不要なアカウントを削除し、多要素認証を有効にする：退職者、テスト用、導入時に作った共通アカウントが残っていないかを確認します。VPNの認証には多要素認証を設定し、接続元のIPアドレスを制限できる場合は制限します
5. 接続ログを確認できる状態にし、バックアップを切り離して取る：VPNの認証ログを保存し、深夜や海外からの接続、短時間の大量のログイン失敗がないかを確認します。バックアップは、ネットワークからつながらない場所にも取得します

ひとつ注意があります。修正を適用する前にすでに侵入され、認証情報を盗まれていた場合、修正後も盗まれたIDとパスワードで接続される可能性があります。深刻な脆弱性が見つかった機器では、修正の適用とあわせて、VPN利用者のパスワード変更と、管理者アカウントの見直しまで行います。

---

ここまでの確認で「VPN装置のバージョンを最後に確認したのがいつか思い出せない」「拠点や保守ベンダーの接続口を含めた一覧が作れない」という状態であれば、外部からの脆弱性診断で現状を一度確かめることをおすすめします。c3index では、診断対象の洗い出しから診断、検出された脆弱性の修正と再診断まで対応しています。

---

ネットワーク脆弱性診断の進め方と頻度

依頼から報告までの流れ

外部からのネットワーク脆弱性診断は、一般に次の流れで進みます。

1. 対象の確定：診断するグローバルIPアドレスとドメインの一覧を作り、ベンダーに提出する。この一覧の精度が、見積もりと診断の精度を決める
2. 日程と影響の調整：本番の機器に対してスキャンを行うため、実施する時間帯、診断元のIPアドレス、緊急時の連絡先を決める。古い機器は負荷のかかる診断で不安定になることがあるため、業務時間外の実施や診断の強度を相談する
3. 診断の実施：ポートスキャンで開いているサービスを特定し、バージョンの確認と既知の脆弱性の検出、設定の確認を行う。外部診断の作業そのものは、IPアドレスの数にもよりますが数日で終わることが多い
4. 報告書の受領：検出した脆弱性ごとに、深刻度（CVSS）、検出の根拠、修正方法が書かれた報告書を受け取る。深刻なものは報告書を待たず速報で連絡するベンダーもある
5. 修正と再診断：深刻度の高いものから修正し、再診断で解消を確認する。修正の内容と日付を記録に残す

報告書を受け取っても、修正が進まなければ診断の意味は半減します。ファームウェア更新のための停止時間の確保、保守ベンダーへの作業依頼、更改が必要な機器の予算化まで、報告書を受け取った時点で担当者を決めておくと滞りません。

どのくらいの頻度で受けるか

頻度は、次の3つのタイミングで考えます。

• 定期診断：年1回を目安に、公開している機器全体を診断する
• 構成が変わったとき：VPN装置の入れ替え、拠点の追加、クラウドへの移行など、外から見える入口が変わったとき
• 使っている機器に深刻な脆弱性が公表されたとき：この場合は診断を待たず、修正の適用を先に行う。適用後に、修正が効いているかを確認する目的で診断を使う

IPAは注意喚起の中で、自組織の公開状況を把握する手段としてASM（Attack Surface Management）の活用も挙げています。ASMは、インターネットから見える自社の資産を継続的に洗い出す仕組みです。年1回の診断だけでは追いきれない変化を拾う手段として、規模に応じて組み合わせを検討します。

費用の目安

ネットワーク脆弱性診断の費用は、診断するIPアドレスの数で決まるのが一般的です。ツールを使った診断なら1IPあたり数万円、IPアドレスが数件の小規模な構成で10万〜30万円程度、技術者が手作業で確認する手動診断を含めると50万〜200万円程度が目安です。種類別の料金と、見積書で確認すべき項目は次の記事にまとめています。

---

SCS評価制度★4の技術検証にもつながる

2026年度下期から運用が始まる経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）でも、VPN機器は検証の対象として名指しされています。

制度構築方針は、★4の技術検証について「インターネットに公開している機器のうち、脆弱性を悪用等された場合に組織内部に侵入されるリスクが高い機器（例：VPN装置、ルータ）を対象として、技術的な検証として脆弱性検査を実施する」と定めています。所要期間は1日から2日程度で、直近に行った脆弱性検査の結果を提出すれば検証の代わりとみなすことも検討されています。

技術検証そのものは、IPAの情報セキュリティサービス基準適合サービスリストの登録要件を満たす技術検証事業者が行います。ただ、検証で見られる観点は、本記事で解説した外部からのネットワーク脆弱性診断とほぼ同じです。取引先から★4を求められる可能性がある企業は、事前に同じ観点で診断と修正を済ませておくと、検証での手戻りを減らせます。

---

よくある質問

Q. VPN機器のメーカー保守に入っていれば、診断は不要ですか？

A. 保守契約の範囲によります。多くの保守契約は、ファームウェアの提供や故障時の交換が中心で、修正を適用するかどうか、管理画面を外に公開していないか、不要なアカウントが残っていないかといった運用面は利用企業の側に残ります。診断は、その運用の結果として外から何が見えているかを確認するものです。保守契約の内容を確認し、ファームウェアの適用まで含まれているかを保守ベンダーに問い合わせてください。

Q. 診断中にVPN接続や業務が止まることはありますか？

A. 外部診断は、通常は機器を動かしたまま行います。ただし、古い機器や処理能力の低い機器は、スキャンの負荷で応答が遅くなったり再起動したりすることがあります。業務時間外に実施する、事前に設定のバックアップを取る、診断の強度を調整するといった対応を、ベンダーとの事前打ち合わせで決めておきます。

Q. AWSなどクラウド上のサーバーも診断の対象になりますか？

A. なります。パブリックIPアドレスを持つサーバーや、外部に開いている管理用のポートは、オンプレミスの機器と同じく攻撃者から見えています。AWSの侵入テストのポリシーでは、EC2、RDS、ロードバランサーなど一覧に載ったサービスであれば、利用企業は事前の承認なしに脆弱性診断や侵入テストを実施できます。一方で、DoS攻撃にあたる大量の通信を送る試験やDNSのゾーンウォーキングなどは禁止されており、負荷試験には別の申請が必要です。依頼するベンダーが、こうしたクラウド事業者のポリシーに沿って診断するかを確認してください。

Q. 中小企業でも診断を受けるべきですか？

A. 警察庁の統計では、令和8年上半期のランサムウェア被害の約6割が中小企業でした。公開している機器がVPN装置とファイアウォールの数台であれば、診断するIPアドレスも少なく、費用も小さく収まります。まずは今日できる確認5つを進め、そのうえで外部診断を検討する順番がおすすめです。

Q. すでに侵入されていないか不安です。脆弱性診断で確認できますか？

A. 脆弱性診断は、弱点が残っているかを調べるもので、侵入の有無を調べるものではありません。不審な接続がVPNのログに残っている、身に覚えのない管理者アカウントがある、といった兆候があれば、診断より先にログ調査や侵害調査を行います。ランサムウェアの被害が疑われる場合の初動は、本記事で紹介したランサムウェア対策の記事で解説しています。

---

まとめ

本記事のポイントをまとめます。

• 2026年10月、IDCフロンティア・日水物流・ブックオフで被害の公表が続いた。3社とも侵入経路は公表されていないが、日水物流は委託先の被害で全拠点の入出荷が止まった
• 警察庁の統計では、令和8年上半期のランサムウェア被害は123件で過去最多。侵入経路が判明した事例の約5割がVPN機器、被害組織の約6割が中小企業
• ネットワーク脆弱性診断は、VPN装置やファイアウォールなど公開機器の既知の脆弱性と設定不備を外から確かめる診断で、公式の区分では「プラットフォーム脆弱性診断」にあたる
• 診断の対象から漏れやすいのは、拠点のルーター、放置したクラウドのサーバー、保守ベンダー向けの接続口
• 診断を待たずに、バージョンの一覧化、修正の適用、管理画面の非公開化、不要アカウントの削除と多要素認証、ログとバックアップの確認を進める
• 診断は年1回の定期診断に加え、構成変更時と、使っている機器に深刻な脆弱性が公表されたときに行う

自社のVPN装置がいま外からどう見えているかは、確かめるまでわかりません。まずは機器とバージョンの一覧を作るところから始めてください。

---

c3index に相談する

c3index は、製造業・中堅企業の情シスを支援するシステム会社です。VPN装置やファイアウォールを含む公開機器の洗い出し、外部からの脆弱性診断、検出された脆弱性の修正と再診断までを、システム開発・インフラ構築の経験をもとに一貫して支援しています。名古屋・東京・福岡の3拠点体制で対応しています。まずはお気軽にご相談ください。