多店舗企業のVPN対策
本コラムでは、サイバー攻撃者からの１度の侵入を全店舗へ広げない2つの確認ポイントについてご紹介します。
店舗のVPNが狙われる理由とは？
店舗ではどのような機器でネットワーク利用しているのでしょうか。それらの機器が外部とアクセスするためにVPNを利用しているケースが2つあります。
①社員や店舗スタッフが利用
店舗では、POS、セルフレジ、決済端末、監視カメラ、デジタルサイネージ等の本社や外部へ接続する多くのネットワーク機器があります。社員や店舗スタッフは、社外環境へリモートアクセスVPN機器を利用して、来店したお客様の会員情報、店舗の売上情報や勤怠関連の情報を確認することがあります。
②店舗機器の保守ベンダーが利用
店舗のネットワーク機器のメンテナンスをする必要があるため、保守ベンダーが外部接続ルート（リモートアクセスVPN）を利用する可能性があります。
ランサムウェアの侵入経路
VPNは便利な一方で、ランサムウェアの感染経路の割合が2025年では65％以上がVPN機器からの感染と高い数値となっています。
近年、この「VPN機器（オンプレ）」の構成がサイバー攻撃者にとって格好の標的になっています。サイバー攻撃者は、重要情報であるお客様の会員情報やカード情報などを狙って攻撃をしてきます。
| 感染経路 | 2022年 | 2023年 | 2024年 | 2025年 |
| ①VPN機器 | 61.8% | 63.5% | 55.0% | 66.3% |
| ②リモートデスクトップ | 18.6% | 18.3% | 31.0% | 20.7% |
| ③メール添付資料 | 8.8% | 5.2% | 2.0% | 2.2% |
| ④その他 | 10.8% | 13.0% | 100% | 10.9% |
| ①＋② | 80.4% | 81.8% | 86.0% | 87.0% |
参考資料：「情報セキュリティ10大脅威2026」解説書［組織編］の［出展] 警察庁 サイバー空間をめぐる脅威の情勢等
店舗環境では、VPNのアップデートが遅れるのは技術的な問題だけではなく、構造的な要因が重なり、“分かっていても更新できない”状況が生まれています。
-
- 24時間営業をしていたり、週７日オープンしていて停止可能な時間が短い
- 拠点数が多く、作業コストが膨大
- 全店舗と同じ構成の検証環境を用意するのが難しく、検証不足
- 新規出店、人手不足、既存システムなどが優先され、いつかやるタスクになっている
そして攻撃者は、まさにこの隙間を狙ってきます。
VPN機器が侵入口となり、本部システムや他店舗へ被害が拡大する可能性があります。
ここで重要なのは、「VPNを使っているか」ではなく、
チェック①：サポート期限は切れていないか
チェック②：多要素認証は導入されているか
を定期的に確認することです。
【昔導入したまま】【誰も設定を把握していない】といった場合には、一度、現状の確認を行うことをお勧めします。
チェック①：サポート期限は切れていないか
保守切れVPN機器が危険な理由
ネットワークインフラは一度正常に動作すると、順調に運用されることが多いため、更新が後回しになりやすく、気づかないうちに保守サポートが終了しているケースも少なくありません。
しかし、保守切れとなったVPN機器を利用し続けることは、大きなセキュリティリスクにつながります。
特に、店舗情報がインターネットに公開されている場合、それらのVPN機器は攻撃対象になりやすく、古い機器を使い続けている店舗やチェーン全体が標的になるケースも増えています。
このような環境では、VPN機器が侵入口となり、本部システムや他店舗へ被害が拡大するリスクがあります。
VPN機器のEOL前
VPN機器のセキュリティパッチのアップデートをしている場合は、VPN装置が守られています。
VPN機器のEOL後も機器を使い続けた場合のサイバー攻撃
VPN機器のセキュリティパッチのアップデートがないため、脆弱性の隙からサイバー攻撃者が侵入可能になります。
チェック②：多要素認証は導入されているか
VPNや本社のPOS管理、在庫システム、会員情報へのアクセスにID、パスワードでアクセスしていませんか？
また、店舗機器の保守ベンダーがID、パスワードを使いリモートVPNで外部接続をしていませんか？
昨今、漏えいした認証情報（ID、パスワード）がダークウェブ上で売買され、それらを悪用してVPNへ侵入されるケースが多く確認されています。この認証強度の低さがサプライチェーンリスクにも直結します。
そのため、「正しいID・パスワードを入力できる＝安全」とは言えない状況になっており、認証情報の漏えいを前提とした対策として多要素認証が不可欠です。
VPNの脆弱性を入口に、各店舗や本部で管理している会員情報や決済情報の個人情報などの重要データまでたどり着いてしまう可能性があります。
多要素認証では下記の対応が可能です。
-
- VPNへの不正ログインを防止
- 本店/本部への接続や管理者アカウントへのなりすましアクセスを大幅に低減
- 外部ベンダーのリモート接続にも安全な認証を強化
- 全体へ被害が広がるリスクを抑制
多要素認証なしの場合
VPN装置のセキュリティアップデートで脆弱性などの攻撃は防御できますが、攻撃者がダークウェブサイトからID、パスワードを不正に入手した場合、侵入を試みることができます。
多要素認証でIDセキュリティを強化
ID、パスワードのみでは侵入できないため、サイバー攻撃からの侵入を防ぐことができます。
■多要素認証とは？多要素認証（MFA：Multi-Factor Authentication）とは、ID、パスワードに加えて、別の認証要素（知的情報、所持情報、生体情報など）を組み合わせて本人確認を行う仕組みです。 高度化するサイバー攻撃にどう備える？のコラムに図を交えて詳しく説明をしています。 |
まとめ
VPNをやめる企業が増えている理由
コラムで言及した通り、近年は、VPN機器の脆弱性や漏えいした認証情報を悪用したサイバー攻撃が増加しており、店舗も主要な標的となっています。
攻撃者はEOLを迎えたVPN機器の経路、漏えいしたID、パスワードを悪用し、顧客情報や決済情報などの重要データなどを狙ってきます。
これらの重要情報にたどり着かないようにするために重要なのが、IDのセキュリティです。
当社では、お客様環境の簡易診断を承ります。
各店舗のセキュリティに不安や課題をお感じの方は、お問い合わせよりご相談ください。
✓ VPN機器の保守期限の確認
✓ VPN利用状況の簡易確認
✓ リモートアクセス構成の棚卸し
参考資料：IPA 独立行政法人 情報処理推進機構 情報セキュリティ 10 大脅威 2026 解説書［組織編］
https://www.ipa.go.jp/security/10threats/10threats2026.html
