夜のニュースをたどっていて、少し背筋が伸びる報告を見つけました。企業が社内ネットワークへの入口に使っている「VPN機器（Fortinet製など）」から盗まれたログイン情報が、そのままランサムウェア攻撃の“最初の一歩”に使われている——そんな campaign（一連の攻撃活動）が続いている、というのです。「これは会社の話で、自分には関係ない」と感じるかもしれません。でも編集部は、ここに個人にも通じる大事な教訓があると考えました。
まず前提を、やさしく整理させてください。ひとくちに「VPN」と言っても、実は二種類あります。ひとつは、私たち個人がスマホやパソコンに入れて使う“アプリ型のVPN”。もうひとつは、会社が社屋のネットワークの出入口に置いている“機器型のVPN”です。今回狙われているのは後者で、私たちが普段使うVPNアプリそのものが破られた、という話ではありません。ここは安心してほしいところです。
何が起きているのか——“鍵を盗んで、あとで開ける”攻撃
今回の攻撃で怖いのは、手口の順番です。攻撃者はまず、企業のVPN機器からログイン情報（ユーザー名とパスワード）だけを静かに盗み出します。この時点では、まだ何も壊しません。そして後日、その盗んだ“正規の鍵”を使って堂々と中に入り、ランサムウェア（データを人質に身代金を要求する攻撃）を仕掛ける——そういう二段構えになっているのです。盗まれた鍵で、正面玄関から入られてしまう。だから防御側から見ると「正しいIDでログインしているだけ」に見えて、気づきにくい。ここがやっかいな点です。
なぜ“会社の話”が、個人にも刺さるのか
編集部がこのニュースを取り上げたのは、攻撃の「考え方」が個人にもそっくり当てはまるからです。攻撃者は、わざわざ頑丈な壁をこじ開けようとはしません。どこかで漏れた“本物の鍵”を拾ってきて、そのまま使うほうが早くて確実だと知っているのです。これは個人アカウントでも同じ。パスワードの使い回しや、一度どこかで流出したパスワードの放置は、攻撃者に“拾える鍵”を置いておくのと同じことなのです。
以前の記事「ランサムウェアとVPN」でも触れましたが、ランサムウェア攻撃の多くは、派手なハッキングではなく“盗んだ認証情報での正面突破”から始まります。VPNは通信の通り道を暗号化して守ってくれますが（そもそもVPNって何？は「VPNとは」をどうぞ）、鍵そのものが盗まれていたら、道の安全とは別の問題になってしまうのです。
個人が今夜からできる、現実的な備え
- メール・ネット銀行・SNSなど重要なアカウントに、二段階認証（またはパスキー）を設定する。鍵が一本盗まれても、もう一つの錠で止められます
- 同じパスワードの使い回しをやめる。一つ漏れると芋づる式に破られるため、サービスごとに別のパスワードにする
- 自分のメールアドレスやパスワードが過去の流出に含まれていないか、漏洩チェックサービスで確かめる
- 覚えきれないパスワードは頭で管理せず、パスワード管理ツールにまかせて、強くて長いものを一つずつ持つ
もし「身に覚えのないログイン通知」や「知らない端末からのアクセス」に気づいたら、それは鍵を拾われたサインかもしれません。あわてず、しかし早めに対処するための見分け方は「アカウント乗っ取りのサイン」にまとめています。
