ランサムウェア集団が狙う脆弱なVPN

サイバー犯罪者は、パロアルトネットワークスのファイアウォールおよびVPNアプライアンスで最近発見された脆弱性を悪用し、Qilinランサムウェア株を展開する攻撃を積極的に行っています。

Arctic Wolf Labsが警告するところによると、6月に発生した一連の侵入事件の共通項は、パロアルトのGlobalProtectポータルおよびゲートウェイに存在する重大な認証バイパスの欠陥（CVE-2026-0257）でした。この脆弱性の悪用は開示からわずか数日で始まったとされています。

「侵入後の攻撃手口は事案ごとに異なり、暗号化のみを行う迅速な作戦から、完全な二重恐喝に至るものまで幅広く確認されています。これは、Qilinランサムウェア・アズ・ア・サービス（RaaS）の傘下で複数のアフィリエイトが活動している可能性を示唆しています」と、Arctic Wolfの研究者はこの脅威に関する投稿で述べています。

パロアルトのVPNクライアントを狙ったこのキャンペーンは、ランサムウェア集団がネットワークエッジのツールやデバイスの脆弱性をますます標的にするという高まりつつある傾向の一環です。

エッジを狙うランサムウェア

GlobalProtectだけでなく、NCCグループの最新の四半期サイバー脅威インテリジェンスレポートによると2026年第2四半期に攻撃全体の14%を占め最も活発だった脅威グループであるQilinは、フォーティネットのFortiGate、シトリックスのNetScaler、チェック・ポイントのRemote Access VPNの欠陥も標的にしています。

チェック・ポイントは6月、廃止済みのInternet Key Exchangeバージョン1（IKEv1）プロトコルを依然として使用しているVPNを狙ったランサムウェア攻撃について警告を発しました。シトリックスは7月上旬、攻撃を受けていたNetScaler製品のCitrixBleedに類似した欠陥に対するパッチを公開しています。

一方、大規模な認証情報侵害キャンペーンであるFortibleedは、6月に世界中で75,000台のFortiGateファイアウォールを危険にさらしました。

VPNやその他のネットワークセキュリティツールに対する攻撃を強化しているのは、Qilinだけではありません。

NCCグループのランキングで2位につけ、2026年第2四半期に238件の被害を出したThe Gentlemenは、ファイアウォールやVPN、その他インターネットに露出したシステム、特にFortiGateやシスコ製品を突破口に組織へ侵入することで知られています。

NCCグループのランキングで4位（被害127件）のAkiraも、VPNの脆弱性の悪用と正規の認証情報の不正利用で知られており、主にIvanti、シスコ、フォーティネットの製品を標的としています。

攻撃の最前線に立つ

ネットワークエッジのセキュリティデバイスは、企業のセキュリティ専門家にとってセキュリティ上の負債になりつつあります。専門家が基本的かつ容易に防止できる脆弱性と表現する欠陥に起因するゼロデイ攻撃が、憂慮すべき勢いで増加しているのです。

日和見的なハッカーからランサムウェア・アズ・ア・サービスの運営者、国家の支援を受けたAPT（高度persistent脅威）集団に至るまで、幅広い攻撃者がエッジデバイスのソフトウェア脆弱性を積極的に悪用し、企業ネットワークへの侵入を図っています。

NCCグループでサイバーインテリジェンス・対応部門の副社長兼責任者を務めるマット・ハル氏は、次のように述べています。「ここ数四半期でランサムウェアの件数自体が大きく増えているわけではありませんが、攻撃の勢いは右肩上がりで、VPNは依然として魅力的な標的になりつつあります」

エッジデバイスの未パッチ脆弱性だけが、ランサムウェア攻撃を後押ししているわけではありません。例えば昨年、Clopランサムウェア集団は、オラクルのE-Business Suiteソフトウェアに存在するゼロデイ脆弱性を悪用し、数百社をハッキングしました。

闇に潜むエッジ

VPNをはじめとするインターネットに面したエッジデバイスは、組織のネットワークへの直接的な侵入経路となるため、依然としてランサムウェア攻撃者にとって格好の標的です。

サイバー脅威インテリジェンス企業Recorded Futureのシニアアドバイザー、アレクサンダー・レスリー氏は次のように述べています。「攻撃者は未パッチの脆弱性を悪用したり、盗んだ認証情報を使ったり、脆弱な認証制御を狙ったりします。場合によっては、組織がベンダーのガイダンスを適用する十分な時間を確保する前に悪用が始まってしまい、セキュリティチームには対応するための非常に限られた時間しか残されません」

VPNの悪用は、フィッシングや窃取した認証情報の悪用、ソフトウェアサプライチェーン攻撃といった他の初期侵入手法と並ぶ手口の一つです。攻撃者が好んで用いる侵入方法はキャンペーンや業種によって異なりますが、エッジデバイスにセキュリティの要所を置くことは、攻撃者の視点から見ると特有の利点があります。

「境界デバイスの脆弱性は攻撃者にとって特に価値が高いものです。これらのシステムは常にインターネットにさらされており、一部のエンドポイント制御を回避しながら特権的なアクセスを得られる可能性があるからです」とレスリー氏は述べています。

マネージド検知・対応（MDR）企業Huntressのセキュリティ運用シニアマネージャー、ドレイ・アガ氏もこの見方を裏付けており、インターネットに露出したVPNやエッジデバイスの悪用は、企業ネットワークの中枢へ「直接、かつ公開された形でアクセスできる入口」を提供するため、ランサムウェア攻撃者にとって「量的に見て主流かつ支配的な手口」であり続けていると指摘します。

Huntressによると、攻撃者はエッジデバイスの脆弱性を悪用するというより、インターネットに面したゲートウェイを、盗んだ認証情報を悪用して企業ネットワークに侵入するための手段としてより一般的に利用しています。

「Huntressで確認している状況としては、高度な脅威アクターの場合、初期侵入の経路としてVPNが使われるのはおよそ70%に上ります」とアガ氏は述べています。「しかし、圧倒的多数のケースで、彼らは侵入のために脆弱性を悪用しているわけではありません。むしろ、多要素認証（MFA）が設定されていないユーザーアカウントに対して認証を行うために、盗んだ認証情報を使用しているのです」

境界の強化

CSO（最高セキュリティ責任者）は、自社のネットワーク境界を敵地とみなして扱うべきです。具体的には、積極的なパッチ管理を徹底し、重大なエッジデバイスのアップデートは24時間から48時間以内に適用し、すべてのアクセスに厳格なMFAを義務付けることが求められます。

Huntressのアガ氏は、ゼロトラストによるネットワークセグメンテーションを導入して攻撃者を封じ込め、最初のゲートウェイが侵害された場合でも横方向への移動を防ぐことも、企業ネットワークを攻撃に対してより強靭にする上で役立つとアドバイスしています。

フィッシング耐性のある多要素認証、サポートが終了したシステムの撤去、そして通常とは異なる認証活動や管理活動の綿密な監視も、攻撃の影響を軽減する上で重要な要素となります。

積極的に悪用されていることが判明しているインターネットに面した資産は、パッチ適用の優先対象とすべきです。

「脅威インテリジェンスと実際の悪用の証拠は、どの脆弱性に対して即座に対応すべきかを判断する助けになるはずです」とRecorded Futureのレスリー氏は述べています。