セキュリティ・バブル

最近、セキュリティの話をされる機会が、明らかに増えた。
先日のPHP脆弱性問題の直後、UTMを非常に高額なリース契約で提案する業者も確認した。

・セキュリティ診断のご案内
・標的型メール訓練のご提案
・情報セキュリティ規程のひな形販売
・「ゼロトラスト」と書かれた、よく分からない資料

大企業がランサムウェアの被害に遭うたびに、こういった営業が一斉に動き出す。
セミナーの案内も増える。
資格を持った人も増える。

業界全体が、なんとなく盛り上がっている気がする。

ところが、実際に被害に遭った会社のニュースを追いかけてみると、少し違う景色が見えてくる。

――― 結局、また、古いVPNから入られている

私は、この状況を「セキュリティ・バブル」と呼んでいる。

お金も、人も、話題も集まっている。
しかし、それが本当に守るべき場所に流れているとは思えない。

今回は、この辺りのことについて書き綴っていく。

どこから、入ってくる？

まず、事実から確認しておきたい。
警察庁は、毎年ランサムウェアの被害状況を公表している。

その中で、感染経路として繰り返し上位に挙がるのが、以下の二つだ。

・VPN機器
・リモートデスクトップ

年によって多少の違いはあるが、感染経路が判明したランサムウェア被害では、この二つが大きな割合を占めている。
調査によっては、合わせて８割前後に達する。

もちろん、これはサイバー攻撃全体の統計ではない。
フィッシングメールなどを使った攻撃も、依然として大きな脅威だ。

しかし、少なくともランサムウェアに関しては、外部接続機器の管理が極めて重要であることが分かる。

VPNとは、外出先や自宅から、会社のネットワークへ安全に接続するための仕組みだ。
コロナ禍で、テレワークのために多くの会社が慌てて導入した。

問題は、その一部が「導入したまま」になっていることだ。

・数年前のファームウェアのまま動いている
・メーカーが脆弱性を公表しても、誰も気づかない
・退職した社員のアカウントが、まだ生きている
・初期設定のまま、あるいは推測されやすいパスワードを使っている
・そもそも、どの業者が設定したのか、誰も覚えていない

攻撃者は、こういった機器を、インターネット上から自動で探し回っている。
一軒一軒ドアノブを回して、鍵の開いている家を探すようなものだ。

しかも、2026年現在、この「ドアノブを回す作業」は、AIによる自動化の高度化も加わり、ますます効率化している。

脆弱性が公表されてから、実際に攻撃が始まるまでの猶予は、年々短くなっている。

管理されていない機器を放置する余裕など、もはやない。

専門家は、何の話を？

一方で、セキュリティの専門家の話を聞いてみると、不思議なことに気づく。

・パスワードを定期的に変更しましょう（現在は、一律の定期変更を推奨しない考え方が主流になっている）
・怪しいメールは開かないようにしましょう
・社員教育を定期的に実施しましょう
・情報セキュリティ規程を整備しましょう
・インシデント発生時の連絡体制をつくりましょう

どれも、必要な話だ。

人間の行動や、社内のルールを整えることも、セキュリティ対策の重要な一部である。

しかし、これらは主に「運用側」の話だ。

――― 会議室の壁の隅で、7年前に設置されたVPN機器が、今日もインターネットに向かって口を開けている

その話は、なかなか出てこない。

全員がそうだとは言わない。

セキュリティには、技術、監査、法務、組織管理など、それぞれ異なる専門分野がある。
すべてを一人で理解する必要もない。

しかし、少なくとも、私が知人の会社や取引先で見聞きする限り、話の大半は運用の話だ。

肝心の機器が、どのような状態にあるのか？

そこまで踏み込む提案は、意外なほど少ない。

なぜ、こうなるのか？

私は、いくつか理由があると思っている。

理由１：運用の話

運用の話には、大きな特徴がある。

――― 誰も傷つかない

「社員教育をしましょう」と言われて、怒る経営者は少ない。
「規程を整備しましょう」と言われて、反論する担当者も少ない。

ところが、「御社のVPN機器、3年前の脆弱性が放置されています」と言った瞬間、空気が変わる。

誰が導入したのか？
誰が管理していたのか？
なぜ放置されていたのか？

犯人探しが始まる。

そして、その矛先は、たいてい、その機器を導入した業者か、社内で唯一パソコンに詳しい誰かに向かう。

提案する側からすれば、これほど面倒な話はないと思う。
だから、誰も傷つかない運用の話に流れやすい。

研修を売り、規程を売り、訓練を売る。
毎年、継続して売れる。

問題は、何が危険なのかを把握する前に、何を買うのかが決まってしまうことだ。

理由２：機器の話

もう一つの理由は、もっと単純だ。

VPN機器の脆弱性を確認するには、実際にその機器の情報を調べる必要がある。

型番を調べ、ファームウェアのバージョンを確認し、メーカーの脆弱性情報と照らし合わせる。

必要な権限を得たうえで、設定やアカウントの状態も確認する。

これは、資料を読んで話すだけでは完結しない仕事だ。

ネットワーク機器の仕組みを理解していなければ、そもそも、どこを確認するべきかも判断できない。

セキュリティの資格は、持っている。
しかし、ルータの設定画面を開いたことはない
こういう専門家が存在しても、不思議ではない。

資格の勉強には、管理や体制に関する知識も多く含まれる。
それ自体は悪いことではない。

ただし、組織管理の専門家と、ネットワーク機器の脆弱性を調査する技術者は、必ずしも同じではない。

問題は、その違いを、提案する側も、購入する側も、十分に理解していないことだ。

立派な資格を持った専門家に相談した。

だから、技術的にも安全になったはずだ。

そう思い込んでしまう。

しかし、実際には、誰も古い機器を確認していない。

これでは、何のためにお金を払ったのか分からない。

理由３：誰の仕事でもない

これが一番根深い。

中小企業のネットワーク機器は、たとえば、以下のような状態にある。

・導入したのは、A社（ネットワーク構築業者）
・パソコンの保守をしているのは、B社（地元のOA機器販売店）
・社内の窓口は、総務の誰か（兼任）
・保守契約は、数年前に「もったいない」という理由で切れている

A社は、導入して終わり。
B社は、パソコンしか見ていない。
総務の担当者は、そもそもVPNが何かよく分かっていない。

こうして、VPN機器は「誰の仕事でもない機器」になる。

攻撃者が悪用するのは、まさにこの隙間だ。

――― 技術の穴ではなく、責任の穴を狙っている

技術的な脆弱性が何年も放置される理由は、技術だけでは説明できない。

誰も責任を持っていないからだ。

大企業の事例でも、似た構図が見られる。

取引先や委託先の接続環境が侵入経路となり、そこを足掛かりに被害が広がる。

大きな会社のセキュリティがどれだけ固くても、接続している小さな会社の扉が開いていれば、そこが弱点になり得る。

これは、零細企業やフリーランスにとって、他人事ではない。

ある日突然、取引先から「御社経由で侵入された可能性があります」と連絡が来る。

そうなれば、損害賠償の話になる前に、取引そのものが終わる可能性がある。

なぜ、バブルなのか？

改めて、構図を整理してみる。

・攻撃者は、一番安く入れる扉を探している
・防御側は、一番説明しやすいものにお金を払っている

攻撃者は、徹底的にコストで考える。

人間を騙す攻撃もあれば、脆弱性が放置されたVPN機器を自動で探す攻撃もある。

その時々で、最も効率の良い手段を選ぶ。

一方で、防御側は「説明できること」にお金を払いやすい。

社員研修をやりました。
規程を整えました。
訓練を実施しました。
報告書に書けるし、取引先に聞かれても答えられる。

しかし、VPN機器の脆弱性を修正したことは、外から見ても分かりにくい。
何も起きなければ、その成果も実感しにくい。

守っている「感じ」には、お金が集まる。
しかし、守っている「実態」には、お金が集まりにくい。

この二つのズレが、私の考えるセキュリティ・バブルの正体だ。

バブルとは、実態以上に価値が膨らむことだ。
セキュリティ市場は、確かに拡大している。

もちろん、そこで提供されるサービスの多くが無意味だと言うつもりはない。

しかし、少なくとも私が見聞きする範囲では、「実際に何が守られたのか？」よりも、「どのような対策を実施したのか？」が重視される場面が目立つ。

本来、セキュリティ対策は、危険なところから優先して実施するべきものだ。

ところが、現実には、売りやすいもの、買いやすいもの、説明しやすいものから予算がつくことがある。

これは、技術の問題ではない。
経営の問題だ。

そして、バブルはいつか弾ける。
弾けるのは、市場ではない。

研修も規程も完璧だった会社が、古いVPN機器一台から侵入され、大きな被害を受ける瞬間だ。

何をすれば？

難しいことから始める必要はない。

むしろ、拍子抜けするほど地味な話だ。
まず、自社の「外への扉」を、すべて書き出す。

・VPN機器の型番と、ファームウェアのバージョン
・その機器を導入した業者と、現在の保守契約の有無
・VPNのアカウント一覧（退職者が残っていないか？）
・外部から接続できるリモートデスクトップ等の有無
・インターネットに公開されているNASやカメラ
・ルータの「リモート管理機能」が有効になっていないか？
・それぞれの機器を、誰が管理しているのか？

まずは、これだけで良い。

そして、書き出してみて、一つでも「分からない」があれば、そこを優先して確認して欲しい。

分からないこと自体が、直ちに脆弱性を意味するわけではない。

しかし、管理状態が分からない機器は、危険かどうかを判断することすらできない。

次に、もしセキュリティ診断や提案を受ける機会があれば、一つだけ質問してみて欲しい。

「うちのVPN機器のファームウェア、今いくつで、最新との差はどれくらいですか？」

その場で答えられるとは限らない。

管理画面に入る権限がなければ、確認できない場合もある。

しかし、「型番とバージョンを確認して、メーカーの脆弱性情報と照合しましょう」と、具体的な確認方法を説明できる人。

あるいは、自分の専門外であれば、適切な技術者につなげられる人。
そういう人は、信頼して良い。

逆に、この質問をはぐらかして、また研修や規程の話に戻る人。
その人が売っているのは、守っている「感じ」だ。

最後に、もう一つ。

――― 使っていないVPNは、捨てる

コロナ禍で導入して、今はほとんど使っていない。

そういうVPNが、意外と多い。

使っていないなら、接続機能を無効化する。
専用機器なら、業務への影響を確認したうえで撤去する。

最も安く、最も確実なセキュリティ対策の一つは、不要な扉そのものを無くすことだ。

＊＊＊＊＊

セキュリティの世界には、昔から変わらない真実がある。

――― 鎖の強さは、一番弱い輪で決まる

どれだけ社員教育を徹底しても、どれだけ立派な規程をつくっても、一番弱い輪が古いVPN機器なら、鎖はそこで切れる。

攻撃者は、あなたの会社の規程集を読まない。
研修の受講記録も見ない。

彼らが探しているのは、インターネットの向こうで、今日も静かに口を開けている、古い機器だけだ。

バブルの中で、守っている「感じ」を買うのは簡単だ。

しかし、本当に守るためには、誰かが、会議室の隅の機器の前まで歩いていく必要がある。

その誰かは、たいてい、経営者自身だ。