一般社団法人日本ハッカー協会の代表理事、杉浦隆幸氏が2026年10月22日、セキュリティイベント「Security Days Fall 2026」で講演した。INTERNET Watchの講演レポートによると、杉浦氏はランサムウェア攻撃で最も狙われやすいのはVPNだと指摘し、AIによって攻撃が速くなった今は、更新を自動化して「パッチが来たらすぐ当て、動かなくなったら戻す」運用に変える必要があると訴えた。
ランサムウェアは「分業化したビジネス」
杉浦氏は、ランサムウェア攻撃では、攻撃ツールや基盤を用意する「RaaSベンダー」と、実際に侵入する「アフィリエイター」、侵入経路の情報を売る「イニシャルアクセスブローカー」などの分業が進んでいると説明した。自身が観測した中には80人ほどの組織もあったという。データを暗号化するだけでなく、抜き取って外部に送る手口が一般的になっている。
VPNとESXiに注意
杉浦氏は、ランサムウェア対策の観点ではVPNに特に注意が必要だと強調した。あるネットワークがVPNを使っているかは外部から簡単に分かり、VPN機器に脆弱性が見つかれば、攻撃方法がすぐに出回って使われるためだ。
サーバーの仮想化基盤「VMware ESXi」も、狙われると被害が大きくなるとして注意を促した。修正パッチを当て続ければ運用上の問題は大きくないはずだが、予備の機器を用意して仮想サーバーを移しながら更新する余裕がない設計になっていることが多く、パッチを当てたくても当てられない例があるという。
「パッチはすぐ当て、動かなければ戻す」
杉浦氏は、AIの登場で脆弱性を探す速さが大きく上がったと指摘した。講演では、7月に起きたWordPressの事例として、公式の情報公開から3時間20分後に攻撃コードが公開されたケースが紹介された。杉浦氏は、脆弱性情報の公開からおよそ1日で実際の攻撃が始まるとの認識を示した。
そのうえで、人間が一つ一つのパッチを評価してから適用する運用では間に合わないとして、「パッチが来たらとりあえずすぐ当てる。動かなくなったら戻す、というような運用に変えなければいけない」と述べた。自動更新はVPN機器に限らず、WordPressなどのCMS、PC、スマートフォン、NAS、バックアップソフトでも意識すべきで、サポートが切れた機器はすぐに廃棄すべきだとした。
影響と背景
杉浦氏は、外部から見える情報を手がかりに攻撃者の視点で守るべき場所を絞り込む考え方も、別の講演で示している（攻撃者と「対等な条件」に立つASM運用、日本ハッカー協会の杉浦隆幸氏が提示）。外から見える機器を減らし、残る機器は素早く更新するという考え方は、今回の講演とも共通している。
CSRIからのアドバイス
【押さえるべきポイント】VPN装置やリモートアクセスの機器は、ランサムウェア被害の侵入口として公的機関の注意喚起でも繰り返し挙げられている。すべてを人の判断で更新しようとすると遅れが出やすいため、自動更新に任せるものと、慎重に判断するものを分けておくことが現実的だ。
【平易な解説】玄関の鍵の欠陥が公表されると、泥棒がその日のうちに合鍵を作り始めるような状況になっている。鍵の交換を「次の休みにまとめて」と先送りすると、その間に入られてしまう。
【今週中にできること】まず、VPN装置やNAS、WordPressなど、社外からつながる機器やソフトの自動更新が有効になっているかを確認する。次に、自動更新できない機器について、更新の担当者と、更新後に不具合が出たときに元に戻す手順を決めておく。