VPN情報流出の危険さ

先日の日経新聞の記事で、VPNの情報が流出し、国内の38社が被害を受けたと記載がありました。

それがどんなに危険なことか、私なりに考察してみました。

VPNとは何か

VPNとはVirtual Private Networkの略で、仮想的なプライベートなネットワークということです。ほとんどの読んだままの説明になってしまいましたが、簡単に言うと、あたかも社内LANのようなネットワークに属しているかのような感じにしてくれる技術です。

仕組みとしては、接続したい両端、つまりテレワークの環境を考えると、自宅の社員の会社のネットワークで、秘密の情報を持ちます。その情報を使って暗号化して、インターネット上も安全に通信ができます。

事前に秘密の情報を共有するだけで、安全に社内LANへアクセスできるので、この簡易性はひとつのメリットでしょう。

また、VPN接続をすることで、あたかも社内LANへ直接接続しているかのような使い方ができます。社内LANのプライベートIPアドレスに対するルーティングが自動で追加され、ユーザには違和感なく社内サーバ等にアクセスできます。

この記事ではVPNはあたかも社内LANに属しているかのような使い方ができることを強調してきました。ここに危険があります。

最近ではゼロトラストと言って、それまで安全とされていた社内ネットワークも信用できない、つまりいかなる通信も信用しないという考え方が、より一層広まってきました。しかし、そんなゼロトラストを前提としないネットワークに、悪意のある者が侵入したらどうなるでしょうか。

悪意のある者は盗んだVPNの情報を使い社内LANに侵入します。社内LANの中はわりと自由にアクセスできます。社内向けWebサーバには社外秘の情報も沢山あります。こんな状況を想像できれば、VPNの情報が流出することの危険性が充分に分かると思います。

同じ経路でウイルスをばら撒く可能性もあります。