1. 結論：VPNにMFAは絶対に必要
テレワークの普及で、社外から社内ネットワークに接続するVPN（仮想プライベートネットワーク）は、多くの企業で欠かせない仕組みになりました。では、そのVPNに、MFA（多要素認証）は必要なのでしょうか。結論からお答えします。
はい、VPNにMFAは絶対に必要です。これは「あったほうがよい」というレベルの話ではありません。VPNは、社外から社内へ入る「入口」であり、ここが破られると、社内ネットワーク全体が危険にさらされます。そして、パスワードだけで守られたVPNは、実際にランサムウェアなどの重大な被害の侵入経路として、繰り返し狙われてきました。VPNにMFAを付けることは、いまや最低限の必須対策です。なぜそこまで重要なのか、順に解説します。
2. なぜVPNが狙われるのか
VPNが攻撃者に狙われるのには、明確な理由があります。
- 社内への「入口」だから：VPNを突破すれば、社内ネットワークに入り込める。攻撃者にとって、VPNは社内への近道。1つ破れば、その先に多くの標的が広がる。
- インターネットに公開されているから：VPNは、社外からアクセスできるよう、インターネットに面している。攻撃者が直接アクセスできる。
- 盗まれた認証情報が使えるから：VPNがパスワードだけの認証なら、フィッシングやリスト型攻撃で盗んだIDとパスワードで、そのままログインできてしまう。
- 脆弱性が狙われるから：VPN機器の脆弱性（ソフトの欠陥）が見つかると、攻撃者は一斉にそれを悪用する。パッチ適用が遅れると危険。
実際、国内外のランサムウェア被害の多くで、VPNの弱い認証（パスワードのみ）や、VPN機器の脆弱性が、最初の侵入経路になっています。工場が止まった、電子カルテが使えなくなった——こうした重大な被害の多くが、VPN経由の侵入から始まっています。VPNは、便利であると同時に、企業の最も危険な入口の1つなのです。だからこそ、この入口をMFAで固めることが、決定的に重要になります。
「パスワードだけのVPN」は、開いた扉
パスワードだけで守られたVPNは、盗まれた認証情報で簡単に通り抜けられる、いわば「鍵のかかっていない扉」に近い状態です。フィッシングやリスト型攻撃で認証情報が盗まれれば、そこから社内へ侵入されます。もし自社のVPNがまだパスワードだけなら、それは最優先で対処すべき重大な弱点です。VPNへのMFA導入は、待ったなしの課題です。
3. VPNのMFAも「方式」が問われる
VPNにMFAを付けることは必須です。ただし、ここでも「どの方式のMFAか」が問われます。前の記事で述べたとおり、SMSやワンタイムパスワードによるMFAは、フィッシングやリアルタイムの中間者攻撃（AiTM）で突破されうるからです。
VPNは、攻撃者が本気で狙う重要な入口です。だからこそ、VPNのMFAは、できればフィッシング耐性のある認証（FIDO2/パスキー）にすることが望まれます。フィッシング耐性のある認証なら、偽サイトでは成立せず、盗めるパスワードもないため、フィッシングやAiTMでVPNの認証情報を盗もうとする攻撃を、根本から無効化できます。
もちろん、まずはどんな方式であれ、VPNにMFAを付けることが最優先です。パスワードだけの状態から、SMSやワンタイムパスワードのMFAにするだけでも、大きな前進です。その上で、重要な入口であるVPNには、フィッシング耐性のあるパスワードレス認証を目指す——これが、VPNの守りの理想形です。「VPNにMFAを付けたか」から「VPNをフィッシング耐性のある認証で守っているか」へと、目線を上げていくことが求められます。
4. VPNの先へ——ゼロトラストという発展
VPNにMFAを付けることは必須ですが、実は、セキュリティの世界では「そもそもVPNに依存しない」という、さらに進んだ考え方も広がっています。それがゼロトラストです。
従来のVPNは、「VPNを通れば、社内ネットワークに入れる」という発想です。いったんVPNを通ってしまえば、内部では比較的自由に動けることが多く、これが「VPNが破られると被害が広がる」原因にもなっています。一方、ゼロトラストは、「ネットワークの内か外かで信頼せず、アクセスするたびに、誰が・何に・どんな状況でアクセスしているかを確認する」という考え方です。VPNのように「一度通れば中は自由」ではなく、都度、確実な認証とアクセス制御を行います。
このゼロトラストの中核にあるのも、やはり確実な認証です。都度アクセスを確認するからこそ、その認証が、フィッシングにも強い確実なもの（パスワードレス）であることが重要になります。つまり、「VPNにMFAを付ける」という対策は、その先の「ゼロトラストへの移行」へと自然につながっていきます。どちらの道も、行き着く先は同じ——盗まれず、偽サイトでも成立しない、フィッシング耐性のあるパスワードレス認証です。まずはVPNにMFA（できればパスワードレス）を付け、将来的にはVPN依存からゼロトラストへ——これが、リモートアクセスの守りの発展の道筋です。
5. まとめ
「VPNにMFAは必要か」という質問への答えは、明確です。絶対に必要です。VPNは社外から社内へ入る重要な入口であり、パスワードだけでは、盗まれた認証情報で簡単に突破されます。実際、多くのランサムウェア被害が、VPNの弱い認証や脆弱性から始まっています。VPNへのMFA導入は、最低限の必須対策です。
さらに、VPNは攻撃者が本気で狙う入口だからこそ、そのMFAはフィッシング耐性のある認証（FIDO2/パスキー）を目指すことが望まれます。そして、その先には、VPNに依存しないゼロトラストという発展があり、どちらの道も、フィッシングに強いパスワードレス認証へと行き着きます。もし自社のVPNがまだパスワードだけなら、それは最優先で対処すべき弱点です。VPNにMFAを付けることから始め、フィッシング耐性のあるパスワードレス、そしてゼロトラストへと、リモートアクセスの守りを高めていくことをおすすめします。