企業向けVPNポータルは、公開インターネット上で最も信頼性の高い初期アクセス面の一つであり続けている——プロトコルが破られているからではなく、窃取または推測されたパスワードが依然として大規模に通用するからだ。本稿はベンダーのリリースノートではなく、脅威調査の総合分析である。Verizonの2025年DBIRにおけるクレデンシャルスタッフィングの測定結果と、2026年2月にPalo AltoのGlobalProtectポータルを標的とした協調キャンペーンを結びつけ、そのパターンが運用担当者とプライバシーを重視するリモートワーカーにとって何を意味するかを説明する。
数値が示すクレデンシャルスタッフィングの実態
Verizonの2025年DBIRにおけるクレデンシャルスタッフィングに関する追加調査では、侵害された認証情報が初期アクセス経路となったのは 22% のレビュー対象侵害である。SSOプロバイダーのログでは、クレデンシャルスタッフィングに起因する認証試行の1日あたり中央値シェアは 19%—約 25% が企業規模の顧客、 12% が中小企業でも確認され、1日のピークは 44%だった。同じレポートの情報窃取マルウェアデータによると、中央値ではわずか 49% ユーザーが保存したパスワードのうち、サービス間で互いに異なっていた。平たく言えば：使い回しは依然として十分に一般的であり、コンボリストは今なお利益を生む。
出典： Verizon Business — クレデンシャルスタッフィングに関する2025年DBIRの追加調査.
クレデンシャルスタッフィングは、目立つパスワードスプレーとは異なる。攻撃者は過去に漏洩したユーザー名／パスワードの組み合わせ（コンボリスト）を、多くの場合プロキシ経由で投入し、各対象に対して1組を1回だけ試すため、トラフィックは通常のログインノイズに紛れる。MFAは被害範囲を縮小するが、VerizonはMFAが特効薬というより、ますます最低限の前提になりつつあると指摘している——特にユーザーが一度も登録されていない場合や、ログイン成功後にセッショントークンが盗まれる場合。
ケーススタディ：GlobalProtectポータル、2026年2月
2026年2月23–24日、ELLIO Threat Research LabはPalo Alto GlobalProtectのログインパスに対する11×の急増を観測した（/global-protect/login.esp）。約48時間にわたって、センサーは約 30,000セッション から 8,575個の一意な送信元IP による3つの組織的な波で発生した。セッションの約89%はGETによる偵察であり、一部は続いてPOSTログイン試行を行った。
POSTは単一のパスワードを再利用した（Password1) 固定の78件の従業員風ユーザー名辞書（名の頭文字＋姓）にわたって。ELLIOはこの段階を、精選されたコンボリストによるスマッシュというより、どのポータルが認証フォームを受け付けるかを探る積極的なプロービングと評価した。インフラはGTT Communications（AS3257）のアドレス空間に集中しており、特徴的なTCP/HTTPフィンガープリント（このキャンペーンにほぼ固有のJA4H POSTフィンガープリントを含む）を伴っていた。
出典： ELLIO — 協調型クレデンシャルスタッフィングキャンペーンがPalo Alto GlobalProtectポータルを標的に (2026年2月26日).
ELLIOが強調する防御上の教訓は順序である。各波の中で、GETによるプロービングがPOSTによるスタッフィングに数時間先行した。偵察用IPやツールのフィンガープリントを早期にブロックした組織は、クレデンシャル段階を一度も観測しなかった。VPNポータルは繰り返し標的であり続けている。ホスティングASNは入れ替わるが、ポータルを見つけ、認証を試し、次へ進むというプレイブックは変わらない。
単一ベンダーの「ブリード」見出しとの違い
特定のファイアウォールVPNブランドに対する大規模な認証情報漏洩がニュースサイクルを支配するのは、件数が膨大でIOCが具体的だからである。それらのインシデントは重要だ。しかし、それが問題の唯一の形ではない。GlobalProtectの波が示すのは、より低く遅いパターンである。汎用のユーザー名リスト、安易なパスワード、インターネットに面したSSL VPNログインページの広範なスキャンだ。VerizonのSSOテレメトリは、同じ種類の不正利用がファイアウォールアプライアンスに限らず、多くの業界で日々の認証トラフィックの大きな割合を消費していることを示している。
プライバシーとセキュリティの読者にとって、共通の根本原因は地味で根強い:
- 企業SSO、VPN、メール、個人サイトを横断したパスワードの使い回し。
- フィッシング耐性のあるMFAなしでパスワード認証を受け付ける、インターネット公開のVPNまたは管理ポータル。
- アプライアンス上の脆弱またはレガシーなパスワード保存（ハッシュ窃取後にオフラインクラッキングが現実的になる）。
- エンドポイント上のインフォスティーラー型マルウェアが、ブラウザに保存されたVPNおよび管理用認証情報を地下市場へ収集する。
SOCダッシュボードだけでなく、人へのリスク
企業のSSL VPNアカウントがクレデンシャルスタッフィングに成功すると、攻撃者は社内アプリ、メール、ファイル共有への信頼された経路を引き継ぐ。それがランサムウェアの足場構築、給与不正、または静かなデータ窃取につながり得る。コンシューマーVPNを使う個人の場合、同様の失敗モードはVPNサブスクリプション自体のアカウント乗っ取り（請求先メール＋使い回しパスワード）であり、その後にセッション悪用やサポートチャネル経由のソーシャルエンジニアリングが続く。攻撃者が単にあなたとしてログインすれば、WireGuardやOpenVPNの暗号は役に立たない。
リモートワーカーは、公開インターネット上の企業VPNポータルが広告であることも覚えておくべきだ。スキャナーは見つける /global-protect/login.esp、Fortinet SSL VPNのパス、および類似のURLを継続的に。「うちは小さすぎて狙われない」は、Verizonの中小企業スタッフィング率とも、試行あたりほとんどコストのかからない自動キャンペーンとも矛盾する。
根拠に基づく緩和策（運用者）
- 可能な限り公開管理画面を撤去する。 管理インターフェースをインターネット全体に公開すべきではない。許可リスト化されたジャンプホストまたはゼロトラストブローカーを優先する。
- フィッシング耐性のあるMFAを強制する VPNおよび管理者アカウントに（FIDO2/パスキーまたは同等）、SMSのみではない。
- 偵察を早期にブロックする。 POSTスタッフィングが始まる前に、確信度の高いスキャナー指紋とASNをエッジ制御に投入する。
- レート制限とアラート VPN経路に対する分散認証失敗について。統一パスワードや硬直したユーザー名パターンに注意すること。
- インフォスティーラー被害後は認証情報をローテーションする 管理者用ノートPCについて。ブラウザに保存されたVPNパスワードはコピーされたものと想定する。
- より強力なパスワードハッシュを優先する アプライアンス上で（ベンダーが対応している場合は例えばPBKDF2）、レガシーなハッシュ方式を無効化する。
- キャンペーンが自社の製品ファミリーを指名した場合は、ベンダーおよび国家CSIRTのガイダンスに従う。未知の管理者アカウントについて設定ベースラインを検証する。
根拠に基づく緩和策（個人）
- パスワードマネージャーを使用する。VPNやメールのパスワードを他で再利用しない。
- VPNアカウントと、それをリセットできるメール受信箱に対してMFAを有効にする。
- 無作為な拡張機能も動作している個人端末のブラウザに、社用VPNパスワードを保存しない。
- 予期しないVPNパスワードリセットメールは、日常のノイズではなく潜在的なインシデントとして扱う。
主張していないこと
本稿は、GlobalProtectが特異的に脆弱であること、スキャンを観測しているすべての組織がすでに侵害されていること、あるいは一般消費者向けのノーログVPNがアカウント乗っ取りに対して免疫があることを主張するものではない。本稿が主張するのは——Verizonが公表した測定結果とELLIOの2026年2月のキャンペーンテレメトリに基づき——VPN認証エンドポイントに対するクレデンシャルスタッフィングは日常的かつ自動化されており、パスワードが関門であり続ける限り依然として有効である、ということである。
強固なトンネルは重要である。固有のパスワード、MFA、そしてインターネット全体に公開するパスワード関門の数を減らすことも同様に重要である。