「Windowsの共有フォルダに外出先からアクセスしたい」——シンプルな要望のように見えますが、実現方法を誤ると、会社のデータがランサムウェアに狙われる重大なセキュリティインシデントにつながります。
結論から述べると、Windowsの共有フォルダ（SMBプロトコル）をインターネットに直接公開することは、現在のセキュリティ環境では絶対に避けるべきです。 しかし、それでも外部からのアクセスを安全に実現する方法は存在します。
この記事では、SMB直接公開の危険性とその理由を具体的に解説した上で、安全な社外アクセスの方法・設定手順・権限管理の注意点を体系的に説明します。
Windowsの共有フォルダ（SMB）とは
Windowsには「ファイルとプリンターの共有」機能が標準搭載されており、社内LAN上の複数PCやサーバーから共有フォルダにアクセスできます。このファイル共有に使われるプロトコルが SMB（Server Message Block） です。
SMBはポート 445番（TCP） を使用します。Windowsエクスプローラーのアドレスバーに \\サーバー名\共有フォルダ と入力してアクセスするのが、SMBを利用した接続です。
社内LANでの利用では非常に便利なSMBですが、これをインターネット側に公開することには重大なリスクが伴います。
SMBをインターネットに直接公開する危険性
445番ポートは世界中で最も狙われるポートの一つ
セキュリティ機関の調査によると、TCP 445番ポートはインターネット上で常時スキャンされているポートの上位に入ります。悪意ある攻撃者は、ポートスキャンツールを使って世界中のIPアドレスに対して445番ポートの開放を確認し、応答があれば即座に攻撃を試みます。
WannaCryが示した脅威
2017年に世界的大流行したランサムウェア「WannaCry」は、SMBの脆弱性（MS17-010、通称EternalBlue）を悪用し、インターネットに445番ポートが公開されていた無数のWindowsマシンに侵入、ファイルを暗号化して身代金を要求しました。医療機関・製造業・政府機関など世界150カ国以上・15万台以上のPCが被害を受けたとされています。
この脆弱性は2017年3月に修正パッチが提供されていましたが、パッチ未適用の機器が多数存在したことで被害が拡大しました。
ブルートフォース攻撃
仮に最新のパッチを適用していたとしても、SMBをインターネットに直接公開している場合、自動化されたブルートフォース（総当たり）攻撃によってアカウントのパスワードを解析しようとする試みが絶え間なく行われます。弱いパスワードを使っていれば、比較的短時間でアクセスを許してしまうリスクがあります。
SMBv1の残存リスク
古いNASやWindowsマシンにはSMBの古いバージョン（SMBv1）が有効になっているケースがあります。SMBv1には複数の深刻な脆弱性があり、現在もゼロデイ攻撃の対象になり得ます。Windows 10/11の最新バージョンではSMBv1はデフォルトで無効化されていますが、古い機器やOSでは注意が必要です。
まとめ：SMBポートの直接公開は「ドアを開けたまま外出する」に等しい
自社ネットワークのSMBポートをインターネットに公開することは、会社のデータへのドアを世界中に向けて開放するようなものです。業務データ・顧客情報・財務情報が保存されている共有フォルダを守るためにも、この方法は絶対に選択しないでください。
共有フォルダへの安全な社外アクセス方法
SMBを直接公開せずに、外出先から共有フォルダへアクセスする方法として最も安全なのが 「VPN経由でのアクセス」 です。
なお、共有フォルダがWindows PCではなくNAS（Synology・QNAP等）上にある場合は、メーカー純正のリモートアクセス機能という選択肢もあります。方法別の安全性の比較はNASに外部からアクセスする4つの方法にまとめています。
VPN経由アクセスの仕組み
VPN（Virtual Private Network）を使って外出先から社内ネットワークに接続すると、PCは論理的に「社内LANにいる状態」になります。そのため、社内LAN内でのみアクセスできる共有フォルダに対して、SMBポートを外部公開することなくアクセスできます。
【危険な方法】
外出先PC → インターネット → ルーター（445番ポート開放） → 共有フォルダ
【安全な方法（VPN経由）】
外出先PC ←[暗号化VPNトンネル]→ VPNゲートウェイ → 社内LAN → 共有フォルダVPN経由での共有フォルダアクセスのメリット
- SMBポートをインターネットに公開しないため、直接攻撃のリスクがない
- VPNトンネル内の通信は暗号化されるため、通信の傍受・盗聴リスクを低減できる
- 接続後は社内LANにいるのと同じ感覚で共有フォルダを操作できる
- ファイルのコピー・移動・編集・削除といった通常操作がそのまま使える
VPN接続後の共有フォルダアクセス手順（Windows）
前提条件
- VPN接続が確立されている状態であること
- 共有フォルダが設定されているPCまたはサーバーのIPアドレスを把握していること
- アクセス権限を持つWindowsアカウントが用意されていること
手順
1. VPN接続を確立する
VPNクライアントソフトを起動し、会社のVPNサーバーへ接続します。接続が確立されると、PCが仮想的に社内ネットワークに参加した状態になります。
2. エクスプローラーを開く
タスクバーのフォルダアイコンをクリックするか、Win + E キーでエクスプローラーを開きます。
3. ネットワークパスを入力する
エクスプローラーのアドレスバーに以下のいずれかを入力します。
\\サーバーのIPアドレス
例: \\192.168.1.10
または
\\サーバー名（NetBIOS名）
例: \\FILESERVER01VPN接続中でも名前解決（サーバー名からIPへの変換）がうまくいかない場合は、IPアドレスを直接入力する方が確実です。
4. 認証情報を入力する
Windowsの資格情報入力ダイアログが表示されたら、共有フォルダへのアクセス権限を持つユーザー名とパスワードを入力します。
5. 共有フォルダが表示される
認証が成功すると、サーバー上の共有フォルダ一覧が表示されます。アクセス権限のあるフォルダをダブルクリックして中に入れます。
ネットワークドライブとして割り当てる（任意）
毎回パスを入力するのが面倒な場合は、ネットワークドライブとして割り当てることができます。
- エクスプローラーの「PC」を右クリック → 「ネットワークドライブの割り当て」
- ドライブ文字を選択し、フォルダ欄に
\\IPアドレス\共有フォルダ名を入力 - 「ログオン時に再接続する」にチェックを入れると、次回以降自動でマウントされる（ただしVPN接続が前提）
Macからのアクセス手順（VPN接続後）
- Finderのメニューバーから「移動」→「サーバへ接続」を選択（または
Cmd + K） - サーバーアドレスに
smb://サーバーのIPアドレスと入力して「接続」をクリック - ユーザー名とパスワードを入力
- マウントするボリューム（共有フォルダ）を選択して「OK」
- Finderのサイドバーに共有フォルダが表示される
権限管理の設定と注意点
共有フォルダへの外部アクセスを許可する場合、アクセス権限の設定が特に重要になります。不適切な権限設定は、情報漏洩や意図しない変更・削除のリスクを生みます。
共有フォルダの権限設定の種類
Windowsの共有フォルダには2つのレイヤーの権限設定があります。
(1) 共有のアクセス許可（ネットワーク越しのアクセス制限）
共有フォルダのプロパティ→「共有」タブから設定します。「フル コントロール」「変更」「読み取り」の3段階があります。
(2) NTFSアクセス許可（ファイルシステムレベルの制限）
共有フォルダのプロパティ→「セキュリティ」タブから設定します。ユーザーやグループごとに詳細な権限（読み取り、書き込み、変更、フルコントロール等）を設定できます。
最終的なアクセス権限は「共有のアクセス許可」と「NTFSアクセス許可」のより制限の強い方が適用されます。
権限設定の基本原則：最小権限の原則
各ユーザー・グループには、業務上必要最低限のアクセス権限のみを付与してください。
- 閲覧のみでよいユーザーには「読み取り」権限のみ
- 作業上必要なユーザーにのみ「変更」権限を付与
- 「フル コントロール」は管理者のみ
テレワーク開始時に「とりあえず全員にフルコントロールを付与する」という設定は非常に危険です。万が一、端末がマルウェアに感染した場合、フルコントロール権限を持つアカウントで接続されていれば、すべてのファイルが暗号化・削除される可能性があります。
注意すべき設定ミス
| 設定ミスのパターン | リスク |
|---|---|
| Everyoneにフルコントロールを付与 | 誰でもすべてのファイルにアクセス可能 |
| 共有名に「$」を付けない（非表示でない） | ネットワーク探索でフォルダが見えてしまう |
| 管理共有（C$、ADMIN$等）を無効化していない | 管理者アカウント奪取時のリスク増大 |
| ゲストアカウントが有効 | 認証なしでのアクセスが可能になる |
| パスワード保護の共有が無効 | 認証なしで共有フォルダにアクセス可能 |
アクセスログの有効化
外部アクセスを許可した後は、誰がいつどのファイルにアクセスしたかを記録するログを有効化することを推奨します。Windowsの「ファイルとフォルダーの監査」（グループポリシーまたはローカルセキュリティポリシーから設定）を利用することで、アクセスの記録が可能です。
VPN構築の障壁と、それを解消するアプローチ
前述のとおり、共有フォルダへの安全な外部アクセスにはVPN経由が推奨されます。しかし、従来型のVPN構築には以下の障壁があります。
障壁1：固定グローバルIPアドレスが必要
外出先のPCが「どこに向かって接続するか」を特定するために、会社側のグローバルIPアドレスが固定されている必要があります。通常のインターネット回線では動的IPアドレスが割り当てられるため、固定IPオプションの別途契約が必要です。
障壁2：VPN対応ルーターの購入・設定が必要
家庭用の一般的なルーターはVPN機能を持たないものがほとんどです。業務用のVPN対応ルーターへの買い替えと、専門的な設定作業が必要になります。
障壁3：ファイアウォール・ポート設定の変更
VPN用のポートをルーター側で開放する必要があります（IKEv2: UDP 500/4500等）。この設定変更作業には、ネットワーク知識を持つ担当者が必要です。
障壁4：社内ネットワークのポート開放が必要
従来型VPNでは、外部からの着信接続を受け付けるためにポートを開放する必要があります。これ自体がセキュリティリスクを内包しています（VPN用ポートへの攻撃も実際に発生しています）。
これらの障壁をまるごと解消するクラウド型VPN
近年、社内側からクラウドサーバーへ接続を確立する「リバーストンネル型」のクラウド型リモートアクセスVPNが普及しています。この方式では：
- 固定IPアドレスが不要（社内側からクラウドへ接続するため）
- ルーターの設定変更が不要（VPN非対応ルーターのままでOK）
- ポート開放が不要（社内ネットワークの外部公開なし）
という特徴があり、IT専門担当者がいない中小企業でも、短期間・低コストで安全なリモートアクセス環境を構築できます。
社外から社内へ、工事不要・ルーター設定不要で安全にアクセス
「だれリモVPN」は専用機器を社内LANに挿すだけのクラウド型リモートアクセスVPNです。機器費用0円・初月無料・契約期間の縛りなしで、IT担当者がいなくても導入できます。
だれリモVPNの詳細・料金を見るVPN接続でも発生しやすいトラブルと対処法
トラブル1：VPN接続後に共有フォルダが見えない
原因: VPN接続後にWindowsが接続ネットワークを「パブリックネットワーク」として認識した場合、ファイアウォールがSMB通信をブロックします。
対処法:
- VPN接続後にコントロールパネルの「ネットワークと共有センター」を開く
- VPN接続が「パブリックネットワーク」になっている場合、「プライベートネットワーク」に変更する（Windows 10/11: 接続名をクリック→「接続プロパティ」→「パブリックネットワーク」から「プライベートネットワーク」へ切り替え）
- 変更後、再度共有フォルダへのアクセスを試みる
トラブル2：サーバー名では接続できるがIPアドレスでは接続できない（またはその逆）
原因: VPN環境のDNS設定の問題です。
対処法:
- サーバー名での接続に失敗する場合はIPアドレスを直接使用
- IPアドレスでの接続後に「ネットワークドライブの割り当て」でパスを登録しておくと便利
トラブル3：アクセス拒否エラーが表示される
原因候補:
- 入力したアカウントが共有フォルダへのアクセス権限を持っていない
- Windows資格情報マネージャーに古い認証情報がキャッシュされている
- NTFSアクセス許可の設定が不適切
対処法:
- コントロールパネルの「資格情報マネージャー」を開き、該当サーバーへの古い認証情報を削除してから再試行
- サーバー側の共有フォルダのプロパティから、接続ユーザーのアクセス権限を確認・修正
トラブル4：特定のファイルが開けない
原因: NTFSアクセス許可でそのユーザーへの読み取り権限がない、またはファイルが他のユーザーによってロックされている。
対処法:
- ファイルのプロパティ→「セキュリティ」タブでNTFS権限を確認
- ロックされている場合は、開いているユーザーに連絡するか、ロックを強制解除（管理者権限が必要）
トラブル5：社内ファイルサーバーへの接続は成功するが通信が遅い
原因候補:
- VPN接続の暗号化処理によるオーバーヘッド
- 接続元（外出先）のインターネット回線の帯域
- VPNゲートウェイのCPU処理能力不足
対処法:
- 接続元のWi-Fi/LTE回線状況を確認
- VPNプロトコルをIKEv2やWireGuardなど軽量なものに変更
- 大容量ファイルは在宅勤務時など安定した回線環境での転送に限定する運用とする
追加のセキュリティ対策
SMBバージョンの確認と古いバージョンの無効化
脆弱性を含むSMBv1が有効になっている場合は無効化してください。
PowerShellでの確認（管理者権限で実行）:
Get-WindowsOptionalFeature -Online -FeatureName SMB1ProtocolSMBv1の無効化:
Disable-WindowsOptionalFeature -Online -FeatureName SMB1ProtocolSMB署名の有効化
SMB署名は通信の改ざんを検出するセキュリティ機能です。Windows Server 2025以降ではデフォルトで有効ですが、古いWindowsではグループポリシーで設定を確認してください。
「コンピューターの構成」→「Windowsの設定」→「セキュリティの設定」→「ローカルポリシー」→「セキュリティオプション」の「Microsoft ネットワーク サーバー: 常にデジタル署名した通信を行う」を有効化します。
定期的なパスワード変更とアカウント管理
共有フォルダへのアクセスに使うアカウントのパスワードは定期的に変更してください。また、退職者のアカウントは速やかに無効化・削除することが重要です。退職後もアカウントが有効なままになっているケースはセキュリティインシデントの一因になります。
スマートフォン・タブレットから共有フォルダにアクセスするには
外出先ではPCを開かず、スマートフォンやタブレットから共有フォルダのファイルを確認したい場面もあります。この場合も考え方は同じで、端末からVPN接続したうえでSMBアクセスするのが安全な方法です。
iPhone・iPadの場合
- スマートフォン用のVPNクライアントアプリで社内ネットワークへVPN接続する
- 標準の「ファイル」アプリを開き、「…」メニューから「サーバへ接続」を選択
smb://サーバーのIPアドレスを入力し、共有フォルダのユーザー名・パスワードで接続する
Androidの場合
Androidには標準のSMBクライアントがないため、SMB接続に対応したファイルマネージャーアプリを利用します。VPN接続後に、アプリへサーバーのIPアドレスと認証情報を登録すればアクセスできます。
注意点
- 利用するVPNサービス・製品がスマートフォン用クライアントに対応している必要があります（だれリモVPNは現在Windows対応で、Mac・スマートフォンは順次対応予定です）
- スマートフォンは紛失リスクが高いため、端末の画面ロック・リモートワイプの設定を必ず併用してください
共有フォルダへの外部アクセスにかかる費用の目安
「自社でVPNを構築する場合」と「クラウド型VPNを利用する場合」で、費用の構造が大きく異なります。
| 費用項目 | 自社VPN構築（固定IP＋VPNルーター） | クラウド型VPN |
|---|---|---|
| 初期費用 | VPN対応ルーター購入費＋設定作業費 | 0円のサービスもある |
| 月額費用 | 固定IPオプション料金（プロバイダーにより異なる） | サービス利用料のみ |
| 保守・運用 | ルーター・VPNサーバーの管理を自社で実施 | ベンダー側が担う |
例としてクラウド型のだれリモVPNは、機器費用0円・月額13,200円（税込・専用機器レンタル代含む）＋1ユーザーあたり990円（税込）で、初月無料で試せます（2026年7月時点の公式サイト記載）。共有フォルダへの安全なアクセスだけが目的であれば、固定IPやVPN対応ルーターに投資するよりトータルの負担が小さく済むケースが多いでしょう。
FAQ
Q1. VPN接続中でも共有フォルダのSMBポートを開放しなければいけませんか？
VPN経由でのアクセスでは、SMBポートをインターネットに開放する必要はありません。VPNトンネル内はプライベートネットワークと同じ扱いになるため、社内LAN上でのSMB通信がそのまま利用できます。開放が必要なのはVPN用のポートのみです（それさえも不要なクラウド型VPNもあります）。
Q2. Windows HomeエディションでもVPN経由での共有フォルダアクセスはできますか？
VPNクライアントとしての接続はWindows Home Editionでも可能です。ただし、Windows HomeはVPNサーバー機能（IKEv2、L2TP/IPsec等）を持ちません。会社側のVPNゲートウェイに接続する分には問題ありません。
Q3. リモートデスクトップとVPN経由の共有フォルダアクセスはどう違いますか？
リモートデスクトップ（RDP）は社内のPCを遠隔操作する方法で、データは基本的に社内PCから離れません。VPN経由の共有フォルダアクセスは、ファイルを外出先のPCにダウンロードして作業します。セキュリティ的にはリモートデスクトップの方がデータを社内に留める点で優位ですが、接続先PCが常時稼働している必要があります。
Q4. テレワーク中に複数の従業員が同じ共有フォルダを使うとファイルが壊れませんか？
Windowsの共有フォルダでは、同じファイルを複数ユーザーが同時に開こうとすると、後から開いたユーザーには「読み取り専用で開く」ダイアログが表示されます（Word等のOfficeファイルの場合）。ただし、テキストエディタや一部のアプリではファイルのロックが機能しないケースがあるため、重要なファイルの編集ルールを社内で決めておくことを推奨します。
Q5. 共有フォルダへの外部アクセスを許可する際に、情報システム部門に確認すべきことは何ですか？
以下を事前に確認することを推奨します。(1) 会社のセキュリティポリシーとしてVPNによる社外アクセスが許可されているか、(2) 使用するVPNの接続先と認証方式、(3) 接続に使う端末のセキュリティ基準（エンドポイントセキュリティの導入等）、(4) ログや監査の要件。
まとめ
Windowsの共有フォルダへの外部アクセスを安全に実現するには、SMBポートをインターネットに直接公開することを絶対に避け、VPN経由でのアクセスを選択することが必須です。
ポート445番の直接公開はWannaCryに代表されるランサムウェアの侵入経路となり得る重大なリスクがあります。VPN経由であれば、SMBポートを外部に公開せずに済み、暗号化通信によって安全なアクセスが可能です。
従来型VPN構築の手間（固定IP取得・ルーター設定・ポート開放）が障壁になっている場合は、クラウド型リモートアクセスVPNを活用することで、専門知識や既存機器の変更なしに安全な環境を実現できます。
また、VPN環境が整った後も、アクセス権限の最小化・SMBv1の無効化・ログの有効化といったセキュリティ対策を組み合わせることで、より堅牢な共有フォルダ環境を維持できます。
だれリモVPN — SMBポートを公開せずに共有フォルダへの安全な社外アクセスを実現
専用機器「FLINT plus」をLANポートに挿すだけ。固定IP不要・ルーター設定変更不要・ポート開放不要で、AES-256/SHA-384の二重暗号化VPN環境を構築。初期費用0円・初月0円・契約期間なし。最短2日で導入可能。
