【2026年版】ランサムウェアの感染経路5選｜情シスが見落としやすい死角と対策

「うちは中小企業だから、ランサムウェアの標的にはならない」

そう考えている企業は少なくありません。しかし実際には、攻撃者は企業規模だけで標的を選ぶわけではありません。VPN機器の脆弱性、使われていないアカウント、取引先経由の侵入など、攻撃しやすい経路があれば企業規模を問わず狙われる可能性があります。

ランサムウェアに感染すると、ファイルの暗号化だけでなく、情報の窃取、業務停止、取引先対応、復旧費用など、企業活動全体に大きな影響が及びます。

本記事では、ランサムウェアの主な感染経路と、情シスが見落としやすいリスク、限られた予算でも実施しやすい対策を解説します。

ランサムウェアとは？中小企業も狙われる理由

ランサムウェアとは、パソコンやサーバー上のデータを暗号化し、復旧と引き換えに金銭を要求するマルウェアです。

近年は、データを暗号化するだけでなく、事前に情報を盗み出し、「身代金を支払わなければ公開する」と脅迫する二重恐喝型の攻撃も確認されています。

中小企業が標的になりやすい背景には、次のような事情があります。

• VPNやネットワーク機器の更新が遅れやすい
• 情シス担当者が少なく、監視体制を構築しにくい
• 退職者のアカウント管理が不十分になりやすい
• 取引先や委託先との接続が多い
• バックアップが同じネットワーク上に保存されている

攻撃者にとって重要なのは、企業規模よりも「侵入しやすく、利益を得やすいか」です。

ランサムウェアの主な感染経路

警察庁の資料では、令和7年上半期のランサムウェア被害について、VPNやリモートデスクトップ用機器からの侵入が、感染経路の8割以上を占めています。

VPN機器やファイアウォールなど、インターネットに公開された機器の脆弱性は、代表的な侵入経路です。

攻撃者は、未適用のセキュリティパッチや既知の脆弱性を悪用して、社内ネットワークへの侵入を試みます。

対策

• インターネット公開機器を一覧化する
• ファームウェアやOSを定期的に更新する
• 緊急パッチの適用手順を決めておく
• VPN接続に多要素認証を導入する
• 不要な外部公開を停止する

「業務を止められないから更新できない」という状態を避けるため、事前にメンテナンス時間と緊急時の判断基準を決めておくことが重要です。

リモートデスクトップ（RDP）をインターネットへ直接公開していると、パスワード総当たり攻撃や認証情報の悪用を受けるリスクがあります。

対策

• RDPをインターネットへ直接公開しない
• VPNやゼロトラスト型のアクセス方式を利用する
• 多要素認証を導入する
• 接続元IPアドレスを制限する
• 不要なアカウントを無効化する
• 接続ログを監視する

取引先を装ったメールや、実際のメールスレッドを引用した返信型メールなど、正規の連絡に見せかけた攻撃が使われることがあります。

Emotetなどのマルウェアに感染すると、メール情報や連絡先が悪用され、感染拡大につながる可能性があります。

対策

• 添付ファイルやリンクを自動検査する
• メール認証技術を導入する
• 不審なメールを報告しやすい窓口を設ける
• 定期的に標的型メール訓練を実施する
• メールアカウントにも多要素認証を導入する

「知っている相手からのメールだから安全」とは限りません。差出人だけで判断せず、送信内容やリンク先を確認する習慣が必要です。

情シスが見落としやすい5つの感染経路

自社の対策が十分でも、業務委託先や子会社が侵害され、接続経路を通じて自社へ影響が及ぶ可能性があります。

対策

• 委託先のセキュリティ要件を契約に盛り込む
• 接続アカウントを個人単位で管理する
• 委託先からの接続時間や接続元を制限する
• 不要なネットワーク接続を停止する
• 委託先のインシデント報告ルールを定める

クラウドサービスでは、管理者アカウントの認証情報が盗まれたり、ストレージが誤って公開されたりするリスクがあります。

対策

• 管理者アカウントに多要素認証を設定する
• 最小権限の原則でアクセス権を付与する
• 公開設定を定期的に点検する
• 退職者や異動者の権限を見直す
• クラウドの操作ログを保存・監視する

退職後もアカウントが有効なままだと、不正利用につながる可能性があります。

対策

• 入社・異動・退職時のアカウント管理手順を標準化する
• 退職日にアカウントを無効化する
• 共有アカウントを減らす
• 定期的に利用状況と権限を棚卸しする
• 長期間使われていないアカウントを確認する

バックアップが本番環境と同じネットワークに接続されていると、ランサムウェアによって暗号化・削除される可能性があります。

対策

• 本番環境から分離したバックアップを用意する
• オフラインまたは変更不能なバックアップを確保する
• バックアップ管理者の権限を分離する
• 定期的に復元テストを行う
• バックアップの成功・失敗を監視する

複合機、監視カメラ、入退室管理機器など、ネットワークに接続された機器も管理対象です。

初期パスワード、古いファームウェア、不要な外部公開が残っていると、侵入の足がかりとして悪用される可能性があります。

対策

• 初期パスワードを変更する
• ファームウェアを更新する
• 管理画面へのアクセスを制限する
• IoT機器を業務ネットワークから分離する
• 利用していない機器を撤去・停止する

ランサムウェア被害で発生する損失

ランサムウェアの損失は、身代金だけではありません。

• フォレンジック調査費用
• サーバーや端末の再構築費用
• 業務停止による売上機会の損失
• 取引先への説明・対応費用
• 個人情報漏えいへの対応費用
• 信用低下や契約見直しのリスク

また、個人データの漏えい、またはそのおそれがある場合、一定の要件に該当すると個人情報保護委員会への報告や本人通知が必要です。速報・確報の期限は事案によって異なるため、発生時は法務部門や専門家、所管機関へ速やかに相談してください。

情シスが今すぐ実施すべき対策

まず、外部から接続可能な機器やサービスを把握します。

• VPN機器
• RDP
• ファイアウォール
• Webサーバー
• クラウドサービス
• IoT機器
• リモート保守用アカウント

「誰が管理しているか分からない機器」を残さないことが重要です。

優先して多要素認証を導入する対象は次のとおりです。

• VPN
• Microsoft 365やGoogle Workspace
• AWSなどのクラウド管理者アカウント
• 特権アカウント
• リモートアクセスサービス

事務部門、開発部門、サーバー、バックアップ、IoT機器などを分離し、不要な通信を制限します。

これにより、1台の端末が侵害された場合でも、攻撃者の横展開を抑えやすくなります。

EPPが主にマルウェアの検知・防御を担うのに対し、EDRは端末上の不審な挙動を監視し、調査や隔離を支援します。

情シスの人員が限られている場合は、監視や分析を代行するMDRの活用も選択肢です。

3：データを3つ持つ

2：異なる2種類の媒体に保存する

1：1つは別拠点に保管する

1：1つはオフラインまたは変更不能にする

バックアップは「取得していること」だけでなく、「実際に復元できること」が重要です。定期的に復元テストを実施しましょう。

感染が疑われる場合の初動対応

ランサムウェア感染が疑われる場合は、被害拡大を防ぐため、次の対応を検討します。

1. 感染端末をネットワークから隔離する
2. 不審な操作を継続しない
3. 影響範囲を確認する
4. 証拠となるログや画面を保存する
5. 経営層、法務、専門業者へ連絡する
6. 必要に応じて警察や関係機関へ相談する
7. バックアップからの復旧可否を確認する

サーバーを一律にシャットダウンすると、調査に必要な情報が失われる場合があります。自社のインシデント対応手順に従い、専門家の指示を受けながら対応してください。

よくある質問

Q1. Macやスマートフォンも感染経路になりますか？

はい。Macやスマートフォンを含め、ネットワークに接続される端末は管理対象です。MDMや端末の最新化、不要なアプリの制限などを検討しましょう。

Q2. EPPだけでは不十分ですか？

EPPだけであらゆる攻撃を防ぐことは困難です。EPP、EDR、メール対策、MFA、脆弱性管理、バックアップを組み合わせ、多層的に防御することが重要です。

Q3. 身代金は支払うべきですか？

支払いによって必ず復旧できるとは限らず、追加要求や再攻撃につながる可能性もあります。独断で判断せず、経営層、法務、警察、専門家へ相談してください。

まとめ｜ランサムウェア対策は「侵入させない」と「復旧できる」の両立

ランサムウェア対策で押さえるべきポイントは、次の3つです。

• VPN・RDPなどの公開機器を管理し、脆弱性を放置しない
• 取引先、クラウド、退職者アカウント、IoT機器を含めて死角をなくす
• 分離・変更不能化したバックアップを用意し、復元テストを行う

完璧に侵入を防ぐことは容易ではありません。重要なのは、侵入を前提に、被害を広げず、早期に復旧できる体制を整えることです。

まずは、インターネットに公開されている機器、管理者アカウント、バックアップ環境の棚卸しから始めましょう。

自社の対策状況に不安がある場合は、セキュリティ診断やインシデント対応体制の見直しを活用し、優先順位を明確にすることをおすすめします。