【情シス担当者必見】ランサムウェア対策の優先度がわかる！最新の感染経路ランキング活用術

ランサムウェア対策、優先順位付けに悩んでいませんか？

「セキュリティ対策の重要性は理解しているが、日々の運用業務に追われ、どこから手をつければいいのか分からない…」 「限られた予算と人員の中で、最も効果的な対策にリソースを集中させたいが、その"最も効果的な対策"が何なのか判断できない…」

情報システム担当者として、このようなジレンマを抱えている方は少なくないでしょう。次々と現れる新たな脅威に対し、すべての対策を完璧に講じることは非現実的です。しかし、対策が後手に回れば、事業継続を揺るがす深刻なインシデントに繋がりかねません。

後手に回りがちなセキュリティ対策…情シス担当者が抱える共通の課題

日々のヘルプデスク業務、サーバーやネットワークの安定稼働、新規システムの導入支援など、情報システム担当者の業務は多岐にわたります。その中で、目に見える成果が現れにくいセキュリティ対策は、どうしても優先順位が低くなりがちです。

経営層からは「問題が起きていないのに、なぜ投資が必要なのか？」と問われ、現場からは「セキュリティを強化して業務が不便になるのは困る」という声が上がる。板挟みになりながら、孤独にセキュリティの重要性を訴え続けている担当者も多いのではないでしょうか。

この記事で解決！最新の感染経路ランキングで「今やるべき対策」がわかる

もし、攻撃者がどのような手口で侵入してくる可能性が最も高いのか、客観的なデータに基づいて把握できたらどうでしょうか？

この記事では、公的機関が発表した最新の調査データに基づき、ランサムウェアの「感染経路ランキング」を分かりやすく解説します。このランキングを知ることで、攻撃者の視点から自社の弱点がどこにあるのかを推測し、対策の優先順位を明確にすることができます。

単に情報を知るだけでなく、そのデータを武器に「自社の現状把握」「対策の優先順位付け」「経営層への予算要求」まで繋げる、具体的な3ステップ活用術もご紹介します。この記事を読めば、明日から着手すべき、具体的で効果的なアクションプランが見えてくるはずです。

【2025年最新版】データで見るランサムウェアの主な感染経路ランキングTOP5

対策の優先順位を決める上で最も重要なのは、敵、すなわちサイバー攻撃者がどのような手口を使っているかを知ることです。ここでは、信頼性の高い公的機関のデータを基に、最新のランサムウェア感染経路をランキング形式で解説します。

警察庁が2024年9月に発表した「令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、企業・団体等が報告したランサムウェア被害のうち、感染経路が特定できたものの約8割が「VPN機器からの侵入」でした。次いで「リモートデスクトップからの侵入」が多く、この2つが依然として主要な侵入経路であることが示されています。

出典: 警察庁「令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について」

このデータを基に、現在の攻撃トレンドを反映した感染経路ランキングTOP5を見ていきましょう。

テレワークの急速な普及に伴い、社外から社内ネットワークへ安全に接続するためのVPN(Virtual Private Network)機器は、今や多くの企業にとって不可欠なインフラです。しかし、この「境界線」が、今最も狙われています。

攻撃者は、インターネット上で公開されているVPN機器の製品名やバージョン情報を常にスキャンし、脆弱性が放置されている機器を探しています。脆弱性が見つかれば、それを悪用して認証を突破し、社内ネットワークへの侵入口を確保します。一度侵入されると、内部で権限昇格や横展開を行い、最終的にランサムウェアを展開します。

「うちは大丈夫」と思っていても、ファームウェアのアップデートが見過ごされているケースは少なくありません。 この対策の漏れが、致命的な被害の引き金となります。

サーバーメンテナンスや在宅勤務のために、外部から社内PCやサーバーを遠隔操作できるリモートデスクトップ（RDP）は非常に便利な機能です。しかし、その利便性の裏側には大きなリスクが潜んでいます。

インターネットにRDPのポート（通常3389番）が公開されていると、攻撃者はそのポートに対して自動化ツールを使い、考えられる限りのIDとパスワードの組み合わせを試行する「総当たり攻撃（ブルートフォースアタック）」を仕掛けます。特に「Administrator」のような推測されやすいユーザー名や、簡単で使い回されたパスワードが設定されている場合、侵入されるリスクは極めて高くなります。

古典的でありながら、今なお猛威を振るっているのがフィッシングメールを悪用した手口です。攻撃手法は年々巧妙化しており、単なるIT機器の脆弱性だけでなく、従業員の心理的な隙、いわゆる「人的脆弱性」を巧みに突いてきます。

取引先や公的機関を装った巧妙なメールで、パスワード付きZIPファイルを開かせたり、不正なURLをクリックさせたりします。かつて猛威を振るったマルウェア「Emotet（エモテット）」のように、一度感染すると他のマルウェアを呼び込み、最終的にランサムウェアに感染させるケースが後を絶ちません。従業員一人のうっかりが、組織全体の危機に直結するのが、この手口の恐ろしい点です。

VPN機器だけでなく、サーバーのOSや、業務で使用している様々なソフトウェア（Webサーバー、ファイル共有ソフト、グループウェアなど）に存在する脆弱性も、常に攻撃の標的となります。特に、複数の企業が利用するソフトウェアの脆弱性が悪用されると、「サプライチェーン攻撃」へと発展し、被害が広範囲に及ぶ可能性があります。

VPNやRDPだけでなく、クラウドサービスや業務システムのログイン情報においても、弱いパスワードの使い回しは重大なリスクです。ダークウェブなどで流出した認証情報を入手した攻撃者が、他のサービスへのログインを試みる「パスワードリスト攻撃」によって、いとも簡単に侵入を許してしまうケースがあります。基本的な対策ですが、徹底できていない組織が依然として多いのが現状です。

このランキングから見えてくるのは、攻撃者が「インターネットと社内ネットワークの境界線」と「認証の不備」を執拗に狙っているという事実です。

• 境界線の脆弱性: VPN機器やRDPなど、外部から内部へアクセスするための「入口」の脆弱性を最優先で狙う。
• 認証の脆弱性: 強力なパスワードポリシーの欠如や多要素認証（MFA）の未導入といった「認証の甘さ」を突いて、正規のルートから侵入しようとする。

つまり、「入口を固め、本人確認を厳格にする」という、物理世界では当たり前の防犯対策が、サイバーセキュリティにおいても極めて重要になっているのです。次の章では、このランキングを自社の対策にどう活かすか、具体的なステップを見ていきましょう。

ただ知るだけでは無意味！感染経路ランキングを自社対策に活かす3ステップ活用術

最新の感染経路ランキングを知るだけでは、宝の持ち腐れです。重要なのは、その客観的データを自社の状況に当てはめ、具体的なアクションに繋げることです。ここでは、情報システム担当者がすぐに実践できる3つのステップをご紹介します。

まずは、先ほどのランキングで挙げられた感染経路のリスクが、自社にどれだけ当てはまるかを客観的に評価することから始めましょう。以下のチェックリストを使って、自社の弱点を洗い出してみてください。

【VPN・外部公開機器】

- [ ] インターネットに公開しているVPN機器やサーバーをすべて把握しているか？

- [ ] 各機器のファームウェアやOSが最新バージョンになっているか？

- [ ] 脆弱性情報（JVNなど）を定期的にチェックし、迅速にパッチを適用する体制があるか？

【リモートデスクトップ（RDP）】

- [ ] RDPをインターネットに公開していないか？（公開が必要な場合、IPアドレス制限はしているか？）

- [ ] RDPのポート番号を変更しているか？

- [ ] RDPに使用するアカウントのパスワードは十分に複雑で、定期的に変更されているか？

【認証・パスワード管理】

- [ ] パスワードポリシー（文字数、複雑さなど）は十分に強固か？

- [ ] 重要なシステムへのアクセスには、多要素認証（MFA）を導入しているか？

- [ ] 退職者のアカウントは速やかに削除されているか？

【メール・エンドポイント】

- [ ] 従業員向けのフィッシングメール訓練を定期的に実施しているか？

- [ ] 迷惑メールフィルタやウイルス対策ソフトは最新の状態で稼働しているか？

- [ ] EDR/XDRなど、侵入後の検知・対応ソリューションを導入しているか？

このチェックリストで「いいえ」が一つでもつけば、そこが攻撃者に狙われやすい弱点である可能性が高いと言えます。

洗い出した弱点のすべてに一度に対応するのは困難です。そこで、対策の優先順位を決定するために、「対策優先度決定マトリクス」を活用します。

これは、縦軸に「インシデント発生時の影響度（大・小）」、横軸に「対策の難易度（コスト・工数）（低・高）」をとった4象限のマトリクスです。

1. ステップ1で見つけた弱点（対策項目）を、このマトリクス上に配置していきます。
2. 配置のポイント:
   • 影響度（大）: 事業停止に繋がる、顧客情報が漏洩する、復旧に多大な費用がかかるなど。
   • 対策難易度（低）: 設定変更だけで済む、安価なツールで実現できるなど。
3. 優先順位の決定:
   • 最優先（右上）: 影響度が大きく、対策が容易なもの。
   • 次点（右下）: 影響度は小さいが、対策が容易なもの（費用対効果が高い）。
   • 計画的に実施（左上）: 影響度は大きいが、対策にコストや時間がかかるもの。
   • 後回し/代替案検討（左下）: 影響度が小さく、対策も難しいもの。

このマトリクスを使うことで、「今すぐやるべきこと」と「計画的に予算を確保して取り組むべきこと」が視覚的に整理され、場当たり的な対策から脱却できます。

情報システム担当者にとって最後の、そして最大の壁が「予算確保」です。ここで、冒頭で紹介した警察庁のような公的機関のデータが強力な武器になります。

経営層を説得する際は、単に「危ないから対策が必要です」と訴えるだけでは不十分です。「なぜ今、その対策に投資する必要があるのか」を、論理的かつ客観的に説明する必要があります。

• ポイント1：脅威の現実味を伝える 「警察庁の最新データによると、ランサムウェア攻撃の8割はVPN機器の脆弱性を狙ったものです。これは、多くの企業が見過ごしがちな点であり、攻撃者にとっては格好の標的となっています。」
• ポイント2：他社の事例ではなく「自社のリスク」として説明する 「当社の現状をチェックリストで確認したところ、この最も狙われやすいVPN機器の管理体制に課題があることが判明しました。このまま放置すれば、同様の被害に遭う可能性は極めて高いと言わざるを得ません。」
• ポイント3：対策の投資対効果を示す 「このリスクに対し、まずは対策難易度が低く、影響を大きく低減できる『〇〇』から着手することを提案します。これにより、最も可能性の高い侵入経路を低コストで塞ぐことができます。」

客観的なデータに基づいた説明は、担当者の主観的な意見よりもはるかに説得力を持ちます。 こうしたデータを活用し、セキュリティ投資を「コスト」ではなく「事業継続のための戦略的投資」として認識してもらうことが重要です。

【ランキング上位から対策】今すぐ着手すべき具体的なランサムウェア対策

理論や計画だけでは意味がありません。ここでは、感染経路ランキングの上位を占めるリスクに対し、明日からでも着手できる具体的な対策をご紹介します。

侵入経路の第1位であるVPN機器の対策は、ランサムウェア対策の要です。

• 資産管理: まず、自社が管理するすべてのVPN機器や外部公開サーバーを正確にリストアップし、管理責任者を明確にします。
• 情報収集: 利用している機器のベンダーサイトや、脆弱性情報データベース（JVNjpなど）を定期的に巡回し、セキュリティパッチが公開されていないか常にチェックする体制を構築します。
• 迅速な適用: 重要な脆弱性が公表された場合、業務影響を考慮しつつも、可能な限り迅速にパッチを適用します。休日や夜間の緊急メンテナンスも視野に入れた計画を立てておきましょう。

IDとパスワードだけに頼る認証は、もはや安全ではありません。VPN接続時には、スマートフォンアプリやSMS、ハードウェアトークンなどを組み合わせた多要素認証（MFA）を必須にしましょう。これにより、万が一パスワードが漏洩しても、不正アクセスを水際で防ぐことができます。

利便性の高いRDPは、設定一つで大きな脅威に変わります。以下の設定を今すぐ確認してください。

• IPアドレス制限: RDPでの接続を許可するIPアドレスを、オフィスの固定IPアドレスや、許可された特定のIPアドレスのみに限定します。これにより、不特定多数からの総当たり攻撃を大幅に削減できます。
• 強力なパスワード: アカウントロックアウト機能（一定回数ログインに失敗したアカウントを一時的にロックする）を有効にし、推測されにくい複雑なパスワードを設定・強制するポリシーを適用します。

そもそもRDPの利用が必要ないサーバーやPCについては、RDP機能を無効化し、ポート（TCP/3389）をファイアウォールで閉鎖することが最も確実な対策です。必要最小限の公開を徹底する「ゼロトラスト」の考え方が重要です。

技術的な対策だけでは、巧妙なフィッシングメールを100%防ぐことはできません。技術と教育の両輪で対策する「多層防御」が不可欠です。

• 定期的な教育: 「知らない送信元のメールは開かない」といった基本的な指導に加え、最近の巧妙な手口の事例を共有し、従業員のセキュリティ意識を常にアップデートします。
• 訓練の実施: 実際にフィッシングメールを模したメールを従業員に送信し、開封率やURLクリック率を測定する「標的型攻撃メール訓練」を定期的に実施します。訓練結果を基に、リスクの高い部署や従業員に追加教育を行うことで、組織全体の対応力を向上させることができます。

• 技術的防御: 高度な迷惑メールフィルタやサンドボックス機能（添付ファイルを安全な環境で実行してみる機能）を持つメールセキュリティ製品を導入し、不正なメールが従業員に届く前にブロックします。
• 侵入後の検知: 万が一、マルウェアがPCに侵入してしまった場合に備え、その不審な挙動を検知して隔離するEDR（Endpoint Detection and Response）や、PC・サーバー・ネットワーク機器のログを横断的に分析して脅威を検知するXDR（Extended Detection and Response）の導入が非常に有効です。

まとめ：感染経路ランキングを起点にプロアクティブなセキュリティ対策を実現しよう

今回は、最新のランサムウェア感染経路ランキングを基に、情報システム担当者が今すぐ取り組むべき対策の優先順位付けと、具体的なアクションプランを解説しました。

日々多忙を極める中で、セキュリティ対策をどこから始めるべきか悩むのは当然です。しかし、攻撃者の視点を知り、客観的なデータに基づいて自社の弱点を把握することで、闇雲な対策から脱却し、戦略的で効果的な一手を打つことが可能になります。

1. 最大の弱点は「境界」にあり: 攻撃の大部分は、VPN機器やRDPといった社内外の接続点を狙って行われます。外部に公開している機器の脆弱性管理と認証強化が最優先課題です。
2. データは「武器」になる: 公的機関が発表する統計データは、自社の弱点を客観的に把握し、対策の優先順位を決定し、さらには経営層を説得するための強力な武器となります。
3. 技術と人の「多層防御」が不可欠: 機器の脆弱性対策といった技術的な防御に加え、フィッシングメール訓練のような人的な防御を組み合わせることで、セキュリティレベルは飛躍的に向上します。

1. まずは現状把握から: 本文中の「感染経路リスク簡易チェックリスト」を使い、自社のセキュリティ体制を自己評価してみましょう。
2. 優先順位を決定: チェックリストで見つかった課題を「対策優先度決定マトリクス」に当てはめ、「影響が大きく、対策が容易なもの」から着手する計画を立てましょう。
3. 専門家の知見を活用する: 自社だけでの対策に不安がある、あるいは、より具体的な対策について専門家の意見を聞きたい場合は、外部のセキュリティ専門家への相談も有効な選択肢です。

ランサムウェアの脅威は、もはや対岸の火事ではありません。この記事をきっかけに、受け身の対策から一歩踏み出し、攻撃者の先を読む「プロアクティブなセキュリティ対策」を実現してください。

貴社のセキュリティ体制に関する課題や、具体的なソリューションについて、専門家による無料相談も承っております。お気軽にお問い合わせください。