ランサムウェアの感染経路6つを解説｜VPN機器から始める経路別の対策

ランサムウェアの感染経路で最も多いのはVPN機器

ランサムウェアが企業ネットワークへ入り込む経路のなかで、最も多いのは社外から社内ネットワークへ接続するためのVPN（Virtual Private Network）機器です。警察庁サイバー警察局の「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、被害組織が回答した侵入経路36件のうち、VPN機器が18件（50.0％）、リモートデスクトップが9件（25.0％）を占めました。

背景には、攻撃手口の変化があります。以前は不特定多数へメールを送る手口が一般的でしたが、現在はインターネットに露出した機器から遠隔操作で侵入する手口が中心となり、メールの添付ファイルによる感染は減りました。委託先がリモート保守用に置いたVPN機器から侵入された公表事例は、取引先・委託先の項で取り上げます。

狙われているのは大企業だけではありません。同資料では、令和8年上半期の被害報告件数が半期で過去最多の123件に上り、その約6割は中小企業でした。規模を問わず、自社の入口を点検しておく必要があります。

主な6つの感染経路の手口と狙われやすい状態を次の表に示し、次章で経路ごとの対策を説明します。

参照元：警察庁｜令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について

ランサムウェアの主な感染経路と手口

ランサムウェアの侵入口は、先に挙げた6つの経路に分けられます。なかでもVPN機器とリモートデスクトップの2経路が大半を占め、どちらも社外から社内へ接続するための仕組みです。

警察庁も、主要な侵入経路であるVPN機器には速やかな対応が必要だとしています。次のチェックリストでは、VPN機器の更新、リモート接続の多要素認証、リモートデスクトップの直接公開にかかわる上の3項目を最優先で確認し、そのあとで残りの項目を点検しましょう。

参照元：警察庁｜ランサムウェア被害防止対策

• ●VPN機器の機種とバージョンを把握し、更新プログラムを速やかに適用している
• ●VPNとリモートデスクトップに多要素認証を設定している
• ●リモートデスクトップをインターネットに直接公開していない
• ●初期パスワードや推測されやすいパスワードを使っていない
• ●添付ファイル付きのメールは送信元に確認してから開く運用を周知している
• ●許可していないソフトのインストールを禁止している
• ●私物や持ち主の分からないUSBメモリの接続を禁止している
• ●委託先が使う接続経路と付与している権限を把握している

関連記事

ランサムウェア対策｜企業がやるべき対策と優先順位、既存製品の死角を解説ランサムウェア対策の見直しを任されたものの、どこから手をつけるか迷う情報システム部門や管理部門の担当者は少なくありません。アンチウイルスやEDR、バックアップを導入していても被害が絶えないのは、製品ごとに守る範囲が違うか…続きを読む

VPN機器の脆弱性と認証情報の悪用

VPN機器を狙う攻撃者は、未修正の脆弱性や漏えいした認証情報、推測されやすいパスワードを悪用して社内ネットワークへ入り込みます。社外からの接続用に導入した機器も、更新せずに使い続ければ侵入口に変わります。

対策の基本は、更新ファイルやセキュリティパッチが公開されたら速やかに適用することです。パスワードとは別にワンタイムパスワードなどで本人を確かめる多要素認証と、接続元のIPアドレス制限も組み合わせてください。更新前に認証情報を盗まれている可能性もあるため、パスワードの変更もあわせて行いましょう。

リモートデスクトップへの不正ログイン

リモートデスクトップは、離れた場所から社内のパソコンやサーバーを操作する仕組みです。インターネットから接続できる状態にしていると、盗まれた認証情報や推測しやすいパスワードで不正にログインされてしまいます。保守のために許可した外部接続が、利用状況を確認されないまま常時接続になっていた例もあります。

対策の第一歩は、インターネットへの直接公開をやめることです。そのうえで接続元を限定し、多要素認証を設定します。初期パスワードや簡易な文字列は、文字数が多く推測されにくいものへ変更してください。

不審なメールの添付ファイルやリンク

メールを使う手口では、実在する組織を装った文面で添付ファイルを開かせたり、リンク先へアクセスさせたりして、ランサムウェアなどのマルウェアに感染させます。メールが直接の侵入口になる割合は減ったものの、偽のログイン画面へ誘導してIDやパスワードを盗み、後の侵入に使う手口は続いています。

対策として、添付ファイルやリンクを開く前に送信元へ確認する運用を社内に定着させましょう。なりすましメールを防ぐ送信ドメイン認証のDMARCを導入し、従業員には不審メールへの対応訓練を実施します。

関連記事

メール添付ファイルのパスワードは必要？かけ方と限界・安全な送り方を解説取引先にファイルを送る際、パスワード付きZIPを添付し、パスワードを別のメールで送る運用を続けている企業は少なくありません。しかしこの方法は、盗聴や誤送信への備えとして十分に機能せず、政府機関やプライバシーマーク制度の運…続きを読む

改ざんされたWebサイトや不正なソフト

Webサイト経由の感染は、改ざんされたページを閲覧しただけで起こる場合があります。ブラウザが実行するプログラムの脆弱性を突くウイルスが、ページに埋め込まれているためです。閲覧中に「あなたのコンピュータはウイルスに感染しています」といった偽の警告を表示し、無料の対策ソフトに見せかけた偽のソフトをインストールさせる手口も確認されています。

対策として、OSやWebブラウザを常に最新の状態に保つことが大切です。業務で許可していないソフトのインストールも、社内ルールで禁止しておきましょう。

USBメモリなどの外部記録媒体

USBメモリなどの外部記録媒体は、感染した状態で社内の端末に接続されると、マルウェアを持ち込む経路になります。差し込んだだけで自動的に実行される危険もあります。私物や持ち主の分からない媒体の使用、自宅や外出先のパソコンで使った媒体の持ち込みが感染のきっかけです。

対策として、会社が許可した媒体以外の使用を禁止し、パソコンの自動再生機能を停止しましょう。ファイルを開く前には、必ずウイルスチェックを行います。クラウドストレージなど、媒体を使わないデータの受け渡し方法へ切り替えることも有効です。

関連記事

情報漏洩対策は何から始める？原因別の優先順位と実践手順を解説情報漏洩対策に取り組もうとすると、外部攻撃への防御から社内ルールの整備まで候補が並び、着手する順序を決めきれないまま止まりがちです。限られた予算と人員で進めるには、自社にとって現実的な脅威がどれかを見極める必要があります…続きを読む

取引先や委託先のネットワーク経由

取引先や委託先、関連会社のネットワークや接続用アカウントを足がかりにした侵入です。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」でも、組織向け2位は「サプライチェーンや委託先を狙った攻撃」でした。大阪急性期・総合医療センターの調査報告書では、給食委託先のリモート保守用VPN機器から侵入され、委託先経由で電子カルテシステムが暗号化されました。

対策として、委託先の接続経路とアカウントを把握し、権限を絞ります。契約時には保守や脆弱性管理の分担を文書で確認しましょう。

参照元：IPA（独立行政法人情報処理推進機構）｜プレス発表「情報セキュリティ10大脅威 2026」を決定

参照元：大阪急性期・総合医療センター｜情報セキュリティインシデント調査報告書 概要

侵入後に社内で被害が広がる流れ

侵入した攻撃者は、すぐに暗号化するのではなく、段階を踏んで社内に被害を広げます。先に挙げた警察庁の資料では「ランサムウェア攻撃の流れ」として、管理者権限の奪取と内部探索、データの窃取、暗号化、身代金の要求という順序を示しています。

入口を一つふさいでも、別の経路から入られる可能性は残ります。侵入を許した場合に備え、社内で被害が広がる流れを3つの段階で押さえておきましょう。

参照元：警察庁｜令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について

管理者権限を奪って社内を探索する

侵入した攻撃者は、より広い範囲へアクセスするため、管理者権限の奪取やセキュリティ対策の無効化を試みながら社内のサーバーや端末を探索します。システムに組み込まれた正規の管理ツールやコマンドを使う場合もあり、通常の操作と見分けにくいため検知が難しいとされています。

先に挙げた医療センターの事例でも、すべての利用者に管理者権限を与えていたため、攻撃者がその権限でウイルス対策ソフトを削除していました。アカウントの権限を業務に必要な範囲に絞り、管理者権限を持たせる対象を限定すれば、被害の拡大を抑えられます。

参照元：大阪急性期・総合医療センター｜情報セキュリティインシデント調査報告書 概要

関連記事

アクセス権限とは？企業における設定手順と付与・解除・棚卸しの管理ポイントアクセス権限は、誰がどの情報にどこまで操作できるかを決める、情報管理の基本となる仕組みです。設定したまま見直さずにいると、異動者や退職者の権限が残り、情報漏えいや内部不正、誤操作によるデータ消失を招きかねません。 本記事…続きを読む

ファイルサーバーやバックアップを狙う

攻撃者は内部探索で、重要なデータの保管場所とバックアップを探し出します。感染した端末のファイルだけでなく、その端末からアクセスできるネットワーク上のファイルも、ランサムウェアによる暗号化の対象です。多くの部署が使うファイルサーバーやNASが暗号化されれば、業務全体が止まりかねません。

IPAが公表した届出事例では、企業のサーバーとNASが攻撃され、40万個以上のファイルが被害を受けました。バックアップも暗号化される事例が多数確認されているため、ネットワークから切り離して保管する必要があります。

参照元：IPA｜コンピュータウイルス・不正アクセスの届出事例［2021年上半期（1月～6月）］

関連記事

NASのセキュリティ対策｜リスクの整理と着手順・点検項目を解説NAS（ネットワークに接続し複数の端末で共有するストレージ）は、業務データが集まるぶん、攻撃や事故が起きたときの影響も大きくなりがちです。ランサムウェアによる暗号化、内部からの持ち出し、機器の故障や盗難など、企業が向き合…続きを読む

データを盗んだうえで暗号化する

近年のランサムウェア被害では、暗号化の前にデータを外部へ持ち出し、「対価を支払わなければデータを公開する」と脅す二重恐喝が多くを占めます。暗号化をせずにデータを盗み、公開を予告して対価を求める「ノーウェアランサム」という手口も確認されています。

攻撃者は暗号化が済むと、脅迫文であるランサムノートをデスクトップなどに残し、ログや使ったツールの痕跡を消して攻撃を終えます。調査の手がかりとなるログが消されるため、どこから侵入されたのかを特定しにくくなる点にも注意が必要です。

感染経路を特定できない理由と平時の備え

侵入経路を特定できないまま復旧すると、同じ経路から再び侵入され、被害を繰り返すおそれがあります。どこから入られたのかが分からなければ、どの入口をふさぐべきかという再発防止策も決められません。

警察庁も「ランサムウェア被害防止対策」のページで、侵入経路や侵害範囲の調査に備え、日頃からネットワーク機器や端末のログを取得しておくよう呼びかけています。経路を特定できない主な理由と平時の備えは、次の表のとおりです。

参照元：警察庁｜ランサムウェア被害防止対策

VPN機器と認証サーバーのログを残す

VPN機器の接続記録と認証の成功・失敗の記録は、侵入経路を調べる際の起点になります。いつ、どのアカウントで、どの接続元から入られたのかを、ここからたどれるためです。

記録は機器本体の中だけに置かず、別に用意したログ管理の仕組みでも保管しておきましょう。先に挙げた医療センターの事例では、侵入口となったVPN機器を更新した際にログが消えています。取得したログは定期的に確認し、営業時間外の接続や想定外の接続元からのログインに気づける体制を整えてください。

参照元：大阪急性期・総合医療センター｜情報セキュリティインシデント調査報告書 概要

リモート接続の履歴を残す

Windowsのセキュリティログでは、ログオンの成功がイベントID4624として記録されます。記録に含まれるログオンの種類が10であれば、リモートデスクトップによるログオンと区別できます。

これらの記録を残すには、監査ポリシーで「Audit Logon（ログオンの監査）」を有効にしておく必要があります。同じ監査の対象には、ログオンの失敗を示すイベントID4625も含まれています。短時間に失敗の記録が続いている場合は、パスワードを総当たりで試す攻撃の兆候として確認しましょう。

参照元：Microsoft Learn｜4624(S): An account was successfully logged on.

ファイルサーバーの操作ログを取る

ファイルサーバーでは、誰が、いつ、どのファイルを変更・削除したかを操作ログとして記録しておきましょう。記録があれば、暗号化が始まった時刻や、被害を受けたファイルの範囲を特定できます。

JPCERTコーディネーションセンター（JPCERT/CC）も、社内の複数のシステムでファイルの拡張子が変わり開けなくなる状況を、被害の兆候に挙げています。操作ログでこうした変化を確かめられる状態にしておけば、被害の早期発見につながります。被害の範囲が分かると、復元すべきファイルと時点を絞り込むことも可能です。

参照元：JPCERT/CC｜侵入型ランサムウェア攻撃を受けたら読むFAQ

関連記事

ファイル共有のセキュリティ対策｜4つのリスクと安全な共有方法を解説社内外とのファイル共有は業務に欠かせない一方で、誤送信や不正アクセス、ランサムウェアによる被害の入口にもなりかねません。宛先を1つ間違えたり、異動者の権限を外し忘れたりしただけで、機密情報や個人情報が外部に渡るおそれがあ…続きを読む

感染に気づいたときの初動対応

ランサムウェアの感染に気づいたら、被害の拡大を止めることと、侵入経路の調査に必要な記録を残すことを同時に進めます。止めることだけを急ぐと、調査の手がかりまで失いかねないためです。

JPCERTコーディネーションセンター（JPCERT/CC）も初動の方針として、次の3つを示しています。

• ●被害範囲を把握して被害の最小化を図る
• ●考えられる侵入経路をふさぐ
• ●攻撃者の要求には応じずバックアップから復旧する

対応体制や社内の連絡ルートの決め方は、下記の関連記事をご覧ください。

参照元：JPCERT/CC｜侵入型ランサムウェア攻撃を受けたら読むFAQ

関連記事

インシデント対応とは？対応フローと社内で決めておくことを解説セキュリティ事故は、起きるかどうかではなく、起きた際にどう動くかが問われる時代になりました。しかし、不審なアクセスやランサムウェアの感染が判明した場面で、誰が何を判断し、どこまで止めるのかが決まっていない企業は少なくあり…続きを読む

感染した端末をネットワークから外す

感染が疑われる端末やサーバーは、LANケーブルを抜く、無線をオフにするなどして、すぐにネットワークから切り離します。ほかの機器へ被害が広がるのを防ぐためです。

被害を受けていないバックアップがあれば、それも先に切り離しておきましょう。自動でバックアップを取る仕組みでは、正常なバックアップが上書きされて失われかねません。

一方で、必要のないネットワークやシステムまで止めると、かえって被害の拡大や停止の長期化を招く場合があります。被害や侵害が確認されたものを中心に、切り離す範囲を判断してください。

参照元：警察庁｜ランサムウェア被害防止対策

参照元：JPCERT/CC｜侵入型ランサムウェア攻撃を受けたら読むFAQ

参照元：JPCERT/CC｜JPCERT/CCが「侵入型ランサムウェア攻撃を受けたら読むFAQ」を公開

ログと端末の状態を保全する

切り離した端末やネットワーク機器の電源は、落とさずにそのまま残します。電源を切ると、調査に必要なログが消える場合があるためです。

ログだけでなく、暗号化されたファイルや脅迫文であるランサムノートも削除せずに残しましょう。ランサムノートや暗号化後の拡張子は、ランサムウェアの種類を特定する手がかりになります。

あわせて、発見した日時と発見者、表示されたメッセージ、実施した対応を時系列で記録しておきます。いつ、誰が、何をしたかが分かれば、後の調査で状況を正確にたどれます。

参照元：警察庁｜ランサムウェア被害防止対策

参照元：東京都｜セキュリティインシデント対応（1/2） 初動対応の基本

警察や関係機関に通報・相談する

被害に気づいたら、最寄りの警察署または都道府県警察のサイバー犯罪相談窓口に通報・相談します。警察は、被害拡大を防ぐための初動対応の支援や、復号ツールの案内を行える場合があります。対応に迷うときは、JPCERT/CCなどの専門機関にも相談しましょう。

個人データが漏えいしたおそれがある場合は、個人情報保護法第26条にもとづき、個人情報保護委員会への報告と本人への通知が必要になることがあります。不正アクセスによる漏えいのおそれは件数にかかわらず対象となり、速報はおおむね3〜5日以内に求められます。

参照元：警察庁｜ランサムウェア被害防止対策

関連記事

CSIRTとは？SOC・PSIRTとの違いや構築モデルまでわかりやすく解説サイバー攻撃を完全に防ぐことが難しくなるなか、インシデントが起きた後に誰が判断し、どう動くかを担う体制として、CSIRTへの関心が高まっています。一方で、SOCやPSIRTとの違いがわかりにくい、専任者を置く余裕がない、…続きを読む

DirectCloudとWhiteDefenderで備える

ここまで見てきたように、攻撃を完全に防ぐことは難しいため、侵入された後に被害を小さくする備えも必要になります。株式会社ダイレクトクラウドでは、法人向けクラウドストレージのDirectCloudと、ランサムウェア対策ソフトのWhiteDefenderを提供しています。
本文で取り上げた4つの課題と、それぞれに対応する機能は次の表のとおりです。

VPNに頼らず接続元を限定して使える

DirectCloudはインターネット経由で利用するクラウドストレージのため、社外からファイルを扱う際にVPN機器を経由する必要がありません。侵入口として最も多いVPN機器に、社外でのファイル利用を頼らずに済みます。

そのうえでDirectCloudでは、拠点ごとに登録したIPアドレスからの接続だけを許可するIPアドレス制限や、管理者が許可した端末だけを使えるデバイス認証を設定できます。社外から接続する場合は、ワンタイムパスワードによる二要素認証（OTP）も組み合わせられます。

参照元：DirectCloud｜情報漏洩を防ぐセキュリティ対策

暗号化を検知して自動で復元できる

WhiteDefenderは、ランサムウェア特有の暗号化のふるまいを監視し、未知の種類であっても暗号化を検知して処理を遮断します。検知した瞬間に対象ファイルの正常な副本を退避するため、暗号化が始まっても自動で元の状態へ戻せます。

製品ページに記載している検知0.0秒、平均復元3.4秒は、特定の検証環境で測定した値です。既存のウイルス対策ソフトやEDRと共存でき、追加の防御層として使えます。クライアントPCに加え、重要なデータが集まるサーバー向けのライセンスも用意しています。

参照元：DirectCloud｜ランサムウェア対策ソフトならWhiteDefender（ホワイトディフェンダー）｜検知0秒・自動復元

感染前のバージョンにファイルを戻せる

DirectCloudでは、全プランでランサムウェア対策を標準で提供しています。共有ファイルが暗号化された場合も、バージョン管理機能を使えば感染前の状態にファイルを戻せます。

先に挙げたとおり、多くの部署が使うファイルサーバーが暗号化されると、業務全体が止まりかねません。DirectCloudをファイルサーバーの代わりに使う場合は、顧客情報などの機密情報や日々の業務資料もここに集まります。暗号化による業務停止に備えるためにも、感染前のファイルへ戻せる仕組みを持っておく必要があります。

参照元：DirectCloud｜DirectCloud ランサムウェア対策

操作ログで被害の範囲を追跡できる

DirectCloudでは、ログイン、ファイル操作、管理者の操作など、250種類以上の操作ログを取得できます。ログインのログでは誰が、いつ、どこで、どの端末からログインしたかを確認でき、ファイルの操作ログは期間やユーザーIDで絞り込んでCSVファイルに出力することも可能です。

ログの保存期間は、スタンダードとアドバンスドのプランで最新の3年分、ビジネス以上のプランで最新の7年分です。侵入から発覚までに時間がかかっても記録が残るため、先に挙げた「ログが残っていない」という課題への備えになります。

参照元：DirectCloud｜業界トップクラス250種類以上のログ監視

ランサムウェア対策とVPN課題を解決した事例

本文で取り上げたランサムウェアの侵入口や被害の広がりは、実際の企業でも課題になっています。ファイルサーバーのランサムウェア対策、VPNに頼った社外からのアクセス、USBメモリによるデータの受け渡しといった課題に、DirectCloudを導入した企業がどう取り組んだのかを紹介します。

ファイルサーバーのランサムウェア対策と復旧の効率化を実現

清酒「菊正宗」などを製造・販売する菊正宗酒造株式会社様は、自社でファイルサーバーを運用してきました。しかし、ランサムウェアへの対策を自社だけで進めるには負担が大きく、社外からのアクセスにVPN接続が必要な点も課題でした。バックアップは取っていたものの、ファイル単位で元に戻すリストアの対応も煩雑だったといいます。

DirectCloudの導入後は、ランサムウェアなどのウイルス対策が容易になり、VPN接続も不要になりました。データを集約したことで、ファイル単位のリストアにかかる工数も削減されています。

VPNを使わない社外アクセスと管理負担の軽減を実現

岡山県で税務・会計の支援を手がける税理士法人おかやま創研様では、社外から社内データを見る際、VPNを介してファイルサーバーに入るしかありませんでした。外部からの接続に手間がかかるうえ、アクセス権の細かな設定もできておらず、遠隔地にバックアップを確保できていない点にも不安を抱えていたといいます。

導入後は、VPNを使わずに場所を問わず安全にファイルを閲覧できるようになりました。会社が貸与した端末からだけ接続できるデバイス認証などで顧客データを守り、サーバー管理にかかる負担も軽減されています。

USB利用を制限しクラウドでのファイル共有を実現

ビルの清掃や設備管理などを手がける横浜ビルシステム株式会社様では、在宅勤務時に自宅や外出先からファイルサーバーへアクセスできない状況にありました。現場の立ち会いではUSBでデータを持ち出すこともあり、ローカルやUSBへの保存による情報漏えいへの備えが必要でした。

導入後は、ローカル保存とUSBの利用を制限して情報漏えいのリスクを削減し、大容量ファイルも共有リンクで受け渡せるようになっています。USBメモリを使わない受け渡しは、外部記録媒体を経由したマルウェアの持ち込みを減らす取り組みにもなります。

よくある質問

本文で触れきれなかった疑問を中心に、6つを取り上げて簡潔に回答します。感染したときの症状や拡張子の変化、侵入から暗号化までの期間、身代金の扱いのほか、感染経路の調べ方とクラウドストレージへの影響にも触れます。いずれも、被害に気づいたときの判断や平時の備えにかかわる内容です。

まとめ

ランサムウェア対策は、侵入口となる感染経路を把握し、経路ごとに入口を点検することから始まります。現在の被害は、VPN機器やリモートデスクトップなど社外と社内をつなぐ仕組みからの侵入が大半を占め、侵入後は短期間で社内に被害が広がるためです。入口の対策とあわせて、ログの保管や初動対応の手順まで平時に備えておけば、被害を小さく抑え、早期の復旧につなげられるでしょう。

VPN機器への依存を減らしながら、侵入後の被害にも備える手段として、法人向けクラウドストレージのDirectCloudがあります。VPNを使わずにIPアドレス制限やデバイス認証で接続元を限定でき、暗号化されたファイルもバージョン管理で感染前の状態へ戻せます。250種類以上の操作ログが残るため、被害の範囲も追跡できます。まずは資料で、DirectCloudのランサムウェア対策をご確認ください。