ランサムウェアの侵入口はVPN機器｜中小企業の実務担当者が今週中に確認すること

ランサムウェア被害は半期で過去最多、6割強が中小企業

警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年1月から6月までに警察へ報告されたランサムウェアの被害は123件でした。統計を取り始めた2020年下半期以降、半期の件数としては最多です。ランサムウェアは、社内のパソコンやサーバーのデータを暗号化して使えなくし、元に戻す対価として金銭を要求する不正なプログラムです。

最近は暗号化の前にデータを盗み出し、「支払わなければ公開する」と二重に脅す手口が被害の多くを占めています。

被害企業の規模と業種

警察庁の令和8年上半期の報告書で、被害に遭った123件を組織の規模で分けると、中小企業が79件で全体の64%を占めます。業種別では製造業が37件と最も多く、卸売・小売業の15件が続きます。ランサムウェアは大企業を狙う攻撃と受け止められがちですが、件数で見れば被害の中心は中小企業であり、とりわけ製造業です。

製造業の被害は取引先にも及ぶ

生産管理システムや図面のサーバーが暗号化されると、受注の確認から出荷までが止まります。部品を納める立場の企業であれば、影響は納入先の生産計画にまで広がるでしょう。データの流出も深刻です。警察庁の令和8年上半期の報告書は、盗まれた財務情報や個人情報が攻撃グループの公開用サイトに掲載される事例が多数確認されていると報告しています。

取引先から秘密保持契約のもとで預かった図面が流出すれば、取引先に対する契約上の責任の問題にもなります。IPAの「情報セキュリティ10大脅威 2026」の組織編でも、「ランサム攻撃による被害」が11年連続で選ばれて1位、「サプライチェーンや委託先を狙った攻撃」が2位です。

侵入口の半数はVPN機器、リモートデスクトップを合わせると4分の3

ランサムウェアの感染経路はどこにあるのか。警察庁の令和8年上半期の報告書では、被害組織へのアンケートで侵入経路が判明した36件のうち、VPN機器からの侵入が18件、リモートデスクトップからの侵入が9件でした。VPN機器は、テレワークや出張先から社内のネットワークに暗号化した通信で接続するための機器です。

リモートデスクトップは、離れた場所から社内のパソコンの画面を操作する仕組みです。同報告書で過去5年分を合算しても、侵入経路が判明した485件のうち293件がVPN機器からでした。不審なメールの添付ファイルによる感染は、同じ5年間で24件にとどまります。

攻撃の流れ

警察庁の令和8年上半期の報告書によると、攻撃者は修正されていない脆弱性や漏えいした認証情報を悪用して、VPN機器などからネットワークに侵入します。管理者の権限を奪い、セキュリティ対策ソフトを無効にしながら、重要なデータやバックアップのありかを探したうえで、データを外部へ持ち出してからランサムウェアを起動して暗号化します。

最後に脅迫文を残し、痕跡を消すという流れです。つまり、画面に脅迫文が出た時点で、データの持ち出しはすでに終わっている可能性が高いということです。

狙われるのは「更新されていない入口」と「パスワードだけで入れる入口」

警察庁が2026年1月にまとめた「サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策」では、サイバー攻撃の被害に遭った企業・団体のうち、VPN機器を利用している組織の52%が最新のパッチ（修正プログラム）を適用していませんでした。社外から接続するときの認証がIDとパスワードだけの組織も、39.8%ありました。

攻撃者が侵入に使うのは「修正されていない脆弱性」と「漏えいした認証情報」であり、どちらか一方が残っているだけでも入口になります。

AIの悪用で、パッチを放置できる時間は短くなる

攻撃の準備には、AIも使われ始めています。警察庁の令和8年上半期の報告書は、生成AIを悪用してランサムウェアを作成したとして19歳の会社員が2026年6月に検挙された事例を紹介しています。IPAの「情報セキュリティ10大脅威 2026」の組織編でも、「AIの利用をめぐるサイバーリスク」が3位に入りました。

攻撃の準備が自動化されるほど、脆弱性の公表から悪用までの時間は短くなると考えられます。公表から数か月かけて更新を検討する進め方は、今後さらに通用しにくくなります。

中小企業で入口の管理が抜け落ちる理由

VPN機器は、テレワークの開始やネットワーク工事の際に設置業者が導入し、その後は誰も設定画面を開かないまま動き続けることが多い機器です。社内の誰も型番を知らず、設置業者との契約は導入工事で終わっていて、更新の判断を下す人がいない。機器の性能より、管理の責任者が決まっていないことが根本の原因です。

よくある状態と、そこから生じるリスク

次の表のどれか一つでも当てはまる場合、VPN機器の脆弱性が公表されても、自社が影響を受けるかどうかを社内だけでは判断できない可能性があります。

「社外から入れる入口」は一つとは限らない

社外から社内に入れる経路は、VPN機器だけではありません。複合機や空調、監視カメラの保守のために業者が設けたリモート接続、インターネットに公開されたままのリモートデスクトップ、工場の設備を遠隔で監視する機器などが残っていることがあります。導入した部署や業者ごとに管理が分かれ、全体の一覧が社内にないことがほとんどです。

社内の資料だけで洗い出せない場合は、ネットワークを導入した業者に、インターネットから到達できる自社の機器と用途の一覧を出してもらいます。用途を説明できない機器が見つかれば、それが最初に止めるべき入口です。

実務担当者が今週中に確認すること

専門知識がなくても、入口の状況は確認できます。目的は自分で設定を変えることではなく、誰に何を依頼すべきかを判断できる状態にすることです。次の6点を、社内でわかる範囲から確認してください。

確認の手順

1. 入口を書き出す：VPN機器、リモートデスクトップ、業者の保守用リモート接続など、社外から社内に届く経路を一覧にする。ネットワーク工事や複合機の契約書が手がかりになる
2. VPN機器の型番と保守契約を確認する：機器本体のラベルか納品書で型番を確かめ、設置業者と保守契約を結んでいるかを調べる
3. ファームウェアとサポート期限を確認する：メーカーのサイトで、使っている型番の最新バージョンとサポートの終了時期を調べる
4. アカウントを棚卸しする：VPNとリモートデスクトップの接続アカウントを人事の名簿と突き合わせ、退職者や共有のアカウントを洗い出す
5. 認証方法を確認する：IDとパスワードだけで接続できる状態になっていないか、管理画面のパスワードが初期値のままでないかを確かめる
6. バックアップの保管場所を確認する：社内のネットワークにつながった場所にしかないのか、切り離した場所にもあるのかを確かめる

リモートデスクトップをインターネットに直接出さない

警察庁の令和8年上半期の報告書で侵入経路の2番目に多かったリモートデスクトップは、見落とされやすい入口です。保守業者の遠隔作業や在宅勤務のために、接続口をインターネットへ直接開けてしまうと、誰もが社内のパソコンのログイン画面に到達でき、パスワードの総当たりを受け続けます。リモートデスクトップは、VPNで社内に接続した後にだけ使える設定にしてください。

保守業者の遠隔作業も、作業の時間帯だけ接続を許可する運用に切り替えられないかを相談します。

バックアップは「取っている」だけでは戻せない

警察庁の令和8年上半期の報告書の統計では、回答があった被害組織50件中44件が、被害の前にバックアップを取っていました。ところが、復元結果について回答があった40件のうち、29件は復元できませんでした。理由の最多は、バックアップそのものが暗号化・消去されていたことで、29件中14件を占めます。攻撃者は暗号化の前にバックアップを探し、手の届く範囲にあれば一緒に壊します。

ネットワークから切り離した媒体や、書き換えできない設定にしたクラウドにも複製を置き、実際に戻せるかを年に一度は試してください。

設置業者・保守業者への確認項目

「うちは大丈夫ですか」とだけ聞くと、確認の範囲が曖昧なまま「問題ありません」という回答で終わることがあります。次の項目を具体的に尋ね、回答はメールなど記録に残る形で受け取ってください。

AIを悪用した攻撃の動向を、講演で知る

前の章で見たとおり、AIの悪用によって、脆弱性の公表から悪用までの時間は短くなると考えられます。業者に更新を頼む時期を考えるときは、攻撃する側の動きも知っておく必要があります。2027年1月27日〜29日に有明GYM-EXで開催する「イプロスAI 2027 冬」では、2日目の1月28日に、Google Cloudの講演「進化する AI のリスクに、どう立ち向かう?」を予定しています。

AIを悪用したサイバー攻撃や情報流出のリスクを整理し、企業が何を守り、何に備えるべきかを解説する講演です。

感染に気づいたときの初動

画面に脅迫文が表示された、ファイルが開けなくなった、といった異変に気づいたら、まずLANケーブルを抜き、無線LANを切って、その端末をネットワークから切り離します。被害の調査に端末の記録が必要になるため、初期化はしないでください。そのうえで社内の責任者と保守業者に連絡し、警察の「サイバー事案に関する相談窓口」に通報・相談します。

警察庁の令和8年上半期の報告書は、金銭を支払っても復号が保証されるわけではなく、犯罪グループの活動資金になるおそれがあると説明しています。同報告書では、警察の復号ツールで1テラバイトを超えるファイルを元に戻せた例も紹介されています。

経営層には、復旧にかかった費用と期間で説明する

機器の入れ替えや保守契約の追加には費用がかかります。経営層に予算を相談するときは、技術の説明より、被害に遭った場合の費用と期間を示すほうが判断を得やすくなります。警察庁の令和8年上半期の報告書に掲載された被害組織へのアンケートでは、復旧費用の回答があった35件のうち、21件は調査と復旧に総額1,000万円以上を要し、うち4件は1億円以上でした。

復旧期間の回答があった48件では、1か月未満で復旧したのは23件と半数に届かず、13件は回答の時点でまだ復旧の途中でした。

予算の相談は、確認結果とセットで持ち込む

「セキュリティを強化したい」という相談だけでは、経営層は投資の規模も効果も判断できません。「ファームウェアが3年前のまま」「退職者のアカウントが5件残っていた」「バックアップは社内のNASにしかない」といった確認結果に、業者の見積もりを添えて持ち込みます。見積もりの合計を、警察庁の同報告書で回答の6割が1,000万円以上だった復旧費用と並べれば、投資の妥当性を判断できます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者が取り組むべきことと実務担当者が進める対策を分けて整理しており、社内で役割を決めるときの共通の資料になります。

取り組みを、取引先に説明できる形で残す

製造業では、取引先からセキュリティ対策の状況を尋ねる調査票が届くことがあります。IPAの「SECURITY ACTION」は、中小企業が対策への取り組みを自ら宣言する制度です。IPAの同制度のページによると、「一つ星」はソフトウェアの更新やバックアップなどの「情報セキュリティ6か条」に取り組むことの宣言で、対策を始める前でも申し込めます。

「二つ星」は、25項目の「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を定めて外部に公開したうえで宣言します。今回の確認結果は、自社診断や基本方針の材料にそのまま使えます。

まとめ：入口を数え、管理する人を決める

警察庁の令和8年上半期の報告書によると、2026年上半期のランサムウェア被害123件のうち79件が中小企業で、侵入経路が判明した事例の半数はVPN機器からでした。中小企業にとっての課題は、社外から社内に入れる入口がいくつあり、誰が更新に責任を持つのかが決まっていないことにあります。まず入口を一覧にし、VPN機器の型番・ファームウェア・保守契約を確認します。

次に設置業者へ更新と多要素認証の設定を依頼し、使われていないアカウントを削除します。最後に、ネットワークから切り離したバックアップを用意します。ランサムウェアの被害は、納期を通じて取引先との信頼にも及びます。入口の管理は、取引を続けるための経営の課題です。