企業や団体を狙うランサムウェアの被害は、いまも高い水準で続いています。警察庁の集計によると、令和8年上半期（2026年1月〜6月）に報告されたランサムウェアの被害は123件に上り、半期の件数としては統計を取り始めた令和2年下半期以降で最も多くなりました。
出典・参考資料（1件）
被害を防ぐうえでまず押さえたいのが、「ランサムウェアはどこから侵入してくるのか」という感染経路です。公的な統計では、侵入経路はVPN機器が大きな割合を占め、リモートデスクトップ（RDP）がこれに続いています。経路ごとに効く対策は異なるため、自社がどの経路から狙われやすいかを知ることが、守りの優先順位づけの出発点になります。
この記事では、ランサムウェアの主な感染経路を6つに整理し、それぞれの侵入手口を解説します。あわせて、警察庁のデータでみる経路別の割合、経路ごとに効く対策、万一侵入された後に早く気づくための検知の考え方、そして感染したときの対処法までを順に見ていきます。
目次
一括ダウンロードする
ランサムウェアの主な感染経路【6つ＋近年増える経路】
ここからは、ランサムウェアの主な感染経路を6つに分け、それぞれどのように侵入してくるのかを見ていきます。
警察庁は、近年の傾向について「インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている」と整理しています。この整理のとおり、メールよりも、外部に公開されたVPN機器やリモート接続の弱点を突く侵入が主流になっています。
出典・参考資料（1件）
VPN機器からの侵入
社外から社内ネットワークへ安全に接続するためのVPN（Virtual Private Network：仮想専用線）機器は、インターネットに公開されているぶん、攻撃者の標的になりやすい入口です。警察庁は、攻撃者が「未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する」と説明しています。
とくに、メーカーが公開した修正プログラム（パッチ）を適用しないまま使い続けている機器や、初期設定のパスワードを変えていない機器が狙われます。後述のとおり、VPN機器は感染経路のなかで最も多くを占めています。
出典・参考資料（1件）
リモートデスクトップ（RDP）経由
離れた場所のパソコンを遠隔操作するリモートデスクトップ（RDP：Remote Desktop Protocol＝遠隔操作に使われる通信規格）も、外部に開いていると侵入口になります。攻撃者は、推測しやすいパスワードを総当たりで試したり、どこかで漏えいした管理者アカウントを使ったりして入り込み、管理者権限を奪って社内へ広がろうとします。
テレワークのために急いでRDPを外部公開したまま、アクセス制限や多要素認証をかけていない状態は、とくにリスクが高くなります。VPN機器に次いで多い経路です。
メールの添付ファイル・リンク
取引先や公的機関を装ったメールで、添付ファイルを開かせたり、本文中のリンクをクリックさせたりして感染させる手口です。WordやExcelのマクロ、PDF、実行ファイルなどにランサムウェア本体やその呼び水となるマルウェアが仕込まれます。
前述のとおり、警察庁の統計ではメール経由の感染は以前より減っています。とはいえ、巧妙ななりすましメールは後を絶たず、従業員一人のクリックが侵入の起点になりうる点は変わりません。
改ざんされたWebサイト（ドライブバイダウンロード）
攻撃者が改ざんした正規サイトや、不正な広告を踏むことで、サイトを閲覧しただけでマルウェアが自動的にダウンロードされることがあります。これをドライブバイダウンロードと呼びます。広告配信の仕組みを悪用して不正広告を表示させるマルバタイジングも、この経路の一種です。
見た目は普通のサイトや広告と区別がつきにくいため、利用者の注意だけで防ぎきるのは難しく、ソフトウェアの更新やフィルタリングといった技術的な備えが重要になります。
ソフトウェア・ファイルのダウンロード
フリーソフトや海賊版ソフト、偽のインストーラーなどに、ランサムウェアが同梱されている場合があります。業務で必要なツールを探す過程で、公式ではない配布元からダウンロードしてしまうと、気づかないうちに感染します。
ソフトウェアは公式サイトや正規のストアから入手し、提供元が不明なファイルは実行しないことが基本の防ぎ方です。
USBメモリなどの外部記録メディア
感染したUSBメモリや外付けドライブを社内のパソコンに接続することで、マルウェアが持ち込まれる経路です。私物や持ち出し用のメディアを介して、ネットワークから隔離された端末にまで感染が及ぶこともあります。
許可した機器以外の接続を制限したり、接続時に自動でプログラムが動く設定を無効にしたりすることで、リスクを下げられます。
近年増える経路：サプライチェーン・取引先経由
自社のセキュリティを固めていても、取引先・子会社・業務委託先がランサムウェアに感染し、そこを足がかりに自社まで被害が及ぶことがあります。システムやネットワークがつながっている相手が狙われる、サプライチェーンを経由した侵入です。
IPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「ランサム攻撃による被害」が第1位、「サプライチェーンや委託先を狙った攻撃」が第2位に挙げられています。取引先との接続範囲を必要最小限にする、委託先にも一定のセキュリティ水準を求めるといった対策が有効です。
出典・参考資料（1件）
取引先や委託先を踏み台にする攻撃は、ランサムウェアに限らず近年の大きな脅威です。代表的な手口や実際の被害事例、取引先を含めてどこまで備えるべきかは、以下の記事で詳しく解説しています。
感染経路の割合・順位【警察庁データ】
ここでは、どの経路からの侵入が多いのかを、警察庁が公表しているデータで確認します。経路の内訳が公表されている直近の通年データは令和7年のもので、侵入経路はVPN機器が6割以上を占めています。経路ごとの件数は次のとおりです。
| 感染経路 | 件数（令和7年・有効回答92件） | 割合（件数から算出） |
|---|---|---|
| VPN機器 | 61件 | 約66% |
| リモートデスクトップ | 19件 | 約21% |
| 不審メールやその添付ファイル | 2件 | 約2% |
| その他 | 10件 | 約11% |
警察庁はこのデータについて、本文で「侵入経路はVPN機器が６割以上を占める状況である」と述べています。VPN機器とリモートデスクトップの2つで、全体の大半を占めることがわかります。
ただし、この統計では経路をVPN機器・リモートデスクトップ・不審メール・その他の4区分で公表しており、改ざんされたWebサイトやUSBなど残りの経路は「その他」にまとめられています。
出典・参考資料（1件）
被害報告の件数そのものは、ここ数年高止まりしています。年ごとの推移は次のとおりで、令和8年上半期の123件は半期として過去最多です。
| 時期 | 令和3年 | 令和4年 | 令和5年 | 令和6年 | 令和7年 | 令和8年上半期 |
|---|---|---|---|---|---|---|
| 被害報告件数 | 146件 | 230件 | 197件 | 222件 | 226件 | 123件 |
最新の令和8年上半期の速報データでも、侵入経路はVPN機器が約5割で引き続き最多です。通年の令和7年は6割以上、半期速報の令和8年上半期は約5割と、集計する期間によって数値は動きますが、VPN機器が最多である傾向は変わりません。
被害に遭った企業を規模別にみると中小企業が約6割を占め、業種別では製造業が約3割を占めています。VPNやリモート接続を外部に公開している中小企業は、自社も標的になりうると考えて備えることが大切です。
出典・参考資料（1件）
感染経路別の対策【どの経路に何が効くか】
ここからは、感染経路ごとに効く対策を整理します。IPAの「情報セキュリティ10大脅威 2026」でも、ランサム攻撃は組織向けの脅威として11年連続で第1位に選ばれており、優先度の高い備えです。経路によって効く対策は違うため、まずは全体像を早見表で確認し、そのうえで一つずつ見ていきます。
出典・参考資料（1件）
経路と対策の対応（早見表）
どの経路に、どの対策と製品カテゴリが効くかをまとめると、次のようになります。
| 感染経路 | VPN機器 | リモートデスクトップ（RDP） | メール | 改ざんWebサイト | ソフト・ファイルのDL | USB等の外部メディア | サプライチェーン・取引先経由 |
|---|---|---|---|---|---|---|---|
| 主な侵入手口 | 未修正の脆弱性・漏えいした認証情報・設定不備の悪用 | パスワードの総当たり、管理者アカウントの乗っ取り | なりすましメールの添付・リンクからの感染 | 閲覧や不正広告による自動ダウンロード | 非公式な配布元からの入手に同梱 | 感染メディアの接続、自動実行の悪用 | 取引先・委託先の侵害を足がかりにした侵入 |
| まず効く対策 | 機器のアップデート、多要素認証、アクセス制限 | 外部公開の見直し、多要素認証、アクセス制限 | メールフィルタリング、従業員教育、EDR | ソフトの更新、Webフィルタリング、EDR | 公式配布元の利用、実行ファイルの制限、EDR | 接続機器の制限、自動実行の無効化 | 委託先へのセキュリティ水準の要求、接続範囲の最小化、通信の監視 |
| 関連する製品カテゴリ | UTM／VPN／脆弱性診断 | UTM／脆弱性診断／EDR | メールセキュリティ／EDR | UTM／EDR | EDR／IT資産管理 | IT資産管理／EDR | NDR／脆弱性診断 |
※上記は経路ごとの代表的な対策の傾向です。自社の環境に応じて必要な対策は異なります。
VPN機器・OS・ソフトウェアを最新に保つ
最も多い侵入口であるVPN機器をはじめ、OSやソフトウェアは、メーカーが公開する修正プログラムを速やかに適用して最新の状態に保ちます。脆弱性が公表されてからパッチを当てるまでの期間が、攻撃者につけ入る隙を与えるためです。
サポートが終了した機器やソフトは修正プログラムが提供されないため、計画的に更新・入れ替えを進めることも欠かせません。どの機器が古いままかを把握するには、資産を一覧で管理する仕組みが役立ちます。
多要素認証（MFA）とアクセス制限
VPNやリモートデスクトップには、ID・パスワードに加えて別の要素で本人確認する多要素認証（MFA）を設定します。パスワードが漏れても、もう一つの認証を突破しなければ入れないため、なりすましによる侵入を大きく減らせます。
あわせて、接続元のIPアドレスを限定する、使っていないリモート接続は閉じるなど、外部からアクセスできる範囲を必要最小限に絞ることも効果的です。
メール・Webサイトのフィルタリング
不審なメールや危険なWebサイトを自動的にブロックするフィルタリングを導入すると、従業員が誤ってクリックする前に脅威を遮断できます。メールのなりすまし判定や、危険なURL・添付ファイルの検査が中心です。
技術的なフィルタリングと、次に述べる従業員教育を組み合わせることで、人のミスに頼りきらない守りをつくれます。
バックアップ（3-2-1ルール・オフライン保管）
万一暗号化されても事業を立て直せるよう、重要なデータは定期的にバックアップします。目安となるのが、データを3つ持ち、2種類の媒体に保存し、1つは別の場所に置く「3-2-1ルール」です。
ランサムウェアは復旧を妨げるためにバックアップも一緒に暗号化しようとします。常時ネットワークにつながったバックアップだけに頼らず、ネットワークから切り離したオフラインの保管を組み合わせることが重要です。
EDRなどのエンドポイント対策
パソコンやサーバーといった端末（エンドポイント）を守る対策も欠かせません。入口の対策だけで侵入を完全に防ぎきることは難しいため、端末側でも守りを用意しておきます。
有効なのが、侵入後の不審な挙動を検知して隔離・調査につなげるEDR（Endpoint Detection and Response）です。「入られた後に早く気づいて被害を抑える」という考え方にあたり、その仕組みは次の章で詳しく解説します。
従業員教育
なりすましメールのクリックや、非公式なソフトのダウンロードといった人的なきっかけは、仕組みだけでは防ぎきれません。不審なメールの見分け方や、USBメモリの扱い、感染が疑われるときの連絡先を、従業員に定期的に共有します。
実際の被害事例をもとにした訓練を取り入れると、知識が行動に結びつきやすくなります。
早見表で挙げたUTM（統合脅威管理）・EDR・NDR・脆弱性診断などの製品カテゴリについて、実際の製品を入口・端末・ネットワーク・復旧の層ごとに見比べたい場合は、以下の記事がまとまっています。
一括ダウンロードする
侵入後にどう気づくか【キルチェーンと早期検知（EDR/NDR）】
対策を尽くしても、侵入を100%防ぐことはできません。そこで重要になるのが、入られた後にどの段階でどう気づくかという視点です。警察庁は、ランサムウェアが侵入から身代金要求に至る一連の流れ（キルチェーン）を、次のように説明しています。
攻撃者は、未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する。そして、より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、ネットワーク内部を探索して重要データやバックアップを物色する。一通り内部探索を終えると、データをクラウドストレージ等へアップロードして窃取した後、ランサムウェアを起動して暗号化を実行する。復旧を妨害するため、バックアップも一緒に暗号化される場合が多い。最後に、「脅迫状（ランサムノート）」をデスクトップ等に保管して攻撃者側への連絡と身代金の支払を要求し、ログや使用したツール等の痕跡を消去して攻撃を終了する。
令和７年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
侵入から身代金要求までの各段階と、気づくきっかけ
攻撃は「侵入 → 社内での拡大 → データの窃取 → 暗号化 → 身代金の要求」という段階を踏みます。暗号化されて初めて気づくのでは手遅れになりやすく、その手前の段階で異変を捉えることが被害を抑える鍵になります。
各段階で現れる予兆と、それを捉える代表的な手段（端末を監視するEDR、ネットワークの通信を監視するNDR、各種ログ）を並べると、次のようになります。
- 侵入：外部に公開したVPN機器・リモートデスクトップへの不審なログイン → ログ監視・NDR
- 社内での拡大：管理者権限を奪う試み、普段アクセスしない端末・サーバーへの探索 → EDR・NDR
- データの窃取：大量のデータが外部へ送信される通信 → NDR
- 暗号化：ファイルが次々と書き換えられる不審な挙動 → EDR
- 身代金の要求：脅迫状（ランサムノート）の出現（この段階では手遅れになりやすい）
端末の不審な挙動を検知するEDR
EDR（Endpoint Detection and Response）は、パソコンやサーバーの動きを常時記録し、権限の奪取やファイルの不審な暗号化といった挙動を検知して、端末の隔離や調査につなげる仕組みです。侵入を前提に、入られた後の異変にいち早く気づくための備えといえます。
検知した後に端末を切り離せれば、社内全体への拡大を食い止められます。感染した端末がどこから何をしたのかを追える点も、復旧と再発防止に役立ちます。
社内の通信をさかのぼって調べるNDR
NDR（Network Detection and Response）は、社内ネットワークを流れる通信を監視・記録し、不審な通信を検知する仕組みです。端末単位で見るEDRに対して、ネットワーク全体を見渡し、どの端末からどこへ通信が行われたかを把握できます。
通信そのものを記録しておくタイプのNDRでは、被害が起きた後に「いつ、どの経路から侵入され、どこへデータが送られたか」をさかのぼって調べられます。感染経路の特定や、被害範囲の確認に役立ちます。
ランサムウェアに感染したときの対処法
ここでは、実際にランサムウェアへの感染が疑われたときに、何から行うべきかを順に説明します。慌てて誤った対応をすると被害が広がったり、原因の調査が難しくなったりするため、落ち着いて進めることが大切です。
ネットワークから隔離する（電源は切らない）
感染が疑われる端末は、まずネットワークから切り離し、ほかの端末やサーバーへの拡大を止めることが先決です。LANケーブルを抜く、Wi-Fiを切るといった方法で、通信を物理的に遮断します。
一方で、むやみに電源を切ると、原因調査に必要な情報が失われることがあります。初動の判断に迷うときは、次に挙げる専門窓口に相談しながら進めるのが安全です。
警察・IPA・JPCERT/CCへ相談する
ランサムウェアの被害は、公的な窓口に相談できます。警察庁は被害の通報・相談を受け付けており、IPAやJPCERTコーディネーションセンター（JPCERT/CC）は技術的な対応の相談先になります。被害の拡大防止や証拠の保全について、専門的な助言を受けられます。
出典・参考資料（3件）
身代金は安易に支払わない
身代金を支払っても、データが確実に戻る保証はなく、攻撃者を利するだけに終わる可能性があります。支払いが新たな攻撃を呼ぶおそれもあるため、安易な支払いは避け、まず専門窓口に相談しながら復旧の手立てを探すのが基本です。
復号ツールを確認する
ランサムウェアの種類によっては、無償で公開されている復号ツールでデータを取り戻せる場合があります。欧州刑事警察機構（Europol）などが運営する国際的な官民プロジェクト「No More Ransom」では、対応するランサムウェアの復号ツールが公開されています（日本語ページあり）。
出典・参考資料（1件）
バックアップから復旧する
オフラインで保管していた安全なバックアップがあれば、暗号化される前の状態へデータを戻せます。ただし、バックアップ自体が暗号化されていないか、復元したデータに感染が残っていないかを確認してから戻すことが重要です。復旧と並行して、どの経路から侵入されたかを特定し、再発を防ぐ必要があります。感染経路の特定については、次の章で解説します。
感染経路を特定する方法と証拠保全の注意
再発を防ぐには、どこから侵入されたのかを突き止める必要があります。ここでは、感染経路を調べる代表的な方法と、調査の前提となる証拠保全の注意点を整理します。社内だけで判断が難しい場合は、専門家や公的窓口の支援を受けながら進めます。
システムログの調査
サーバーやVPN機器、ファイアウォールなどの通信記録（ログ）を調べ、不審なログインや通信が始まった時刻・接続元をたどります。前述のNDRのように通信そのものを記録している場合は、パケット単位でさかのぼって経路を確認できます。
メールヘッダ・添付ファイルの調査
メール経由が疑われる場合は、受信メールの送信元情報（メールヘッダ）や添付ファイル・リンクを調べ、どのメールが起点になったかを確認します。同じメールが他の従業員にも届いていないかの確認も重要です。
外部メディアの使用状況の調査
USBメモリなどの外部メディアが疑われる場合は、いつ・どの端末に・どの機器が接続されたかの記録を確認します。接続履歴を残す仕組みがあると、持ち込みによる感染の調査がしやすくなります。
証拠保全の注意
原因調査には、感染した端末やログが手がかりになります。むやみに再起動・初期化をすると、これらの手がかりが失われることがあるため注意が必要です。JPCERT/CCは、侵入型ランサムウェアの被害に遭ったときの初動対応をFAQとして公開しており、不用意なネットワーク停止を避けることや証拠保全の考え方がまとめられています。自己判断が難しい場合は、専門の事業者や公的窓口に相談しましょう。
ランサムウェア対策に役立つサービス
ここまで見てきた「入口での防御」と「侵入後の検知・復旧」を支えるサービスを紹介します。以下は、本記事で取り上げるサービスの比較表です。
| サービス名 | Eye"247" Safety Zone USAV Ⅵ | Network Blackbox | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| タイプ | UTM＋EDRの統合セキュリティパッケージ | NDR（ネットワーク検知・対応） | 予防・復旧・補償の統合パッケージ |
| ランサムウェア対策での役割 | 端末の不審な挙動をEDRで検知し、入口のUTMと組み合わせて多層で防御 | 通信を全量記録し、感染経路の特定や被害範囲の確認に役立つ（フォレンジック） | 脆弱性を月次診断して予防し、隔離バックアップで復旧、サイバー保険で金銭面を補償 |
| 監視・対象 | ネットワークの入口＋端末（エンドポイント） | ネットワークを流れる通信（全パケット） | 社内ネットワーク内部の脆弱性＋バックアップデータ |
| 主な機能 | UTM（ファイアウォール・IPS等） EDR（端末の挙動検知） 業務可視化 標的型攻撃メール訓練（年2回） | フルパケットキャプチャ シグネチャ＋ユーザー行為ベースの検知 MITRE ATT&CKベースのハンティング フォレンジック | 月次（年12回）の内部脆弱性診断 隔離経路での自動バックアップ（24時間前まで復旧） サイバー保険自動付帯 |
| 導入形態 | UTM機器を同梱するハードウェア一体型（販売代理店経由） | ミラーリング方式（通信を複製して取り込む） | リモート診断（最短2週間で利用開始・設置10分） |
| 料金 | 要問い合わせ | 要問い合わせ | 1台1,250円／月〜（初期費用は要問い合わせ） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
Eye”247″ Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
Eye”247″ Safety Zone USAV Ⅵは、ネットワークの入口を守るUTM、端末を守るエンドポイント対策（EPP/EDR）、業務の可視化、標的型攻撃メール訓練を1つのパッケージにまとめた統合セキュリティ製品です。株式会社フーバーブレインが提供し、ハードウェアを同梱して導入します。
専任のIT担当者を置きにくい中小企業でも、ネットワーク・端末・人への対策を1契約でまとめて導入できる点が特徴です。端末側のEDRが侵入後の不審な挙動の検知を担い、入口のUTMと組み合わせて多層で守る構成になっています。標的型攻撃メール訓練が標準で付帯する点も、メール経由の感染を意識した備えといえます。
Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる全パケットを収集し、通信を可視化・分析するNDR（Network Detection and Response）製品がNetwork Blackboxです。フルパケットキャプチャ（通信の全数記録）を基盤に、収集・検知・ハンティング・フォレンジック（通信記録をさかのぼる調査）・対応の5つの機能を備えています。
ログだけでなく通信そのものを保存するため、被害が起きた後に通信をさかのぼってパケット単位で調査でき、感染経路の特定や被害範囲の確認に強みがあります。ミラーリング方式で導入するためネットワークへの影響を抑えやすく、EDRやSIEM（ログを集約して分析する仕組み）といった他のツールとも連携します。
KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
サイバー攻撃の「予防」と「復旧」に、サイバー保険による「補償」まで組み合わせたのが、株式会社SYNCHROのKATABAMI サイバーセキュリティ対策パッケージです。予防では、ネットワーク内部から毎月（年12回）脆弱性を診断し、改善策を報告します。復旧では、隔離された通信経路を通じてデータを自動でバックアップし、有事の際の復旧に備えます。
補償には、あいおいニッセイ同和損害保険株式会社のサイバー保険を付帯しており、予防・復旧に金銭面の備えまで加えている点が、単機能の製品との違いです。公式サイトでは「最短2週間で利用開始」「設置10分」をうたっており、専任のセキュリティ人材がいない中小企業でも導入を検討しやすい設計になっています。
ここで取り上げたのは、ランサムウェア対策に役立つサービスの一部です。入口・端末・ネットワークなど守る対象ごとに、どんなタイプのソリューションがあるかを全体像から見渡して検討したい方は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
ランサムウェアの主な感染経路は、VPN機器・リモートデスクトップ・メール・改ざんWebサイト・ソフトやファイルのダウンロード・USBなどの外部メディアの6つに整理できます。加えて、近年は取引先や委託先を経由して侵入するサプライチェーン攻撃も増えています。警察庁のデータでは、なかでもVPN機器とリモートデスクトップからの侵入が大半を占めています。
まずは最も多い入口であるVPN機器・リモート接続の対策（アップデート・多要素認証・アクセス制限）から優先的に手を付け、あわせてバックアップや従業員教育で守りを固めることが大切です。そのうえで、侵入を前提に「入られた後に早く気づく」EDRやNDRを組み合わせれば、被害を最小限に抑えやすくなります。自社の課題に合うサービスの資料をまとめて確認し、検討の材料にしてください。
一括ダウンロードする
ランサムウェアの感染経路に関するよくある質問
Q. ランサムウェアの感染経路とは何ですか？
A. ランサムウェアの感染経路とは、攻撃者がランサムウェアを企業のネットワークや端末に侵入させる入口・手口のことです。主なものは、VPN機器・リモートデスクトップ（RDP）・メール・改ざんWebサイト・ソフトやファイルのダウンロード・USBなどの外部メディアの6つに整理できます。近年は、メールよりも外部に公開されたVPN機器やリモート接続の弱点を突く侵入が主流になっています。
Q. ランサムウェアの感染経路で最も多いのは何ですか？
A. ランサムウェアの感染経路で最も多いのは、VPN機器からの侵入です。警察庁の令和7年（通年）のデータでは、侵入経路の6割以上（61件／92件）をVPN機器が占め、次いでリモートデスクトップが続きます。最新の令和8年上半期のデータでも、VPN機器が約5割で最多の傾向は変わっていません。
Q. 中小企業もランサムウェアの標的になりますか？
A. 中小企業もランサムウェアの標的になります。警察庁の令和8年上半期のデータでは、被害に遭った企業のうち中小企業が約6割を占めています（令和7年も同様に約6割）。規模が小さいから狙われにくいということはなく、VPNやリモート接続を外部に公開している中小企業は、自社も狙われうると考えて備えることが大切です。
出典・参考資料（1件）
Q. ランサムウェアに感染したら、まず何をすべきですか？
A. ランサムウェアへの感染が疑われたら、まず感染した端末をネットワークから切り離し、ほかの端末やサーバーへの拡大を止めることが最優先です。LANケーブルを抜く、Wi-Fiを切るなどで通信を遮断します。ただし、むやみに電源を切ると原因調査に必要な情報が失われることがあるため避けます。
そのうえで、警察庁のサイバー事案相談窓口やIPA、JPCERT/CCといった公的窓口に相談しながら、復旧と経路の特定を進めると安全です。
Q. ランサムウェアの身代金は支払うべきですか？
A. ランサムウェアの身代金は、安易に支払わないことが基本です。支払ってもデータが確実に戻る保証はなく、攻撃者を利し、新たな攻撃を呼ぶおそれもあります。まず専門窓口に相談し、オフラインで保管したバックアップからの復旧や、No More Ransom などで公開されている復号ツールが使えないかを確認するのが先決です。
Q. VPN機器からの侵入を防ぐにはどうすればよいですか？
A. VPN機器からの侵入を防ぐには、機器のファームウェアを最新に保ち、多要素認証（MFA）とアクセス制限をかけることが基本です。警察庁は、攻撃者が未修正の脆弱性・漏えいした認証情報・簡易なパスワード・設定不備を悪用して侵入すると説明しています。初期設定のパスワードを変更し、使っていないリモート接続は閉じ、接続元のIPアドレスを限定することが有効です。
Q. 対策をしても、ランサムウェアの感染は防ぎきれないのですか？
A. 入口の対策を尽くしても、ランサムウェアの侵入を100%防ぐことは難しいため、「入られた後に早く気づく」備えもあわせて必要です。暗号化されてから気づくのでは手遅れになりやすく、その手前の段階で異変を捉えることが被害を抑える鍵になります。端末の不審な挙動を検知するEDRや、社内の通信を監視・記録するNDRを組み合わせると、拡大や窃取の予兆を早期に捉えやすくなります。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ランサムウェア対策に役立つUTM・EDR・NDR・脆弱性診断などのサービスの最新資料を無料で一括請求できます。経路別の対策から侵入後の検知・復旧まで、自社に必要なサービスを比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
