ランサムウェア対策というと、「怪しいメールの添付ファイルを開かない」「不審なサイトにアクセスしない」といった、ウイルスの侵入を防ぐ入口対策をイメージする方が多いかもしれません。もちろんこれらは重要ですが、近年の被害事例を見ると、入口対策だけでは防ぎきれない侵入経路が急増しています。
ランサムウェアはどのように侵入するのか
従来、ランサムウェアは「怪しいファイルを開いた瞬間」に感染するイメージが強くありました。しかし近年、警察庁や各種調査機関が公表する被害報告では、次のような侵入経路が大きな割合を占めています。
- VPN機器の脆弱性を突かれ、そこから社内ネットワークへ侵入される
- フィッシングやダークウェブ経由で盗まれたID・パスワードを使い、正規の利用者になりすましてログインされる
- 侵入後、管理者権限を奪取し、サーバー内のデータを暗号化される
特に2つ目の「正規ログインによる侵入」は、ウイルスファイルの実行を伴わないため、アンチウイルスソフトだけでは検知が難しいという特徴があります。攻撃者は正規の利用者と同じ入口から、同じ手順でログインしてくるためです。
最近の不正アクセスの盲点は「PCとサーバーのパスワード」
警察庁の令和7年の集計では、ランサムウェアの感染経路はVPN機器が約66％、リモートデスクトップが約21％で、合わせて8割を超えます。さらに、機器の脆弱性や強度の弱い認証情報を使って侵入したと考えられるものが約82％を占めています。
ニュースでは「VPNから侵入」と報じられることが多いのですが、VPNは入口にすぎません。実際の被害は、次のように社内のPCとサーバーのパスワードを順に破られて広がります。公表された実例は 不正アクセス・ランサムウェア被害の統計と実例にまとめています。
| 段階 | 攻撃者がすること | 狙われるパスワード運用 |
|---|---|---|
| 1. 入口 | VPN機器の脆弱性や、推測・漏えいしたVPNのパスワードで社内ネットワークに入る | VPNアカウントのパスワードだけのログイン |
| 2. 社内PC | PCのパスワードを推測・解析し、ログインして足場にする | 全台共通の管理者パスワード、使い回し、短いパスワード |
| 3. サーバー | リモートデスクトップでファイルサーバーや基幹サーバーにログインする | サーバーのAdministratorを複数人で共有、何年も変えていないパスワード |
| 4. 被害 | データを持ち出し、暗号化して業務を止める | — |
VPN機器の更新は気にかけていても、社内のPCやサーバーのログインは「社内だから」とパスワードだけのままという会社が少なくありません。2と3の段階で止められれば、VPNを突破されても被害は会社全体に広がりにくくなります。逆にここがパスワードだけだと、入口を1つ破られただけで全社に広がります。
applippli-keyは、Windows PCとWindows Serverのログイン（リモートデスクトップでのログインを含む）を、スマートフォンでの確認がなければ通らない状態にする製品です。PCとサーバーで同じ仕組みを使えるため、2と3の段階をまとめて対策できます。VPN機器そのものの脆弱性対策は VPN脆弱性対策、リモートデスクトップの認証は リモートデスクトップの2要素認証、サーバーの管理者アカウントの見直しは Windows Serverの特権アカウント管理で扱っています。
なぜ入口対策だけでは不十分なのか
入口対策は「攻撃者を中に入れない」ための対策です。しかし、ID・パスワードが盗まれてしまうと、攻撃者は正規のログイン画面から堂々と入ってきます。この場合、いくらメールフィルタやウイルス対策を強化していても、ログイン自体を止めることはできません。
そのため、ランサムウェア対策では「盗まれない対策」だけでなく、「盗まれても、それだけでは入れない状態にする」対策を組み合わせることが重要になります。
「盗まれても入れない」ための具体策
1. 多要素認証（MFA）の導入
ID・パスワードに加えて、スマートフォンや専用デバイスなど「所持情報」による確認を組み合わせることで、パスワードが漏洩しただけではログインできない状態を作れます。詳しくは 多要素認証（MFA）とは？の解説記事をご覧ください。なお、多要素認証がランサムウェアのどの侵入経路に効いて、どの経路には効かないのかは ランサムウェア対策としての多要素認証｜防げる経路と防げない経路で詳しく整理しています。
2. サーバー・重要PCから優先的に守る
会計データ・顧客情報・共有ファイルなど、被害の影響が大きい情報が集まるサーバーや重要PCから優先的に認証を強化します。すべての端末を一度に対応するのが難しくても、優先度の高いものから着手することで被害を大きく抑えられます。
3. リモートアクセス・VPN接続時の認証強化
社外からのアクセスや、外部の保守会社によるリモート接続も、ID・パスワードのみに依存していないか確認します。取引先や委託先を経由した侵入は サプライチェーン攻撃とも呼ばれ、近年の大きな被害の起点になっています。
侵入に使われるID・パスワードがどこから漏れるのかはフィッシングによる認証情報の窃取・パスワードリスト攻撃で、侵入の兆候を見つける方法は不審なログインを見つけるチェック方法で解説しています。
実際の被害事例から学ぶ
近年、大手企業でもVPN機器の脆弱性や、盗まれたID・パスワードを起点としたランサムウェア被害が発生しています。具体的な事例は ID・パスワード漏洩の実例と対策で紹介しています。これらの多くは、入口対策だけでは防げなかったケースです。侵入経路として特に多いVPN機器については VPN脆弱性対策で詳しく解説しています。
いまの運用を棚卸ししてみる
「UTMやウイルス対策ソフトを導入しているから大丈夫」と思われる方も多いのですが、これらと認証はそもそも守っている領域が異なります。詳しくは UTM・ウイルス対策があれば認証は不要？守っている領域の違いで解説しています。
対策が「入口」に偏っていないかは、いまのログイン運用を並べてみると見えてきます。applippliの無料棚卸しでは、10問・約3分に答えるだけで、いま何をやっていて何が手つかずのまま残っているかが項目ごとの一覧になります。パスワードが漏洩した場合の初動対応は パスワードが漏洩したらどうなる？企業への影響と初動対応で解説しています。
よくある質問
Q. 怪しいメールを開かないよう注意していれば十分ですか？
A. 十分ではありません。近年の被害報告では、盗まれたID・パスワードを使い、正規の利用者になりすましてログインされる経路が大きな割合を占めています。この経路はウイルスファイルの実行を伴わないため、入口対策だけでは防げません。
Q. なぜ正規ログインによる侵入はアンチウイルスソフトで検知できないのですか？
A. 攻撃者は正規の利用者と同じ入口から、同じ手順でログインしてくるため、通常の業務アクセスと見分けがつきにくいためです。アンチウイルスソフトは不正なプログラムの実行を検知する仕組みであり、正規の認証情報によるログイン自体は検知の対象になりません。
Q. 「盗まれても入れない」状態にするには何が必要ですか？
A. 主に3つです。多要素認証（MFA）の導入、サーバー・重要PCから優先的に認証を強化すること、リモートアクセス・VPN接続時の認証強化です。すべての端末を一度に対応できなくても、優先度の高いものから着手することで被害を大きく抑えられます。
Q. VPNから侵入されたら、PCやサーバーは守れないのですか？
A. 守れます。VPNは入口にすぎず、被害が広がるのは社内のPCやサーバーのパスワードを破られたときです。PCとサーバー（リモートデスクトップを含む）のログインをパスワードだけにしないことで、VPNを突破されても被害を広げにくくできます。