「うちのような小さな会社は狙われない」。ランサムウェアの話をすると、よくこう言われます。しかし警察庁の統計を見ると、被害を受けているのは大企業より中小企業のほうが多く、しかも入口はほぼ決まっています。
この記事では、警察庁が公表した令和8年（2026年）上半期の統計をもとに、被害の規模と侵入経路を整理し、2026年10月に相次いだ被害もあわせて、中小企業が確認すべきことをまとめます。
2026年上半期のランサムウェア被害は123件、うち79件が中小企業
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年1〜6月に警察へ報告されたランサムウェアの被害は123件でした。2020年下半期に半期ごとの集計を始めてから最多です。
| 規模 | 件数 | 割合 |
|---|---|---|
| 中小企業 | 79件 | 約64% |
| 大企業 | 31件 | 約25% |
| 団体等 | 13件 | 約11% |
業種も製造業（37件）、卸売・小売業（15件）、情報通信業・不動産業・医療福祉（各9件）、建設業（8件）と幅広く、特定の業種だけが狙われているわけではありません。攻撃者は会社の規模や業種を選んでいるのではなく、入りやすい入口を探しています。
侵入経路は、4件に3件がVPN機器とリモートデスクトップ
同じ統計で、被害企業への調査から侵入経路が分かった36件の内訳は次のとおりです。
| 侵入経路 | 2026年上半期 | 過去5年（2021〜2025年）合計 |
|---|---|---|
| VPN機器からの侵入 | 18件（50%） | 293件（約60%） |
| リモートデスクトップからの侵入 | 9件（25%） | 105件（約22%） |
| 不審メールやその添付ファイル | — | 24件（約5%） |
| その他 | 9件（25%） | 63件（約13%） |
※ 2026年上半期の内訳は、経路が不明・未回答のものを除いた36件。2026年上半期の統計表には「不審メール」の区分がありません。
「怪しいメールを開かないように」という注意は大切ですが、統計上の主な入口はメールではありません。社外から社内につなぐための仕組み（VPNとリモートデスクトップ）が、そのまま攻撃者の入口になっています。
入口は違っても、入った後はPC・サーバーへのログインで広がる
VPNから入った攻撃者も、リモートデスクトップから入った攻撃者も、その後にすることは同じです。社内のPCやサーバーにログインし、管理者のパスワードを探し、次のPC・サーバーへログインすることを繰り返して、暗号化できる範囲を広げます。
2026年10月20日に米CISA・FBIなどが公表したランサムウェア「SafePay」の注意喚起でも、入った後は正規のアカウントでリモートデスクトップを使って広がると説明されています（SafePayランサムウェアの侵入手口）。国内で調査結果が公表された事例でも、同じ流れが繰り返し確認されています。
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された
- 大阪急性期・総合医療センター — 委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開
- 八王子学園 — リモートデスクトップでサーバーにログイン
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入
VPNの多要素認証だけでは足りない理由
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
2026年10月も被害の公表が続いている
2026年10月に入ってからも、ランサムウェアによる大きな被害の公表が続いています。たとえば大阪公立大学では10月2日に情報基盤システムで大規模な障害が起き、報道によれば大学はランサムウェアによる攻撃と判断していると説明し、全キャンパスで休講となりました。クラウドサービスの「IDCFクラウド」でも、10月7日に一部システムへの不正アクセスが公表されています。
これらの事案はまだ調査中で、侵入経路は公表されていません。ただ、統計が示すとおり、入口の多くは社外からつなぐための仕組みで、入った後はログインで広がります。「どこから入られたか」が分かる前に自社で確かめられるのは、入られた後に広がらない状態になっているかどうかです。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
スマホでワンタップ承認にすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
- 社外からつなぐ仕組み（VPN・リモートデスクトップ）をすべて把握しているか。保守業者用に開けた経路が残っていないか（VPN脆弱性対策）
- VPN機器の更新が止まっていないか
- VPNの先のPC・サーバーのログインが、パスワードだけで通らないか（Windows OSログインの二要素認証）
- 複数のPC・サーバーで同じ管理者パスワードを使っていないか（ローカル管理者パスワードの管理）
- 夜間・休日のログインに気づける状態か（Windowsのログイン履歴の確認方法）
被害に遭った場合の費用は、同じ統計で復旧費用が1,000万円以上だった例が21件あります（費用の回答があった35件中）。費用の内訳は不正アクセスの被害額で整理しています。
出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（統計データ：ランサムウェア被害報告件数、被害企業・団体等の規模、業種、感染経路、復旧費用）
- CISA・FBIほか「#StopRansomware: SafePay Ransomware（AA26-293A）」（2026年10月20日）
- 熊本日日新聞（共同通信配信）「大阪公立大が対面授業再開 ランサム攻撃で障害続く」
- ScanNetSecurity「2026年10月のランサムウェア」
記事中の数値と事実関係は、上記の公表内容・報道（2026年10月26日時点で確認）に基づきます。割合は当社で算出しました。
いまの運用を棚卸ししてみる
VPNやリモートデスクトップの先にあるPC・サーバーのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。