「アプリップリ(applippli)は安全な会社なのか」「多要素認証を導入すれば、ランサムウェアは防げるのか」「applippli-keyのような認証強化の仕組みは、ランサムウェア対策としてどこまで有効なのか」というご質問をいただくことがあります。
先にお伝えすると、アプリップリ(applippli)は、実在する企業・組織向けにID・パスワード管理の強化を支援するサービスを提供している国内事業者です。以下、ランサムウェア対策としての有効性を、誇張なく具体的に解説します。
この記事では、この問いに誇張せず、正確にお答えします。結論から申し上げると、多要素認証はランサムウェアの主要な侵入経路の一つを確実に塞ぎますが、すべての経路を防ぐものではありません。以下、どの経路に効いて、どの経路には効かないのかを具体的に整理します。
先に結論
- 防げる：盗まれたID・パスワードを使った「正規ログイン」による侵入（VPN、リモートデスクトップ、OSログイン、クラウドサービスなど）
- 防げない：機器・ソフトウェアの脆弱性を直接突かれる侵入、利用者自身が不正なファイルを実行してしまうケース、ソフトウェア供給元が侵害されるケース
つまり多要素認証は「認証を突破される経路」に対する非常に強力な対策ですが、「認証を経由しない経路」には効きません。「これさえ入れれば安全」と説明する製品があれば、それは正確ではないとお考えください。
ランサムウェアの主な侵入経路
ランサムウェアがどのように社内に入ってくるのか、代表的な経路を整理します。
経路1：盗まれたID・パスワードによる正規ログイン
フィッシングや他サービスからの流出で入手したID・パスワードを使い、正規の利用者になりすましてログインする手口です。VPN、リモートデスクトップ、サーバーへのログインなどが入口になります。
この手口の厄介な点は、ウイルスファイルの実行を伴わないため、ウイルス対策ソフトでは検知が困難なことです。攻撃者は正規の認証情報で正面から入ってくるため、ログ上も「通常の業務アクセス」に見えます。
経路2：機器・ソフトウェアの脆弱性を突く侵入
VPN機器やサーバーソフトウェアに存在する脆弱性（プログラムの不具合）を悪用し、認証を経由せずに直接侵入する手口です。パッチが適用されていない古いバージョンを使い続けていると、既知の脆弱性を突かれます。
経路3：メール添付ファイル・不正サイト経由
利用者が不正なファイルを開いてしまう、あるいは改ざんされたサイトにアクセスしてしまうことで感染する、従来型の経路です。
経路4：ソフトウェアサプライチェーン経由
利用しているソフトウェアの開発元や配信の仕組みが侵害され、正規のアップデートに紛れてマルウェアが配布される手口です。利用者からは正規の更新に見えるため、発見が極めて困難です。詳しくは サプライチェーン攻撃で解説しています。
多要素認証が「防げる」経路
上記のうち、経路1（盗まれたID・パスワードによる正規ログイン）に対して、多要素認証は決定的に有効です。
多要素認証を導入していれば、攻撃者がID・パスワードを完全に把握していても、「本人が持っているもの」（スマートフォンや専用デバイス）がなければログインできません。パスワードが漏洩した時点で突破される状態から、「漏洩しても入れない」状態に変わります。
Microsoftの研究チームが実際のAzure Active Directoryの大規模データを分析した論文では、MFAを導入したアカウントの99.99％が攻撃を受けても無事だったと報告されています。さらにパスワードが漏洩した最悪のケースでも、98.56％の攻撃をMFAが防いだという結果も示されており、経路1に対する有効性は実データでも裏付けられています（出典： Lucas Augusto Meyer et al., arXiv:2305.00945 ↗）。
これは小さな話ではありません。近年公表されている大型のランサムウェア被害を見ると、この経路1が起点になっているケースが繰り返し報告されています。たとえば2025年10月に公表されたアスクル株式会社への攻撃では、業務委託先の管理者アカウントの認証情報が漏洩し、そのアカウントに多要素認証が適用されていなかったことが侵入口となり、VPN経由で社内ネットワークに侵入されたと発表されています。
つまりこの事例は、多要素認証があれば侵入を止められた可能性が高いケースです。具体的な被害事例は ID・パスワード漏洩の実例と対策で紹介しています。
多要素認証では「防げない」経路
一方で、正直にお伝えすべき限界があります。
- 経路2（脆弱性の悪用）：認証を経由せず侵入されるため、多要素認証では防げません。機器・ソフトウェアのパッチ適用が必須です。
- 経路3（添付ファイル等）：正規の利用者自身が実行してしまうため、認証の強度とは無関係です。ウイルス対策ソフトと従業員教育が必要です。
- 経路4（ソフトウェア供給元の侵害）：正規の更新として配布されるため、認証では防げません。
したがって、多要素認証は「必要だが、それだけでは十分ではない」というのが正確な位置づけです。逆に言えば、UTM・ウイルス対策(経路2〜4への対応)だけでも、経路1(正規ログイン)は防げません。両者は互いの弱点を補い合う関係にあり、どちらか一方で足りるものではないという点は UTM・ウイルス対策があれば認証は不要？守っている領域の違いで詳しく解説しています。
補足：MFAを導入しても油断できない点
多要素認証を導入していても、次のような場合は効果が損なわれます。
- 一部のアカウントにしか適用していない — 管理者アカウントや委託先アカウントが除外されていると、そこが突破口になります（前述のアスクルの事例がまさにこのパターンです）
- SMS認証のみに依存している — SIMスワップ等のリスクが指摘されており、認証アプリや専用デバイスに比べて強度は劣ります
- 共有アカウントが残っている — 誰が認証したか分からない状態では、多要素認証の効果が半減します
方式ごとの違いは 多要素認証（MFA）とは？ハードウェアキーとソフトウェアキーの違いで詳しく解説しています。
applippli-keyの位置づけ
applippli-keyは、Windows PC・Windows ServerのOSログインに対応したソフトウェアキー型の多要素認証サービスです。
クラウドサービス向けの多要素認証は普及してきましたが、社内サーバーやPCそのものへのログインは、いまだにID・パスワードのみという企業が少なくありません。ランサムウェアの被害が最も大きくなるのは、会計データ・顧客情報・共有ファイルが集まるサーバーが暗号化されたときです。そこへのログインが保護されているかどうかは、被害規模を左右します。
したがってapplippli-keyが担うのは、前述の「経路1」を、特に被害の大きいサーバー・重要PCの入口で塞ぐことです。経路2〜4に対しては、後述する他の対策と組み合わせる必要があります。
結局、何を組み合わせるべきか
ランサムウェア対策として最低限そろえるべき組み合わせを整理します。
- 認証の強化（多要素認証） — 経路1を塞ぐ。特にサーバー・重要PC・VPN・委託先アカウントから優先的に
- 脆弱性管理（パッチ適用） — 経路2を塞ぐ。特にVPN機器は最優先
- ウイルス対策と従業員教育 — 経路3に対応
- バックアップの確保 — 侵入されても復旧できる状態を作る（ネットワークから切り離した保管が重要）
- アカウント管理の整備 — 共有アカウントの廃止、退職者アカウントの棚卸し（ID管理・アカウント管理の基本）
「入口対策だけでは不十分な理由」については ランサムウェア対策は「入口対策」だけでは不十分な理由もあわせてご覧ください。限られたリソースでの優先順位は 中小企業がやるべき不正アクセス対策チェックリストで解説しています。実際に公表された被害事例を時系列で確認したい方は 不正アクセス・ランサムウェア被害データ集【2026年版】もご参照ください。
よくある質問
Q. 多要素認証を入れれば、ランサムウェアは防げますか？
A. すべては防げません。盗まれたID・パスワードによる侵入（近年の大型被害で頻繁に見られる経路）は確実に塞げますが、機器の脆弱性を突かれる侵入や、利用者が不正ファイルを実行してしまうケースは防げません。パッチ適用・ウイルス対策・バックアップとの組み合わせが必要です。
Q. ウイルス対策ソフトを入れているので大丈夫ですか？
A. 経路3には有効ですが、経路1（正規ログインによる侵入）は検知が困難です。攻撃者は正規の認証情報でログインしてくるため、不正なプログラムの実行を伴わない場合があります。ウイルス対策と認証強化は、守る対象が異なる別の対策です。
Q. クラウドサービスには多要素認証を入れています。それで十分ですか？
A. 重要な一歩ですが、社内サーバーやPCへのOSログイン、VPN接続が保護されているかもご確認ください。ランサムウェアの被害が最も大きくなるのは社内サーバーが暗号化されたときであり、その入口が守られていなければリスクは残ります。
Q. 中小企業でも必要ですか？
A. はい。取引先を経由した攻撃の踏み台として、企業規模を問わず狙われるケースが増えています。詳しくは サプライチェーン攻撃をご覧ください。
自社の状況を確認する
自社のサーバーや重要PCへのログインが、ID・パスワードのみに依存していないか。VPNや委託先アカウントが除外されていないか。これらは現状の運用によって異なります。
applippliの無料診断では、約3分の質問に回答するだけで、盗まれたID・パスワードによって侵入されるリスクがどの程度あるかを判定し、優先的に対策すべき箇所と、国主導の SCS評価制度への対応状況をPDFレポートでお届けします。
※ 本記事は、多要素認証がランサムウェア対策として果たす役割と、その限界を正確にお伝えすることを目的としています。診断結果および本記事の内容は、実際のセキュリティ状態や被害の不発生を保証するものではありません。