米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）、連邦捜査局（FBI）、シークレットサービスなどは、2026年10月20日にランサムウェア「SafePay」についての共同注意喚起（AA26-293A）を公表しました。SafePayは2024年8月以降、少なくとも600の組織に被害を与えたとされています。
米国の注意喚起ですが、書かれている手口は日本の中小企業にもそのまま当てはまります。この記事では、注意喚起の内容をもとに侵入から拡大までの流れを整理し、自社のどこで止められるかをまとめます。特定の製品や企業を評価する記事ではありません。
注意喚起から読み取れるSafePayの流れ
- 1
パスワードを手に入れる
流出した認証情報・総当たり・フィッシング
- 2
VPNや公開機器から入る
VPN接続の悪用、機器の脆弱性
- 3
正規のアカウントで社内に広がる
リモートデスクトップ・共有フォルダ経由でログイン
- 4
持ち出してから暗号化
バックアップも消して復旧を妨げる
注意喚起に書かれている侵入の手口
注意喚起は、SafePayが最初に入り込む方法として次を挙げています。
- 流出した認証情報の利用と、パスワードの総当たり
- VPN接続の悪用（匿名化のためのVPNサービスのIPアドレスからの接続が確認されています）
- フィッシングで手に入れたアカウント
- VPN装置・ファイアウォールなど、インターネットに面した機器の既知の脆弱性
4つのうち3つは、パスワードを手に入れて正面から入る方法です。機器の脆弱性を突く高度な攻撃だけでなく、「どこかで漏れたID・パスワードで普通にログインする」ことが、いまも主要な入口になっています。
入った後は「正規のアカウント」でリモートデスクトップを使う
注意喚起によれば、SafePayは社内に入った後、リモートデスクトップ（RDP）や共有フォルダ（SMB）を使って正規のアカウントでログインし、影響範囲を広げます。管理者権限を得るために認証情報を探し、必要ならアカウントを新しく作ることもあるとされています。
ここが中小企業にとって一番の要点です。社内のPCやサーバーのログインがパスワードだけで通る状態なら、1つのパスワードが漏れた時点で、攻撃者は社員と同じ方法で、社員と同じようにログインできます。機器から見れば正常なログインなので、怪しい通信として止まることもありません。
バックアップも狙われる
当局が最初に挙げた対策は多要素認証
注意喚起は、最優先の対策として「ID・認証情報・アクセス管理の方針と多要素認証の導入」を挙げています。対策の章では、できる限りすべてのサービスで多要素認証を求めること、特にWebメール、VPN、重要なシステムにアクセスするアカウントへの適用を求めています。
そのほかの主な対策は次のとおりです。
- VPN・ファイアウォールなどインターネットに面した機器の更新（悪用が確認された脆弱性を優先）
- 管理者向けのツールと権限を、必要な人だけに絞る
- パスワードは15文字以上とし、定期的な変更は年1回を超えて求めない
- オフラインで、書き換えできないバックアップを持ち、復元を定期的に試す
- ネットワークの分割と、ログイン・通信の監視
中小企業の構成に当てはめると、止められる場所はどこか
多要素認証を「VPNに入れたから大丈夫」と考えているなら、注意が必要です。SafePayの流れに当てはめると、VPNの多要素認証は2番目の段階でしか働きません。VPN装置の脆弱性を突かれた場合や、社内のPCがフィッシングで乗っ取られた場合、3番目の段階（社内のPC・サーバーへのログイン）は素通りになります。
| 段階 | よくある状態 | 止めるためにできること |
|---|---|---|
| パスワードを手に入れる | 同じパスワードを複数のサービスで使い回している | 使い回しをやめる。漏れても使えない仕組みにする |
| VPNから入る | VPNがID・パスワードだけ。機器の更新が止まっている | VPNの多要素認証と、機器の更新 |
| 社内のPC・サーバーに広がる | 社内のログインはパスワードだけ | PC・サーバーのログインにも2つ目の要素を加える |
国内でも、VPNから入られた後に社内のサーバー・PCへのログインで被害が広がった事例が続いています。経路の違いは警察庁の統計で見るランサムウェアの侵入経路で、VPNの先のログインに2要素認証を加える考え方はWindows OSログインの二要素認証で詳しく扱っています。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
「面倒になる」は、いまは当てはまらない
PCログインの2要素認証が進まない理由として、「毎回コードを打つのは面倒」という声をよく聞きます。ただ、いまはスマホに届いた通知を確認してワンタッチで承認するだけの方式もあり、社員の手間はパスワード入力とほとんど変わりません。手間が増えないなら、残る判断は「入られた後に広がるのを止めたいかどうか」だけです。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
スマホでワンタップ承認にすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
- VPN機器の型番と更新状況を把握しているか（VPN脆弱性対策）
- VPNの先のPC・サーバーのログインが、パスワードだけで通らないか（リモートデスクトップの2要素認証）
- リモートデスクトップで接続できるユーザーを絞っているか（接続できるユーザーを制限する手順）
- 夜間・休日のログインに気づける状態か（Windowsのログイン履歴の確認方法）
- バックアップが、同じネットワークから消せる場所にないか
出典
- CISA・FBIほか「#StopRansomware: SafePay Ransomware（AA26-293A）」（2026年10月20日）
記事中の事実関係は、上記の公表内容（2026年10月26日時点で確認）に基づきます。和訳と要約は当社によるものです。
いまの運用を棚卸ししてみる
VPNの先にあるPC・サーバーのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。