ランサムウェアの感染経路と侵入経路 警察庁の統計で見る入口

警察庁は、ランサムウェアの被害を受けた組織にアンケートで侵入経路をたずね、毎年の「サイバー空間をめぐる脅威の情勢等について」に載せています。下の表は、令和7年版の統計編124ページ（PDF 136ページ）のグラフの件数です。答えた組織の数が年ごとに違うので、「何件のうち何件」で読みます。

5年すべてで VPN 機器が最も多く、リモートデスクトップが続きます。2つを合わせると、令和7年は92件のうち80件でした。警察庁は令和7年版の本文（15ページ）で、侵入経路は VPN 機器が6割以上を占めると書いています。令和6年版の本文（9ページ）も、VPN やリモートデスクトップ用の機器からの侵入が8割以上を占め、その原因に ID やパスワードがとても簡単だったこと、要らないアカウントが管理されずに残っていたことを挙げています。

2026年9月に出た令和8年上半期の資料では、2026年1〜6月に回答した36件のうち、VPN 機器が18件、リモートデスクトップが9件、その他が9件でした（統計編143ページ、PDF 156ページ）。本文（10ページ）は VPN 機器が約5割としています。半年分で回答が少ないため、年の数字とそのまま比べるのは控えます。

2025年の92件を多い順に並べました。上の2つ、インターネットに出ている VPN 機器とリモートデスクトップで、8割を超えます。

IPA の「情報セキュリティ10大脅威 2026」の解説書（10〜11ページ）は、ランサムウェアの手口として、機器の脆弱性を使う、盗んだ認証情報や外に開いたリモートデスクトップから不正にアクセスする、ウェブサイトやメールから感染させる、ダークウェブで売られている侵入の手段を使う、の4つを挙げています。警察庁の区分に合わせて、このサイトの手口のページと事例をつなぎました。

警察庁の4つの区分と、事例の入られ方は1対1には対応しません。たとえば盗まれたアカウントは、VPN 機器やリモートデスクトップの認証を通るために使われます。警察庁は、認証情報の漏えいや簡単なパスワードで、ネットワーク機器やリモートデスクトップの認証を破られて入られる事例が多数あると説明しています。

VPN 機器

インターネットから社内に入るための機器です。警察庁は、ネットワーク機器の脆弱性を使って入られる事例が多数あり、特に主要な侵入経路である VPN 機器は速やかな対応が必要だとしています。岡山県精神科医療センターの事例では、保守用の SSL-VPN 装置の ID とパスワードが推測できるもので、2018年の設置から脆弱性が直されていませんでした。名古屋港の事例では、保守用 VPN に接続元の制限がなく、ID とパスワードが合えば誰でもつなげました。関通の事例は VPN 装置から、イセトーの事例は VPN からの不正アクセスで入られました。関わったとされるグループは、関通が Akira（関通の社長がセミナーで説明したと報道された）、イセトーが 8Base（犯行声明が報道されただけで、会社は攻撃者名を公表していない）で、根拠の出典は各事例のページにあります。

リモートデスクトップ

離れた場所から PC やサーバを操作する仕組みです。IPA は、意図せず外に公開されているリモートデスクトップなどのポートを使った不正アクセスを手口に挙げています。令和6年は100件のうち31件がこの経路で、5年で最も多い年でした。大阪急性期・総合医療センターの事例では、委託先の給食センターから、常時つながっていたリモートデスクトップで病院のサーバに入られました。

その他（拠点の機器、盗まれたアカウント）

警察庁の資料は「その他」の中身を分けていません。事例では、アサヒグループはグループ内の拠点にあるネットワーク機器を経由して入られました。会社は攻撃者名を公表しておらず、Qilin の犯行声明が報道されただけです（出典は事例のページ）。アスクルは、例外的に多要素認証を入れていなかった委託先向けの管理者アカウントの ID とパスワードを使われました。KADOKAWAは、フィッシングなどで社員のアカウント情報を盗まれたことが根本の原因と推測されていますが、経路と方法はわかっていません。

不審なメールや添付ファイル

警察庁は、標的型攻撃メールなどの添付ファイルによる感染は少なくなっていると説明しています。それでも IPA は、添付ファイルにマルウェアを仕込む手口と、メールのリンクからランサムウェアを仕込んだウェブサイトに誘う手口を挙げています。メールが入口になる手口は標的型攻撃メールとフィッシングにあります。