メニュー

コラム｜セキュリティ

ランサムウェアの入口はVPN機器。中小企業が今日確かめること

公開：2026-11-01　更新：2026-11-01　文：渡部 秀雄（DXプランニング代表）

米国韓国欧州

IT担当のいない会社で、VPN機器（社外から社内につなぐ機器）の版番号を言える人はいるでしょうか。2026年上半期、入口が分かったランサムウェア被害の半分はVPN機器でした。この記事では、その仕組みと海外の状況、今日確かめる手順をまとめます。

不正なアクセス 更新鍵でログイン自動で遮断
この記事の要点
  • 2026年上半期のランサムウェア被害は123件で、半期として過去最多です。3件に2件ほどが中小企業でした。
  • 感染経路が分かった36件のうち、18件（半分）がVPN機器からでした。
  • 基本の打ち手は、更新、多要素認証（パスワードに加えて別の確認を求める仕組み）、切り離したバックアップの3つです。
  • 今日やることは、VPN機器の型番と版番号を書き出し、JPCERT/CC（国内のセキュリティ事故の調整機関）の注意喚起の一覧と見比べることです。

例えば、朝礼のあとで社長から「自社のVPNは問題ないか」と聞かれた場面を考えてみてください。VPN機器（社外から社内につなぐための機器）は、棚の上で静かに動き続けています。その型番と中のソフトの版番号を、その場で答えられるでしょうか。

答えに詰まる会社は、少なくないはずです。従業員1,000人以上の企業の担当者300人に聞いた調査でも、48.3%、2人に1人ほどが版を「正確には把握していない」と答えています（@IT 2025-11-21）。

一方、警察庁の集計では、ランサムウェア（データを暗号化して身代金を求める攻撃）の感染経路で最も多いのがVPN機器です。まず、その数字から見ていきます。

上半期の被害は過去最多

結論から書きます。ランサムウェアの被害は増えています。被害の中心は中小企業で、入口が分かったものの半分はVPN機器でした。

感染経路が分かった36件の内訳感染経路が分かった36件VPN機器リモートデスクトップその他0918件18件9件9件
感染経路が分かった36件の内訳

警察庁は2026年9月10日、2026年上半期の状況を公表しました。ランサムウェアの被害は123件で、半期として過去最多です。被害は35都道府県で起きています（共同通信 2026-09-10、警察庁の発表 2026-09-10）。

規模別では、中小企業が79件、大企業が31件、団体等が13件です。123件のうち79件なので、3件に2件ほどが中小企業です。

件数は、2024年上半期114件、下半期108件、2025年上半期116件、2026年上半期123件と動いてきました。前年同期より7件、約6%の増加です（SQAT 2026-09-16、ウェステリア）。

感染経路が分かった36件の内訳は、VPN機器18件、リモートデスクトップ（社外から社内のパソコンを操作する仕組み）9件、その他9件です。テレワーク用の仕組みが、4件のうち3件を占めています。

入口が分かった被害の半分は、VPN機器からでした。

ただし、経路の有効回答は36件と多くありません。1件違うだけで割合が3ポイント近く動くため、「半分」は幅をもって読む必要があります。

内訳の数字は、警察庁の原文資料ではなく、専門メディアで一致した集計にもとづきます（SQAT 2026-09-16、cbsec 2026-09-28、JSS Update 2026-09-24ほか）。

では、なぜ小さな会社の機器まで見つかるのでしょうか。次の節で、その仕組みを見ます。

VPN機器が入口になる仕組み

VPN機器は、社外からつなぐために、インターネットから見える場所に置かれています。そのため、更新されていない機器や、パスワードだけで守られた機器は、そのまま社内への入口になります。

VPN機器が入口になる仕組みインターネットVPN機器入口社内更新多要素認証バックアップネットワークから切り離す
VPN機器が入口になる仕組みと基本の打ち手

警察庁は対策ページで、VPN機器を「主要な侵入経路」とし、速やかな対応を求めています（警察庁「ランサムウェア被害防止対策」）。

入れる機器は機械で探される

警察庁の観測では、脆弱性（ソフトの欠陥）を探すアクセスが、1日・1IPアドレス（インターネット上の住所）あたり13,687件ありました。前年同期の約1.5倍です（JSS Update 2026-09-24）。

これは、人が手で試せる量ではありません。プログラムで機械的に、入れる機器を探していることがうかがえます。会社の規模にかかわらず、社員10人の会社の機器も探される対象に入りえます。

主な製品で注意喚起が続く

JPCERT/CCは、2026年もVPN・境界機器（社内と外の境目に置く機器）の注意喚起を何度も出しています。

製品2026年の注意喚起（日付）
F5 BIG-IP APM3月30日、9月24日
NetScaler ADC / Gateway3月31日、8月15日、9月28日
Cisco ASA / FTD4月27日更新
Palo Alto PAN-OS（認証回避）5月22日
Check Point（認証バイパス）6月10日
Fortinet製品に関連する認証情報の漏えい6月23日

同じ製品で年に2〜3回出ている例もあります。一度更新して終わりではなく、出るたびに自社の機器と見比べる必要があります（JPCERT/CC 2026年の注意喚起一覧）。

米国の勧告でも入口はVPN

米国のFBIやCISA（サイバーセキュリティ・インフラセキュリティ庁）などは、攻撃集団SafePayとAkiraについて共同勧告を出しています。2本の勧告が示す入口は、次のとおりです（AA26-293A 2026-10-20、AA24-109A 2025-11-13改訂）。

  • SafePay：流出した認証情報、総当たり（パスワードを片端から試す方法）、VPNアクセスの悪用、境界機器の既知の脆弱性
  • Akira：多要素認証のないVPNからの侵入が中心。SonicWall製品の脆弱性（CVE-2024-40766。CVEは脆弱性の識別番号）なども使われた

どちらも、更新されていない機器と、パスワードだけで守られた入口が狙われています。日本の「入口の半分はVPN機器」と、同じ方向を指しています。

大企業でも把握しきれていない

冒頭のアシュアードの調査では、VPN機器の脆弱性への対応が遅れた経験がある人も47.3%いました。課題に要員不足を挙げたのは42.7%です（@IT 2025-11-21）。

担当者を置く大企業でも、この状態です。では、入られたあと、会社の業務では何が止まるのでしょうか。

入られた後に止まるもの

止まるのは、データを使う日々の業務そのものです。費用は1,000万円以上になる例が多く、バックアップから戻せない例も目立ちます。

例えば、月曜の朝、共有フォルダの見積書が開けず、請求書も出せない。取引先からの問い合わせにも、記録を見て答えられない。被害に遭うと、こうした状態になりえます。

数字で見る被害の重さ

警察庁の2026年上半期の集計では、次のとおりです（SQAT 2026-09-16）。

  • 調査・復旧費用：分かった35件のうち21件（10件に6件ほど）が1,000万円以上。1億円以上も4件
  • バックアップ：有効回答40件のうち29件（4件に3件ほど）が、バックアップから元に戻せなかった
  • 二重恐喝（暗号化に加え、盗んだデータの公開で脅す手口）：手口が分かった66件のうち61件（10件に9件ほど）
  • ノーウェアランサム（暗号化せず、データを盗んで脅す手口）：9件

警察庁の対策ページは、ネットワークから切り離したバックアップ（オフラインバックアップ）を挙げています（警察庁）。つながったままのバックアップは、本体と一緒に暗号化されるおそれがあるためです。

また、暗号化をしない手口もあるため、データを戻せれば済むとは限りません。盗まれたデータを公開すると脅される被害が残ります。

製造業が最多、委託先にも広がる

業種別では、製造業が37件で最多です。卸売・小売15件、情報通信・不動産と物品賃貸・医療と福祉が各9件、建設8件と続きます（ウェステリア）。

被害は自社の中で終わらないこともあります。2026年5月、ある大学は、業務委託先のサーバーがランサムウェアの攻撃を受け、看護学科の学生105名の氏名・住所等が漏えいしたおそれがあると公表しました（東京医療保健大学 2026-05-27）。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」組織編でも、「サプライチェーンや委託先を狙った攻撃」が2位です（IPA 2026-01-29）。自社の被害は取引先に及び、取引先の被害が自社に及ぶこともあります。

こうした状況は、日本だけのものでしょうか。次の節で、ほかの国と比べます。

海外と比べると

米国・韓国・EUの資料でも、外から見える機器の弱点と、盗まれた認証情報が入口として挙がっています。国ごとの違いが大きいのは、被害を届け出る義務と、国が機器の持ち主に知らせる仕組みです。

下の表は、5つの国・地域を3つの観点で並べたものです。①被害の規模と中小企業の割合、②VPN・境界機器が入口になっている度合い、③国の打ち手です。

国・地域発表元と時期①被害の規模と中小企業の割合②VPN・境界機器が入口になる度合い③国の打ち手
日本警察庁（2026年9月公表、2026年上半期）ランサムウェア被害123件で、半期として過去最多。中小企業が79件（約64%、3件に2件ほど）経路が分かった36件のうち、VPN機器が18件（50%）警察庁がVPN機器を「主要な侵入経路」と明示。警察への通報・相談は任意
米国FBI・CISAなどの共同勧告（2025年11月改訂、2026年10月）攻撃集団SafePayの被害は600件以上。Akiraは「主に中小企業を標的」とされるAkiraは、多要素認証のないVPNからの侵入が中心。SafePayもVPNの悪用や境界機器の脆弱性で侵入共同勧告を続けて発出。脆弱な機器の持ち主に、電話やメールで知らせる取り組みを2023年1月から運用
英国DSIT（科学・イノベーション・技術省）の調査 2025/26（2026年4月）侵害・攻撃を認識した企業は43%（零細42%・小46%）。ランサム被害の経験は1%（前年3%）社外から接続するVPNを持つ企業は36%。フィッシング（偽のメールで情報を盗む手口）は38%二要素認証の導入は47%、対応計画は25%。政府の認証制度 Cyber Essentials の取得は5%
韓国報道（2026年1月・9月・10月）2025年のランサム届出は274件で、中小企業が194件（70.8%）。2026年上半期は145件（前年同期比+76.8%）KISA（韓国インターネット振興院）が2026年7月、流出したVPNアカウントから社内網に入られた事例の資料を公開情報通信サービス提供者に24時間以内の届出義務。全国10か所の支援センターで中小企業を支援
EUENISA（EUのサイバーセキュリティ機関）（2026年9月）、欧州委員会ランサムは「最も影響の大きい脅威」とされる。中小企業の割合の数字は示されていない経路を特定できた不正アクセス（全体の5%）のうち、60%が脆弱性の悪用NIS2指令（EUのサイバー対策の法律）で、中規模以上の重要分野の事業者に24時間以内の早期警告と72時間以内の通知を義務づけ。CRA（製品のセキュリティを定めるサイバーレジリエンス法）で、メーカーに悪用された脆弱性の報告を2026年9月11日から義務づけ

出典：警察庁（2026-09-10）、SQAT（2026-09-16）、CISA AA26-293A（2026-10-20）、CISA AA24-109A（2025-11-13改訂）、CISA Ransomware Vulnerability Warning Pilot、DSIT（2026-04-30）、아이티데일리（2026-01-30）、한국데이터경제신문（2026-09-09）、수도권지역뉴스（2026-10-14）、ENISA（2026-09-22）、欧州委員会 NIS2、欧州委員会 CRA。韓国の数字は報道によるもので、政府の報告書の原文では確かめていません。

調べ方や数え方は国ごとに違います。そのため、件数の多い少ないは単純には比べられません。ここで比べるのは、傾向だけです。

日本・米国・韓国の資料では、中小企業に被害が集まっている点が共通しています。入口としてVPNや外から見える機器の弱点が挙がる点も、日本・米国・韓国・EUで重なります。一方、韓国やEUには届出の期限があり、米国には国が持ち主に直接知らせる仕組みがあります。

では、この比較を日本の中小企業の判断にどう使えばよいのか。次の節で整理します。

日本の中小企業にとっての意味

日本の中小企業が最初にやることは、海外の勧告が指す入口をふさぐことと、ほぼ同じです。米国の勧告で入口とされた「更新されていない機器」と「多要素認証のないVPN」は、警察庁の対策でふさげるものが多くあります。

そのまま使える点

警察庁の「ランサムウェア被害防止対策」から、中小企業がすぐ使えるものを挙げます。

  • 修正版（パッチ）が出たら、すぐに当てる
  • 初期パスワードのまま使わない
  • VPNに多要素認証を設定する
  • 接続できる相手を、IPアドレスで絞る
  • バックアップをネットワークから切り離して保管する

どれも、大きな費用をかけずに始められるものが中心です。

そのままでは合わない点

同じ対策ページには、EDR（パソコンの不審な動きを見張るソフト）、ログ（操作や通信の記録）の取得、訓練も並びます。担当者のいない会社では、費用と人手の面ですぐには回しにくい対策です。まず更新・多要素認証・バックアップの3つを固め、見張りの部分は保守業者に任せられるかを相談する進め方があります。

届出の期限がない国での備え

日本では、ランサムウェアの被害を警察へ通報・相談するのは任意です。韓国やEUのような時間の期限がない分、いつ・誰に連絡するかを自社で決めておくと、初動で迷いにくくなります。

日本のIPAの2024年度の中小企業実態調査（4,191社）では、ソフトを常に最新にしている会社は73.0%（10社のうち7社ほど）です。一方、緊急時の体制や手順を整えているのは39.8%（10社のうち4社ほど）にとどまります。「更新はしているが、もしものときの手順がない」会社が多いことが読み取れます。

英国の調査では、インシデント対応計画（事故のときの手順書）を持つ企業は25%でした。調査の対象や問い方が違うため、日本の数字とは並べて比べません。手順の備えがまだ少ない点は、どちらの調査にも表れています。

別の注意喚起との関係

JPCERT/CCは2026年10月8日に、国内で相次ぐ不正アクセスの注意喚起（JPCERT-AT-2026-0030）を出しました。BIツール（データを集計して見せるツール）や従業員向けの管理システムでも、個人情報等の漏えいが出ています。注意喚起は、これをランサムウェアとは別の類型としています。VPN機器の確認とは分けて、自社で使っているWebのサービスが該当しないかを読んでおくと安心です。

取引先からの質問にもつながる

以前、「取引先からセキュリティチェックシートが届いたら、中小企業がまずやること」で、分からない質問に推測で「はい」と答えないよう書きました。VPN機器の版や多要素認証は、チェックシートで聞かれやすい項目です。今回の確認結果が、そのまま回答の根拠になります。

多要素認証の確認は、「米国NISTの無償の手引きで始める、SCS評価制度★3の準備」で最初の一手として勧めた内容とも重なります。確かめた結果は、記録に残しておくと次に使えます。次の節では、その残し方について書きます。

現場で見ていること

ホームページのサーバー管理から更新までの運用に携わっていると、「更新を予定した」「更新した」「新しい版で動いている」は別のことだと意識します。予定表に書いただけでは、機器の中身は変わりません。

そのため、更新のあとには管理画面で版番号を確かめ、日付と一緒に記録しています。手間がかかっても、この作業は省きません。記録があれば、次に注意喚起が出たとき、その場で自社の機器と見比べられます。

この記録は、これから先の変化に備える土台にもなります。次の節では、今後の見通しを整理します。

今後の展開

ここからは、公表された事実と、それにもとづく見立てを分けて書きます。予想の数字は置きません。

半年以内

警察庁の集計では、脆弱性を探すアクセスが前年同期の約1.5倍に増えました（SQAT）。JPCERT/CCの境界機器の注意喚起も、同じ製品で年に2〜3回出ています（JPCERT/CC）。

この流れが続くと、注意喚起が出てから自社の機器を調べ始めるやり方では、間に合わない場面が増える可能性があると見ています。版番号を先に把握しておけば、注意喚起を見たその日に判断できます。なお、IPAは2026年10月16日に、事業者向けの不正アクセス特別相談窓口の特設サイトを公開しました（IPA）。

1〜2年

SCS評価制度（取引先を含めた対策の水準を★で示す制度）の★3・★4について、IPAは2027年3月の受付開始に向けて準備を進めるとしています。2026年10月28日には、評価用ガイド等の公表にあわせて情報が更新されました（IPA）。EUのCRAは、主な義務の適用が2027年12月11日からです（欧州委員会）。

こうした予定から、取引先のチェックシートでVPN機器の管理や多要素認証を問われる場面は、増える可能性が高いと見ています。

その先

製品を作る側の責任を強める動きも進んでいます。EUのCRAは、悪用された脆弱性の報告をメーカーに2026年9月11日から義務づけました（欧州委員会）。日本のJC-STAR（IPAが運営する、製品のセキュリティ基準への適合を示す制度）も、2026年6月12日に「通信機器★3適合要件」を公開しています（IPA）。VPN機器がこの区分に含まれるかは、公表資料では確かめられませんでした。

ここから先は、2つの道筋が考えられます。

  • A：製品側の対策が進む場合　メーカーの脆弱性報告や製品のラベルが広がれば、機器を選ぶときや買い替えるときに確かめやすくなります。
  • B：探索の速さが更新を上回る場合　VPNをインターネットに直接出さない形や、保守契約の中身（更新を誰がいつ当てるか）を見直す必要が出てきます。

見ておくべき兆し

  • JPCERT/CCの境界機器に関する注意喚起が、どのくらいの頻度で出るか
  • 警察庁の次の統計で、VPN機器の割合がどう変わるか
  • SCS★3の要件で、多要素認証やVPNがどう扱われるか
  • 取引先から届くチェックシートに、VPNの項目が加わるか

日本の中小企業にとっては、準備の目安になる時期が見えてきたことになります。受付開始の目標とされる2027年3月より前に、VPN機器の台帳（型番・版・更新日・担当者）と多要素認証の状態を整えておくと、聞かれたときにそのまま答えられます。その最初の一歩を、次の節にまとめます。

今日からできること

  1. VPN機器の型番と、ファームウェア（機器の中のソフト）の版を書き出す
    どうやって：管理画面のシステム情報か、本体のラベルで確かめます。確かめた日付と一緒に表に残します。分からなければ、保守業者に3点を聞きます。「型番と版は何か」「最新の修正は当てたか」「多要素認証は有効か」です。
  2. JPCERT/CCの注意喚起の一覧と、メーカーの最新版を見比べる
    どうやって：JPCERT/CCの2026年の注意喚起一覧で、自社の製品名を探します。
  3. 初期パスワードを変え、使っていないアカウントを消す
    どうやって：アカウントの一覧を開き、退職者や外注先のものが残っていないか見ます。あわせて、多要素認証が有効かを確かめます。
  4. バックアップを切り離して保管し、戻せるか試す
    どうやって：ファイルを1つ選び、実際に復元してみます。2026年上半期は、4件のうち3件ほどがバックアップから戻せませんでした（SQAT）。IPAのガイドライン第4.0版（2026年3月27日）も、バックアップの項目を加えて6か条にしています（IPA）。
  5. 被害に遭ったときの連絡先を1枚にまとめる
    どうやって：IPAの不正アクセス特別相談窓口（03-6759-5760）、警察のサイバー相談窓口、保守業者の連絡先を書き、紙でも残します。
被害に気づいたら、機器はネットワークから切り離します。ただし電源は落としません（警察庁）。この1行も連絡先の紙に書いておくと、当日に迷いにくくなります。

よくある疑問

保守業者に任せていれば、対策は足りていますか

契約に「更新を当てる」作業が入っているかは、会社ごとに違います。上の1つめの3点を聞くと、どこまで任せているかが分かります。

自社にVPNがあるか分かりません

社外から社内のファイルやパソコンにつないでいる人がいるなら、VPNかリモートデスクトップを使っている可能性があります。まず保守業者に、何でつないでいるかを聞いてください。

被害に遭ったら電源を切るべきですか

警察庁は、機器を隔離し、電源は落とさないよう示しています。電源を切ると、調査に必要な記録が消えるおそれがあるためです。

DXプランニングで受けられるサービス

DXプランニングのサーバーのセキュリティ対策では、OSやソフトへの修正の適用、使っていない入口を閉じること、ファイアウォールで接続できる相手を絞ることを任せられます。診断・対策（報告書つき）は50,000円〜で、台数と内容をお聞きしてお見積りします。確認した結果を取引先のチェックシートに使う場合は、チェックシートの回答支援（50項目まで30,000円）があります。

まとめ

入口が分かったランサムウェア被害の半分は、VPN機器からでした。基本の打ち手は、更新・多要素認証・切り離したバックアップの3つです。今日は、VPN機器の型番と版番号を書き出し、注意喚起の一覧と見比べるところから始められます。

出典

無料｜IT担当がいない会社のセキュリティ点検表（20項目・A4・2枚）会社のケースごとに、確かめるべき項目と「まずやること」が分かります。登録不要です。ダウンロード
この記事を書いた人渡部 秀雄（DXプランニング代表）。IT企業で、企業向けのデータ連携基盤の構築・検証、帳票づくりの自動化、ホームページのサーバー管理から更新までの運用に携わっています。IT担当がいない中小企業・団体の外部のIT担当として、相談から仕組みづくり、保守までを引き受けています。

まずは無料でご相談ください

対応できるかの確認・お見積りまでは無料です。その場で契約を求めることはありません。通常、2日以内（土日を含む）にお返事します。

無料で相談する