社外から社内サーバーやNASの業務データを扱うため、VPN機器を日常的に利用している現場は少なくありません。インターネット上に仮想の専用トンネルを作り、通信内容を暗号化してやり取りする仕組みであることから、「通信を暗号化しているから安全だ」と考えて運用を続けている担当者もいます。

しかし、警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害に遭った組織へのアンケート結果として、侵入経路の約5割をVPN機器が占める状況が示されました。専用回線のように安全に通信するための機器が、侵入経路として数多く記録されています。

通信内容が暗号化されていても、管理の不備やソフトウェアの欠陥が残っていると、機器そのものが侵入の足がかりになります。日頃は総務などの通常業務と兼任で機器を管理している現場でも、自社の機器がどのような入口になり得るのか、公表された事実をもとに確認の基準を把握できます。

この記事でわかること

  • 令和8年上半期の被害報告件数が123件となり、半期として過去最多となった背景
  • 侵入経路の約5割を占めるVPN機器から、暗号化やデータ窃取に至る攻撃の進行手順
  • 未修正の脆弱性、漏えいした認証情報、接続後の到達範囲という自社で確かめられる3つの点

上半期の被害報告は123件、半期として最多

警察庁の資料によると、令和8年上半期におけるランサムウェアの被害報告件数は123件でした。これは警察への報告ベースの集計であり被害の全体を示すものではありませんが、半期の件数としては統計を取り始めた令和2年下半期以降で最多となっています。長期にわたり企業活動が阻害され、国民生活に影響を及ぼした被害が依然として発生しています。

手口の特徴として、データを窃取した上で「対価を支払わなければ当該データを公開する」と要求する二重恐喝が被害の多くを占めています。実際に事業者の財務情報や個人情報などが、ダークウェブ上のリークサイトに掲載される事例が多数確認されています。業務データが暗号化されて使えなくなるだけでなく、外部への公表を盾に取られる事態が起きています。

また、攻撃実行者の構造にも変化が記録されています。ランサムウェアの開発・運営を行うグループが、攻撃の実行者にランサムウェアやリークサイトなどの攻撃環境を提供し、見返りとして身代金の一部を受け取るRaaS（Ransomware as a Service）が確認されています。この仕組みにより、高度な技術的専門知識を有していない者であっても攻撃の実行が可能になり、攻撃者の裾野の広がりが見られます。

侵入経路の約5割がVPN機器、攻撃はどの順番で進むか

被害組織へのアンケート結果では、侵入経路としてVPN機器が約5割を占めています。標的型攻撃メールなどの添付ファイルによる感染は少なくなっており、インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占めています。

資料が示す攻撃の流れは、段階を追って進みます。攻撃者はまず、インターネットに露出したVPN機器の未修正のぜい弱性や、漏えいした認証情報などを悪用して組織のネットワークへ侵入します。通信経路が暗号化されていても、機器に未修正の欠陥が存在したり、正規のIDとパスワードが使われたりすると、外部からの遠隔操作を受け入れてしまいます。

侵入した攻撃者は、その場ですぐに暗号化を行うわけではありません。より広い領域にアクセスするために管理者権限の奪取やセキュリティ無効化を試みながら、内部探索により重要データやバックアップを物色します。

一通り内部探索を終えると、データをクラウドなどへアップロードして窃取した後に、ランサムウェアを起動して暗号化を実行します。最後に「ランサムノート」（脅迫状）をデスクトップなどに保管して攻撃者側への連絡と身代金の支払いを要求し、ログや使用したツールなどの痕跡を消去して攻撃を終了します。VPN侵入の日と暗号化の日は14日離れていた｜公表事例に見る攻撃の順番と被害の範囲で取り上げられているように、初期の侵入から実際の暗号化までの間には内部探索やデータ窃取の工程が挟まれており、順を追って作業が進められます。

自社のVPN機器で確認できる3つのこと

VPN機器が侵入の入口となり、管理者権限の奪取や内部探索を経て暗号化へ至る攻撃の流れを踏まえると、自社の機器において確認できる点は3点に整理されます。

1つ目は、修正プログラムを当てていない脆弱性が残っていないかという点です。VPN機器のソフトウェアに欠陥が見つかった場合、製造元から修正プログラムが提供されます。総務兼任で機器を管理している現場などでは、日々の業務に支障が出ていない機器の更新作業が見落とされることがあります。SSL-VPNの脆弱性とは？中小企業が確認すべきVPN機器の安全対策でも触れているように、外部に公開されている機器に欠陥が残っていると、遠隔からネットワーク内部へ入る足がかりになります。資料にある「未修正のぜい弱性の悪用」を防ぐ上では、稼働中の機器に適用されていない修正プログラムがないかを点検することが判断材料になります。

2つ目は、漏えいした可能性のあるID・パスワードがそのまま使われていないかという点です。関係者の間で使い回されている共用アカウントや、退職した従業員のアカウントが削除されずに残っているケースがあります。VPNアカウントの共有・共用IDはなぜ危ない？やめるべき理由と移行のしかたに示されているように、共用アカウントは管理が曖昧になりやすく、過去のアカウントが放置されていると外部に漏えいしても気づきにくい状態が生まれます。資料が示す「漏えいした認証情報の悪用」は、脆弱性を突く技術を使わずとも正規の手順を装って侵入される要因となるため、現在有効なアカウントの一覧に不要なIDが含まれていないかを確かめる材料になります。

3つ目は、VPNでつないだ後に社内のどこまで到達できるかという点です。多くの構成では、VPN接続を通過すると社内LAN全体への通信が可能になります。しかし攻撃者は、侵入後に管理者権限を奪いながら重要データやバックアップを物色するための内部探索を行います。接続した端末から社内ネットワーク全体へ自由にアクセスできる状態にあると、内部探索の範囲が広がり、ランサムウェアでバックアップまで暗号化される理由と守るための基本対策とはで解説されているようなバックアップの探索と暗号化にまで影響が及びます。外部から接続した端末がどこまでの機器に通信できる設計になっているかを確認することは、侵入された際の被害範囲を把握する要素となります。

ForceLinkは、許可した利用者だけが指定した社内PC・サーバー・NASへ接続するリモートアクセスで、接続後に社内LAN全体を開放しない設計です。ただし、現時点で多要素認証（MFA）には未対応のため、MFAを必須要件とする場合は要件に合う構成を別途ご確認ください。

被害の6割は中小企業、復旧に1,000万円以上が6割

規模の小さい会社では「自社のような規模の組織が狙われることは少ないのではないか」と捉えられることがあります。しかし、公表された数値はその前提とは異なる状況を示しています。

令和8年上半期のランサムウェア被害企業について組織の規模別に見ると、前年と同様に中小企業が約6割を占めています。業種別では製造業が約3割を占め、卸売・小売業、情報通信業、不動産、物品賃貸業が上位となっていますが、これら以外にも様々な業種で被害が確認されています。インターネットに露出した箇所から遠隔操作で侵入する手口が多くを占め、RaaSによって攻撃者の裾野が広がっている状況において、組織の規模に関わらず被害が生じている実態がうかがえます。

さらに、被害に遭った場合の負担についても数値が公表されています。被害企業・団体等へのアンケート結果によると、調査費用や復旧費用が高額化しており、復旧に総額1,000万円以上を要した組織の割合は全体の6割を占めています。また復旧に要した期間については、1か月未満で復旧した組織の割合は全体の5割弱に留まり、1か月以上を要した組織が半数を超えるなど、業務への影響が長期化する傾向が示されています。

まとめ

  • 令和8年上半期のランサムウェア被害報告件数は123件で過去最多となり、二重恐喝の手口が多くを占め、RaaSにより攻撃者の裾野が広がっています。
  • 被害組織へのアンケートでは侵入経路の約5割をVPN機器が占め、インターネットに露出した箇所から遠隔操作で侵入する手口が多くを占めています。
  • 攻撃は侵入後に管理者権限の奪取、重要データやバックアップの物色、窃取、暗号化、痕跡消去の順で進むため、未修正の脆弱性や認証情報の確認に加え、接続後の到達範囲の把握が関係します。
  • 規模別では中小企業が被害の約6割を占め、復旧に総額1,000万円以上を要した組織が6割、1か月未満で復旧した組織は5割弱に留まるなど、被害の高額化と長期化が報告されています。

参考・出典