ランサムウェアの侵入口、約5割はVPN機器——情シスが見直したいリモートアクセス設計

2026.10.27

セキュリティ

ランサムウェアの侵入口の約5割はVPN機器。情シスが見直したい遠隔アクセスの設計

「VPN機器のファームウェア更新が、また届いた」「取引先から、リモートアクセスの安全性を説明してほしいと言われた」。情報システム部門の担当者なら、思い当たる場面があるのではないでしょうか。

警察庁の最新の統計では、ランサムウェアの侵入経路が分かった被害のうち、約5割がVPN機器からでした。社外から仕事をするための入口が、そのまま攻撃者の入口にもなっています。

📌 この記事でわかること

✔令和8年上半期のランサムウェア被害の実態と、侵入経路の内訳
✔VPN機器が狙われる理由と、侵入後の攻撃の流れ
✔取引先の審査で問われやすい、リモートアクセスの4つの観点
✔入口を減らし、認証・接続元・記録を固める設計と、見直しの5ステップ

✨ [要約] 警察庁によると、令和8年上半期のランサムウェア被害報告は123件で、半期として過去最多でした。侵入経路が分かった被害の約5割はVPN機器からです。本記事では、VPN機器が狙われる理由、取引先の審査で問われやすい4つの観点、入口を減らして認証・接続元・記録を固めるリモートアクセスの設計と、見直しの5ステップを整理します。

令和8年上半期のランサムウェア被害は半期で過去最多

まず、警察庁が2026年9月に公表した統計から、ランサムウェア被害の今を確認します。件数・侵入経路・被害を受けた組織の規模・復旧の負担の4点を押さえておくと、社内で対策の必要性を説明しやすくなります。

🔎 ひとことで言うと

ランサムウェア対策とは、データを暗号化・窃取して身代金を要求する攻撃に備え、侵入口を減らし、認証を強め、バックアップやログを整える一連の取り組みです。

データで見る：令和8年上半期のランサムウェア被害

被害の件数

被害報告は123件

123件

統計を取り始めた令和2年下半期以降、半期の件数として最多です。

侵入経路

VPN機器からの侵入

約5割

侵入経路が分かった36件のうち18件がVPN機器でした。

組織の規模

中小企業の被害

約6割

123件のうち79件が中小企業です。製造業が約3割を占め、業種を問わず被害が出ています。

復旧の負担

復旧費用1,000万円以上

約6割

1か月未満で復旧できた組織は5割弱にとどまり、被害が長引く傾向にあります。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月公表）。侵入経路・費用・期間は被害組織へのアンケートで、不明・未回答を除いた件数をもとにしています。

侵入経路の内訳

侵入経路が分かった36件の内訳

VPN機器50%

リモートデスクトップ25%

その他25%

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」の統計編をもとに作成。VPN機器18件、リモートデスクトップ9件、その他9件。

同じ資料では、標的型メールの添付ファイルによる感染は少なくなり、インターネットに露出した箇所から遠隔で内部に入り込む手口が多くを占めると説明されています。

⚠ 「リモートデスクトップ」も侵入経路に入っている

侵入経路が分かった被害の約4分の1は、リモートデスクトップからでした。外部から直接つながる入口を残していないか、認証や接続元の制限が効いているかを確認しましょう。リモートツールは、提供元・暗号化・認証・接続の記録を確かめ、安全に使えるものを選んでください。

VPN機器が狙われる理由と攻撃の流れ

VPN機器は、社外からつなぐためにインターネット側へ入口を開けています。攻撃者にとっては見つけやすく、狙いやすい対象です。VPNという仕組みそのものが悪いのではなく、公開した入口を常に安全な状態に保ち続ける運用の負担が大きいことが問題です。

攻撃者が突く3つの隙

01未修正のぜい弱性

更新が公表されているのに適用されていない機器は、侵入に悪用されます。

02弱い認証情報

漏えいしたID・パスワードや、非常に安易なパスワードが使われていた例があります。

03管理の行き届かない機器

不要なアカウントが残っていた例や、海外拠点の機器から侵入され、国内の本社が被害に遭った例があります。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」

侵入された後の流れ

警察庁の資料では、ランサムウェア攻撃の代表的な流れが次のように整理されています。入口で止められないと、被害が組織全体に広がるおそれがあります。

STEP 1　侵入

未修正のぜい弱性や漏えいした認証情報を悪用して、組織のネットワークに入ります。

STEP 2　権限の奪取

より広い範囲に入るため、管理者権限を奪い、セキュリティ機能を無効にしようとします。

STEP 3　内部の探索

ネットワークの中を調べ、重要なデータやバックアップを探します。

STEP 4　データの窃取と暗号化

データをクラウドなどへ持ち出したうえで、ランサムウェアを起動して暗号化します。

STEP 5　脅迫と痕跡の消去

脅迫文を残して身代金を要求し、ログや使ったツールなどの痕跡を消します。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」

データで見る：バックアップも狙われる

攻撃者は内部の探索でバックアップを探し、データと一緒に暗号化したり消したりします。警察庁の統計でも、バックアップを取っていたのに復元できなかった組織が多くを占めています。

復元の結果

バックアップから復元できなかった

約7割

復元を試みた40件のうち29件が、バックアップから復元できませんでした。

復元できなかった理由

バックアップも暗号化・消去

約5割

復元できなかった29件のうち14件は、バックアップも暗号化されたり消去されたりしていました。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」の統計編をもとに作成。令和8年上半期の被害組織へのアンケートで、不明・未回答を除いた件数です。令和4年から令和7年の合計でも、復元できなかった理由の約7割がバックアップの暗号化・消去でした。

⚠ 遠隔操作ソフトがバックドアに使われることも

令和6年の資料では、侵入口を閉じられても再び入れるように、攻撃者が遠隔操作できるソフトをバックドアとして設置する手口も紹介されています。社内で使う遠隔操作ツールを決めて管理し、許可していないツールが入っていないかを確かめることも対策の一つです。

取引先の審査で問われやすい4つの観点

取引先のセキュリティ審査やチェックシートで、リモートアクセスの安全性を問われる場面が増えています。質問の項目は取引先によって異なりますが、次の4つはよく聞かれる内容です。

👤誰が、どこから

接続できる人と、接続を許す場所や端末を決めているか。

🕘いつ

接続できる曜日や時間帯を決め、使っていない接続を残していないか。

🛠外部の事業者

保守を任せる事業者の、接続できる範囲や使える機能を絞っているか。

📝記録

誰が、いつ、どこから接続したかを、あとから確かめられるか。

警察庁も、VPN機器などのぜい弱性対策、認証情報の適切な管理、バックアップやログの適切な取得、サイバー攻撃を想定した業務継続計画の策定について、中小企業を中心に呼びかけています。

拠点や委託先が増えるほど、機器ごとの設定と運用ルールだけで4つの観点を説明するのは難しくなります。VPNの運用負担そのものについては、脱VPNで情シスを解放！VPN脆弱性リスクとリプレイスの最適解で詳しく解説しています。

VPNに頼らないリモートアクセス設計

ここでは、入口の数を減らし、接続できる範囲を絞る設計の考え方を整理します。

🔎 ひとことで言うと

社外から必要なのが「特定のPCを操作すること」なら、社内ネットワーク全体につなぐ必要はありません。接続できる範囲を、必要な端末だけに絞れます。

VPNは公開した入口から社内ネットワーク全体につながり、RemoteViewは会社のPCから外向きの80・443番ポートで中継サーバーに接続し、許可した特定のPCだけを操作する違いを示した模式図

VPN

社内ネットワークにつなぐ

社内のさまざまなシステムを、社内にいるのと同じように使えます。一方で、インターネット側に入口を公開し続けるため、機器の更新と認証の管理が欠かせません。

社内のシステムを幅広く使える

入口の機器を常に更新する侵入後に社内を探索されやすい

リモートデスクトップ方式

会社にある特定のPCの画面を、手元から操作する

ファイルそのものは会社のPCに置いたまま操作できます。RemoteViewの場合、接続先のネットワークでInboundポートを開ける必要がなく、会社のPCから外向きの80・443番ポートで暗号化された通信を始めます。外から直接つながる入口を社内に置かずに済みます。

接続先を特定のPCに絞れるInboundポートを開けない

認証と接続元の制限は欠かせない

審査で説明しやすい4つの設定

入口を減らしても、認証が弱ければ守れません。ゼロトラストの考え方では、接続のたびに誰が、どこから、どの端末に入るのかを確かめます。次の4点を、運用ルールだけでなく設定で示せる状態にしておくと、審査で説明しやすくなります。

🔐 設定で示したい4つのポイント

✅接続元を絞る：許可したIPアドレス・MACアドレスからだけ接続でき、海外からのログインは止める
✅接続する時間を絞る：曜日と時間帯を決め、操作のないセッションは自動で終える
✅外部事業者の権限を絞る：事業者用のアカウントを分け、接続できるPC・時間・使える機能を必要な範囲にとどめる
✅記録で説明できる：誰が、いつ、どこから接続したかの履歴が残り、あとから追える

RemoteViewを、まずは14日間無料でお試しください

▶ RemoteViewの14日間無料トライアルお申し込みはこちら

リモートアクセスを見直す5ステップ

ランサムウェア対策としてリモートアクセスを見直すときは、次の5ステップで進めると、担当者を増やさなくても抜け漏れを減らしやすくなります。

STEP 1　棚卸しする

VPN機器、遠隔接続の経路、使っていないアカウントを洗い出します。海外拠点や試験用の機器も対象です。

STEP 2　閉じる

不要なアカウントと接続経路を閉じます。使っていない機器は、ネットワークから外します。

STEP 3　認証を強める

多要素認証、接続元の制限、パスワードのルールを整えます。

STEP 4　備える

ログを取得して保管します。バックアップも暗号化・消去されることがあるため、ネットワークから切り離した場所にも持ちます。

STEP 5　使い分けを決める

VPNを残す用途と、リモートデスクトップ方式に置き換える用途を分けます。

データで見る：サイバー攻撃を想定した業務継続計画

業務継続計画

サイバー攻撃を想定した計画あり

約13%

令和8年上半期の被害組織のうち、回答があった45件で、サイバー攻撃を想定した業務継続計画を作っていたのは6件でした。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」の統計編をもとに作成。

リモートアクセスの見直しは、被害が起きたときに業務をどう続けるかを考えるきっかけにもなります。

RemoteViewで4つの観点に対応する方法

ここからは、RemoteViewを例に、審査で問われやすい4つの観点にどう対応できるかを紹介します。機能の詳細はRemoteViewのセキュリティ機能でも確認できます。

👤誰が、どこから

許可IP・MACアドレスの設定と、海外IPログインブロックで、接続できる場所と端末を絞れます。

🕘いつ

接続できる曜日と時間帯を設定できます。操作のない遠隔接続を、一定時間で自動終了することもできます。

🛠外部の事業者

事業者用のユーザーごとに、接続できるPCや使える機能を絞れます。1回の遠隔制御の時間に上限も設けられます。

📝記録

誰が、いつ、どこから接続し、ファイル送受信などの機能を使ったかを、使用状況の記録で確認できます。

認証と通信の暗号化

ログインには、ワンタイムパスワードまたはメールによる2段階認証を追加できます。SAML 2.0に対応したシングルサインオン連携では、IDとパスワードでの直接ログインを禁止し、社内の認証基盤を通したログインに限ることもできます。

遠隔操作中の通信は、TLS 1.2〜1.3と256-bit AESで暗号化されます。操作中は、接続先のPCの画面を消して、その場で画面をのぞかれるのを防ぐ遠隔画面ロックも使えます。

✅ RemoteViewの主なセキュリティ機能

2段階認証SAML連携許可IP/MACアドレス設定海外IPログインブロック接続曜日・時間帯設定遠隔画面ロックユーザー権限設定

⚠ 手元にデータが残るケースにも注意

画面を操作する方式でも、コピー＆ペースト、ファイル転送、手元のプリンターでの印刷を使うと、手元の端末にデータが残ります。RemoteViewでは、クリップボード、ファイル送受信、プリンターの利用を、管理者がユーザーごとに制限できます。

ソフトを入れられない機器にはRemoteViewBOX

ソフトウェアのインストールが難しい機器には、ハードウェアのRemoteViewBOXという選択肢もあります。ケーブルで接続して遠隔操作できるため、古い機器や、セキュリティポリシーでソフトを入れられない機器にも使えます。操作する機器を直接ネットワークにつなぐ必要がないため、閉域網の機器も遠隔操作できます。価格は1台148,000円で、税別です。掲載時点の価格のため、最新の価格は製品ページでご確認ください。

審査の説明に使える資料

RSUPPORTは、ISO/IEC 27001:2022、ISO/IEC 27017:2015、プライバシーマークを取得しています。暗号化や認証、ログの仕組みは、製品のセキュリティホワイトペーパーにまとめています。

よくある質問（FAQ）

QVPN機器がランサムウェアの侵入口になりやすいのはなぜですか？

A社外から接続するために、インターネット側に入口を公開しているからです。警察庁の資料では、攻撃者は未修正のぜい弱性や漏えいした認証情報などを悪用して侵入するとされています。令和8年上半期の被害では、侵入経路が分かったもののうち約5割がVPN機器でした。

QVPNをすぐに廃止しないといけませんか？

Aすぐに廃止する必要はありません。まずはVPN機器と接続経路、アカウントを棚卸しし、ぜい弱性対策と認証の強化を進めます。そのうえで、特定のPCを操作できれば足りる用途から、リモートデスクトップ方式への置き換えを検討すると、入口を段階的に減らせます。

Qリモートデスクトップも侵入経路になりませんか？

A警察庁の統計では、リモートデスクトップからの侵入も一定数あります。大切なのは、外部から直接つながる入口を残さないことです。RemoteViewは接続先のネットワークでInboundポートを開ける必要がなく、Outboundの80・443番ポートで通信します。そのうえで、接続元の制限や2段階認証などを組み合わせて使います。

Q保守会社など外部の事業者に一時的な接続を許可するには、どうすればよいですか？

A社内のアカウントを共有せず、事業者用のアカウントを分けて、接続できる範囲と時間を必要な分だけに絞るのが基本です。RemoteViewでは、ユーザーごとに接続できるPC、曜日と時間帯、使える機能を設定できます。誰が、いつ、どこから接続したかも使用状況の記録で確認できます。

Qセキュリティを説明できる資料はありますか？

ARSUPPORTの「製品のセキュリティホワイトペーパー」で、暗号化の方式や認証、ログなどの仕組みを確認できます。導入前の動作確認には、14日間無料トライアルをご利用ください。