ランサムウェアの感染経路は何が多い？VPNとRDPの点検手順を解説

ランサムウェアの感染経路は、警察庁のアンケートではVPN機器が最も多く、次がリモートデスクトップです。2026年上半期の統計データでは、経路を答えた36件⁠のうち、VPN機器が18件⁠、リモートデスクトップが9件でした。

今日やることは、保守業者へ1本連絡することです。「VPN機器の機種とファームウェアの版、更新の担当は誰か、更新の情報は誰に届くのか⁠」⁠を聞いてください。この答えが、下の点検手順の出発点になります。

感染経路の数字はどうなっている？

年ごとの数字は、同じ順番を示しています。警察庁のアンケートのうち、不明と未回答を除いた件数です。

合算では、不審メールやその添付ファイルが24件⁠、その他が63件でした。読み方には注意が要ります。経路を答えた組織だけの数字で、2026年上半期の被害報告123件⁠のうち回答は36件です。

メールを軽く見てよいわけでもありません。政府広報オンラインは、標的型攻撃メールも依然として多数報告されているとしています。ただ、対策の順番を決めるなら、外から入れる機器を先に見る根拠にはなります。

VPNとリモートデスクトップが狙われるのはなぜ？

どちらも、社外から社内へ入るための入口だからです。警察庁の対策ページは、未修正のぜい弱性、漏えいした認証情報、簡易なパスワード、設定の不備が悪用されると説明しています。

更新が漏れやすい背景もあります。JPCERT/CCの2022年の解説⁠によると、SSL-VPN製品の大半はリセラーやSIerを通して販売、導入されます。そのためメーカーから利用者へ直接の連絡経路がないことがあり、導入した会社が運用保守を契約していない、保守契約にぜい弱性の修正が明記されていない例も多いとしています。

中小企業の場合、ここが一番の穴になりやすいと私たちは見ています。社内では「業者が見ている」⁠と思い、業者の契約には更新が入っていない状態です。

自社の機器はどう点検する？

順番は次の5段階です。知識が足りなければ、1と2だけ社内で進めて、3以降を業者と一緒に確かめても構いません。

1. 外から入れる入口を書き出す

VPN機器だけでなく、外から社内へつながるものを全部挙げます。JPCERT/CCのFAQは、代表的な侵入の方法として、リモートアクセスの出入口、外部から接続できるシステムのぜい弱性、運用保守サービスの回線、メールで感染した端末を挙げています。

• テレワーク用のVPN機器、VPN機能のあるファイアウォール
• 外から直接つなげるリモートデスクトップ
• 公開しているサーバーやWebの管理画面
• システムの保守業者が使う回線

製造業では工場も見ます。たとえば、工作機械や設備のメーカーが遠隔保守に使うルーターや回線が工場にある場合、情報システムの担当者が把握していないことがあります。設備の担当者に聞いて一覧に入れてください。

自社で把握しきれない機器を外から見つける方法もあります。経済産業省は、外部から把握できる情報でIT資産を発見して管理するASMの導入ガイダンス⁠を2023年5月⁠に公表しました。規模が大きく拠点が多いなら、ASMのサービス比較も見ておく価値があります。

2. 機種、版、担当者を確かめる

一覧の各行に、機種、ファームウェアの版、最後に更新した日、更新の担当、保守契約の範囲を書きます。サポートが終わった製品があれば、最優先の入れ替え候補です。国家サイバー統括室も2026年10月9日の資料で、サポートが終了した製品を使わないよう求めています。

3. 注意喚起と照らし合わせる

機種が分かったら、メーカーの公式情報とJPCERT/CCの注意喚起⁠を確かめます。2026年6月にも、VPNのリモートアクセス機能で認証を回避される恐れがある脆弱性の注意喚起⁠が出ています。JPCERT/CCはメーリングリストなどの受け取り方⁠も用意しているので、担当者の宛先を登録しておきます。

4. 認証とアカウントを見直す

警察庁は、推測されにくいパスワード、多要素認証、IPアドレスなどによるアクセス制限を挙げています。JPCERT/CCは、不要なアカウントの削除や、機器に最初から作られているアカウントの無効化の検討も挙げています。

• 全員が多要素認証を使っていますか
• 退職者、異動者、保守業者の古いアカウントが残っていませんか
• 同じパスワードを他のサービスで使っていませんか
• 接続元を、必要な範囲に絞れませんか

5. 更新の後も、入られた跡がないか確かめる

更新を当てても、それより前に盗まれた認証情報は残ることがあります。JPCERT/CCのFAQは、SSL-VPN製品のぜい弱性を悪用して認証情報を盗み、その情報で認証を突破する例を挙げています。古いログまで見られるか、侵害が疑われる認証情報を変えたかを、業者と確かめます。

リモートデスクトップはどこを見る？

見るのは、インターネットから直接つながる形が残っていないかです。Microsoftの説明⁠によると、リモートデスクトップは既定でポート3389番を使います。

保守業者には次のように聞いてください。

• ルーターやファイアウォールで、社外からリモートデスクトップへ通す設定はありますか
• 既定と違う番号で通している設定はありますか
• 通しているなら、誰が何のために使っていますか。その相手は今も必要ですか

番号を変えただけでは、入口そのものはなくなりません。JPCERT/CCは、業務に不要なものは利用を停止し、開けるポートも最小限にするよう書いています。

業務で要るものは、接続元の制限と多要素認証を組み合わせます。緊急の保守のために開けて、そのままになった設定がないかも確かめてください。

点検のあとは、何を入れ替える？

機器が古い、更新の担当を置けないといった理由があれば、入れ替えを考えます。候補は同じ形のVPNだけではありません。

• 更新の担当が決まらない：法人向けVPNの製品比較で、更新を任せられる形のサービスがあるかを見ます
• 入口の機器そのものを見直したい：ZTNAの製品比較が候補です。背景にある考え方は、総務省のテレワークセキュリティガイドライン⁠でゼロトラストとして扱われています

どの方式でも、認証情報の管理と更新の確認は残ります。製品の切り替えで点検が要らなくなるわけではありません。

入口の次は、社内での広がりと復旧も見ます。入口・拡大・復旧の3段で見る点検表⁠に全体をまとめました。入られた後の動きは感染したときの最初の1時間の手順に、ほかのテーマはランサムウェア対策のカテゴリ⁠に置いています。