なぜ感染？ランサムウェアの主要経路6つと企業がすべき予防策・初動対応

ランサムウェアの主な感染経路を把握することは、企業の事業継続を守る上で極めて重要です。攻撃者はVPN機器の脆弱性やリモートデスクトップなど、多様な手口で侵入を試みるため、その原因を理解しなければ効果的な対策は立てられません。自社のセキュリティ体制を見直し、具体的なリスクを洗い出すためにも、攻撃者の視点を知ることが不可欠です。この記事では、ランサムウェアの主要な感染経路を6つに分類し、それぞれに対する予防策と感染が疑われる場合の初期対応までを詳しく解説します。

ランサムウェアの主要な感染経路6選

1. VPN機器の脆弱性を利用した侵入

ランサムウェアの感染経路として現在最も多いのが、テレワークで利用が急増したVPN（仮想専用線）機器の脆弱性を悪用した侵入です。警察庁の統計でも、VPN経由の侵入が半数以上を占めています。VPN機器は常にインターネットに接続されているため、攻撃者にとって格好の標的となります。

大阪の総合病院の事例では、給食事業者のシステムに設置されていたVPN機器の既知の脆弱性が放置されていたため、そこから病院のネットワークに侵入されました。結果として電子カルテなどの基幹システムが暗号化され、長期間にわたり診療業務が停止する事態に陥りました。

VPN機器が狙われる主な原因は以下の通りです。

2. リモートデスクトップ経由の侵入

VPNに次いで多いのが、外部から社内のPCやサーバーを遠隔操作するリモートデスクトップ（RDP）を悪用した侵入です。通信ポートが外部に公開された状態になっていると、攻撃者の侵入を容易に許してしまいます。

石光商事の事例では、グループ会社が利用していたPCに対し、リモートデスクトップ経由で不正アクセスが行われました。そこを踏み台に国内グループ会社のサーバーにまで侵入が広がり、データが暗号化される被害が発生しました。

リモートデスクトップは、認証情報さえ突破されれば社内ネットワークへの直接的な入り口となるため、安易な運用は極めて危険です。

3. Emotet等、メールを悪用した感染

業務メールを装い、受信者を騙して不正なプログラムを実行させる手口も、依然として主要な感染経路です。攻撃者は実在の取引先や同僚になりすまし、添付ファイルを開かせたり、不正なURLをクリックさせたりします。一度マルウェアに感染すると、そこを足がかりにランサムウェアがネットワーク全体に展開されます。

特にマルウェア「Emotet（エモテット）」は、過去のメールのやり取りを悪用し、実際のメールへの返信を装って攻撃メールを送るため、見分けることが非常に困難です。その感染プロセスは以下の通りです。

4. Webサイト閲覧による感染（水飲み場攻撃）

標的となる組織の従業員が頻繁に利用するWebサイトをあらかじめ改ざんし、閲覧しただけでマルウェアに感染させる「水飲み場攻撃」も深刻な脅威です。これは、動物が水を飲みに集まる場所で待ち伏せする狩りに例えられています。

攻撃者は、セキュリティの堅固な標的企業へ直接侵入する代わりに、その従業員が業務で利用する業界団体のサイトや取引先のサイトを狙います。改ざんされたサイトは見た目が正常なため、利用者が危険に気づくことは困難です。

5. フリーソフトやファイル共有ソフト経由

業務外で利用されるフリーソフトや、不特定多数のユーザー間でファイルを直接交換するファイル共有ソフト（P2P）も、ランサムウェアの重大な感染経路です。これらのソフトウェアには、悪意のあるプログラムが仕込まれている危険性が高く、安易な利用は避けるべきです。

正規のソフトウェアに見せかけてインストールさせたり、共有されているファイルにウイルスを混入させたりする手口が一般的です。一度マルウェアに感染すると、バックドア（裏口）が設置され、攻撃者がいつでも侵入できる状態になり、最終的にランサムウェアが送り込まれます。

6. USBメモリ等、外部記憶媒体からの感染

インターネットを経由しない、USBメモリや外付けハードディスクといった物理的な外部記憶媒体も感染経路になり得ます。ウイルスに感染した記憶媒体を社内の端末に接続することで、ネットワークの境界防御をすり抜けてマルウェアを直接内部に持ち込んでしまうため、セキュリティの死角になりやすいのが特徴です。

特に、PCの自動実行機能が有効になっていると、媒体を接続した瞬間に不正なプログラムが実行され、ランサムウェアに感染する危険性があります。出所不明の媒体の使用や、取引先とのデータ受け渡し時のウイルスチェックの怠りが、感染拡大の原因となります。

感染経路から考えるべき具体的な予防策

ネットワーク境界の防御（VPN・RDP強化）

外部からの侵入を水際で防ぐため、VPNやリモートデスクトップといったネットワークの入り口（境界）の防御を徹底することが最も重要です。攻撃の多くは、これらの外部接続口の設定不備や脆弱性を突いて行われます。

具体的な対策は以下の通りです。

エンドポイント・メールのセキュリティ強化

境界防御をすり抜けてくる脅威に備え、PCやサーバーなどのエンドポイント（端末）とメール環境の保護を多層的に行う必要があります。従業員の日常業務に潜むリスクを低減し、万が一の感染時にも被害拡大を防ぐためです。

具体的な対策には、次のようなものがあります。

データのバックアップと復旧計画の策定

万が一データが暗号化された場合に備え、確実なバックアップと復旧計画の策定は不可欠です。近年のランサムウェアはバックアップデータ自体も破壊しようとするため、単なるデータの複製では不十分です。

世界的な標準となっている「3-2-1ルール」に加え、ランサムウェア対策を意識した保管方法が求められます。

従業員のセキュリティ意識向上と訓練

技術的な対策をすり抜ける巧妙な攻撃に対しては、システムを使う「人」の意識と対応力が最終的な防御線となります。従業員一人ひとりが脅威を自分ごととして捉え、適切な行動をとれるようにするための教育と訓練が重要です。

取引先や委託先からの侵入リスク（サプライチェーン攻撃）への備え

自社のセキュリティ対策が強固であっても、取引先や業務委託先など、サプライチェーン上のセキュリティが手薄な組織を踏み台に侵入される「サプライチェーン攻撃」への備えも欠かせません。

外部委託契約時にはセキュリティに関する責任範囲を明確にし、定期的な監査を行うなど、関連企業全体でセキュリティ水準を維持・向上させる取り組みが必要です。自社ネットワークに接続するすべての外部組織を、潜在的な侵入経路として認識し対策を講じる必要があります。

感染が疑われる場合の初期対応フロー

感染端末のネットワークからの隔離

ランサムウェアの感染が疑われる場合、最も優先すべき初動対応は、感染端末をネットワークから切り離すことです。ランサムウェアはネットワークを通じて他のPCやサーバーへ瞬時に感染を拡大させるため、被害の連鎖を断ち切る必要があります。

具体的な手順は以下の通りです。

被害範囲の特定と状況の記録

端末を隔離した後は、被害の全体像を正確に把握し、状況を詳細に記録します。これらの記録は、後の原因調査や警察への届け出、保険請求において極めて重要な証拠となります。自己判断でシステム設定の変更やファイルの削除を行うと、証拠を破壊してしまうため厳禁です。

以下の情報を客観的な事実として記録・保全してください。

専門家・関係機関への報告と相談

社内での初期対応と並行し、速やかに外部の専門家や関係機関へ報告・相談することが重要です。ランサムウェア対応には高度な専門知識が必要であり、自社のみでの対応は証拠の破壊や復旧の失敗を招くリスクがあります。

状況に応じて、以下の機関に連絡を取ります。

経営層への報告と意思決定のポイント

ランサムウェア被害は、事業継続を揺るがす重大な経営課題です。現場は初期対応を進めると同時に、被害状況や専門家の見解を整理し、速やかに経営層へ報告して重要な意思決定を仰ぐ必要があります。

迅速な情報共有により、経営トップが的確な判断を下すことが、組織全体の混乱を抑え、復旧を成功させる鍵となります。

よくある質問

感染すると具体的にどのような被害が出ますか？

ランサムウェアに感染すると、単にデータが使えなくなるだけでなく、事業停止、経済的損失、社会的信用の失墜といった複合的かつ甚大な被害が発生します。近年の主流は、データを暗号化すると同時に窃取し、身代金を支払わなければデータを公開すると脅す「二重脅迫」です。

具体的には、以下のような被害が想定されます。

身代金を支払えばデータは復旧できますか？

身代金を支払うべきではありません。支払ったとしてもデータが復旧する保証は全くなく、むしろさらなるリスクを招く可能性が高いです。警察やセキュリティ専門機関も、身代金の支払いには反対しています。

支払いに応じるべきではない理由は以下の通りです。

自社の感染経路を特定することは可能ですか？

はい、適切な初期対応と専門家によるデジタルフォレンジック調査を行えば、多くの場合で感染経路の特定は可能です。攻撃者はPCやネットワーク機器に通信記録や操作履歴といった痕跡（ログ）を残しているため、これらを解析することで侵入経路や被害の範囲を明らかにできます。

ただし、感染発覚時にPCの電源を切るなどして証拠となるログが消えてしまったり、そもそもログを取得・保存する設定になっていなかったりすると、特定は極めて困難になります。感染発覚時の慎重な初期対応（証拠保全）と、平時からのログ管理体制が特定成功の鍵を握ります。

まとめ：ランサムウェアの感染経路を理解し、多層的な防御を構築する

本記事では、ランサムウェアの多様な感染経路と、それに対する予防策や初期対応について解説しました。VPN機器やリモートデスクトップの脆弱性、巧妙化するメール攻撃など、侵入経路は多岐にわたるため、一つの対策に頼るのではなく多層的な防御が不可欠です。自社の環境においてどの経路のリスクが高いかを評価し、ネットワーク境界の防御、エンドポイント監視、そして何よりもネットワークから隔離された確実なバックアップという複数の対策を組み合わせることが重要です。 万が一感染が疑われる場合は、慌てずに端末を隔離し、速やかに専門家へ相談してください。本記事で解説した内容は一般的な対策であり、個別の状況に応じた最適な判断は専門家の助言を仰ぐことを推奨します。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ