ランサムウェア感染経路TOP3と企業の対策｜侵入を防ぐ予防策と初動対応

ランサムウェア攻撃による事業停止リスクに備えるには、まず敵である攻撃者の主要な感染経路を正確に理解することが不可欠です。近年の攻撃はVPN機器やリモートデスクトップといった正規のアクセス経路を悪用する手口が主流となっており、従来の対策だけでは防ぎきれないケースが増えています。自社にとってどの経路が最も危険かを把握し、優先順位をつけて対策を講じることが、被害を最小化する鍵となります。この記事では、最新のランサムウェア感染経路をランキング形式で解説し、それぞれに対応する具体的な予防策から、万が一感染した場合の初動対応までを網羅的に説明します。

最新ランサムウェアの主な感染経路

1位：VPN機器の脆弱性を悪用した侵入

最新のランサムウェア感染経路で最も多いのが、VPN機器の脆弱性を悪用した侵入です。警察庁の報告によると、ランサムウェア被害の感染経路としてVPN機器の脆弱性を悪用した侵入が最も多いとされています。VPNは、インターネットと社内ネットワークの境界に位置し、外部からのリモートアクセスを可能にする正規の入り口であるため、攻撃者にとって格好の標的となります。

攻撃者は、脆弱性が存在するVPN機器をインターネット上から自動で探索します。特に、メーカーのサポートが終了していたり、セキュリティパッチが適用されず既知の脆弱性が放置されていたりする機器は、容易に侵入を許してしまいます。また、脆弱性がなくても、初期設定のままの安易なパスワードや、推測されやすいパスワードが設定されている場合、総当たり攻撃（ブルートフォース攻撃）によって認証を突破され、正規ユーザーとして堂々と侵入されてしまいます。

2位：リモートデスクトップ(RDP)経由の侵入

VPN機器に次いで多い感染経路が、リモートデスクトップ（RDP）経由の侵入です。テレワークの普及に伴い、外部から社内PCやサーバーを遠隔操作するRDPの利用が急増しましたが、セキュリティ設定が不十分なまま運用されているケースが多く、攻撃の標的となっています。

攻撃者は、インターネット上に公開されているRDPの接続ポートを探し出し、不正にアクセスを試みます。漏洩したIDとパスワードを悪用するほか、あらゆる組み合わせを試す総当たり攻撃によって認証を突破しようとします。また、RDPのソフトウェア自体に脆弱性が存在する場合、それを悪用して認証なしでシステムを乗っ取る手口も確認されています。一度侵入されると、そのPCを踏み台にして、内部ネットワークの他のサーバーへと感染を拡大させていきます。

3位：フィッシングメール経由の侵入

フィッシングメールは、システムの脆弱性ではなく、従業員の心理的な隙や誤操作を狙う古典的かつ依然として強力な侵入経路です。攻撃者は、実在する取引先や社内の情報システム部門などを巧妙に装い、業務に関係があるかのような件名でメールを送りつけてきます。

従業員がそのメールを信じて添付ファイルを開封したり、本文中のリンクをクリックしたりすることで、ランサムウェアに感染します。ファイルには悪意のあるマクロやスクリプトが仕込まれており、実行されるとランサムウェア本体が自動的にダウンロードされます。また、Emotet（エモテット）のような別のマルウェアにまず感染させ、そのマルウェアが後からランサムウェアを引き込むという、多段階の攻撃も一般的です。

その他に見られる侵入経路（Webサイト・USB等）

上記の経路以外にも、Webサイトの閲覧やUSBメモリといった外部記憶メディアを介した侵入も存在します。攻撃者は、従業員が日常的に行う業務の中に罠を仕掛けることで、気づかれないうちにマルウェアを侵入させようとします。

例えば、企業の公式サイトが改ざんされ、アクセスしただけでマルウェアが自動的にダウンロードされる「ドライブバイダウンロード攻撃」や、正規サイトに表示される不正な広告をクリックさせて感染させる手口があります。また、物理的な経路として、ウイルスに感染したUSBメモリを社内PCに接続することで、オフライン環境であってもマルウェアを拡散させるケースも報告されています。

感染経路を遮断する5つの予防策

脆弱性の解消：OS・ソフトウェアの更新管理

ランサムウェアの侵入を防ぐ最も基本的かつ重要な対策は、OSやソフトウェアの脆弱性を速やかに解消することです。攻撃者の多くは、既知の脆弱性を悪用して侵入するため、メーカーから提供される修正プログラム（セキュリティパッチ）を迅速に適用することで、攻撃の糸口を塞ぐことができます。

この更新管理は、WindowsなどのOSだけでなく、利用しているすべてのIT資産が対象となります。手動での管理は漏れが発生しやすいため、IT資産管理ツールなどを活用し、更新プログラムの適用状況を一元的に把握・自動化する体制を構築することが望ましいです。

不正アクセスの防止：認証の多要素化

IDとパスワードが漏洩した場合でも不正アクセスを防ぐための強力な対策が、多要素認証（MFA）の導入です。パスワードのみに頼る認証では、パスワードリスト攻撃や総当たり攻撃によって突破されるリスクが常に伴います。

多要素認証は、利用者が知っている情報（パスワードなど）、持っている物（スマートフォンなど）、利用者自身の身体的特徴（指紋など）のうち、2つ以上を組み合わせて本人確認を行います。これにより、万が一パスワードが盗まれても、攻撃者は第二の認証要素を突破できないため、不正アクセスを水際で防ぐことができます。特に、VPNやリモートデスクトップなど、外部からのアクセス経路には多要素認証を必須とすべきです。

侵入の検知・防御：セキュリティ製品の活用

巧妙化する攻撃を入り口ですべて防ぎきることは困難です。そのため、万が一侵入された場合に備え、内部での不審な活動を早期に検知・防御するセキュリティ製品の活用が不可欠です。侵入を前提とした多層防御の考え方が重要となります。

従来のウイルス対策ソフトに加え、PCやサーバーでの不審な振る舞いを検知するEDR（Endpoint Detection and Response）や、ネットワーク全体の通信を監視して異常を検知するNDR（Network Detection and Response）などを組み合わせることで、侵入後の攻撃活動を迅速に捉え、端末の隔離などの自動対応が可能になります。

人的ミスの削減：従業員へのセキュリティ教育

高度なシステムを導入しても、それを利用する従業員のセキュリティ意識が低ければ、そこが脆弱性となってしまいます。人的ミスによるインシデントを防ぐためには、継続的なセキュリティ教育と訓練が欠かせません。

不審なメールの見分け方や、安易に添付ファイルを開かないといった基本的なルールの周知徹底に加え、実際に攻撃を模したメールを従業員に送信する標的型攻撃メール訓練を定期的に実施することが効果的です。また、インシデント発生時に自己判断で対処せず、速やかに情報システム部門へ報告するというルールを浸透させることも、被害拡大を防ぐ上で非常に重要です。

被害の最小化：データのバックアップと復旧計画

万が一ランサムウェアに感染しデータが暗号化された場合、身代金を支払うことなく事業を復旧させるための最後の砦が、安全なバックアップデータです。ただし、バックアップの取得方法を誤ると、バックアップデータごと暗号化されてしまうため、適切な管理が求められます。

重要なのは、バックアップデータを本番環境のネットワークから物理的または論理的に隔離して保管することです。また、バックアップを取得するだけでなく、そのデータから実際にシステムを復元できるかを確認する復旧テストを定期的に実施し、具体的な復旧手順を確立しておくことが不可欠です。

パッチ適用が困難なシステムにおける代替策とリスク管理

製造ラインの制御システムや古いOSで稼働する業務システムなど、事業上の理由でOSやソフトウェアのアップデート（パッチ適用）が困難な場合があります。このようなシステムを無防備な状態でネットワークに接続し続けることは、極めて危険です。

パッチ適用ができないシステムに対しては、脆弱性が悪用されるリスクを低減させるための代替策（補償コントロール）を講じる必要があります。具体的には、そのシステムを他のネットワークから分離したり、通信相手を厳格に制限したりすることで、万が一他の端末が感染しても被害が及ばないようにします。

感染発覚時の初動対応（インシデントレスポンス）

被害拡大を防ぐネットワーク隔離

ランサムウェアの感染が発覚した際に、何よりも優先して行うべき初動対応は、感染が疑われる端末をネットワークから即座に隔離することです。ランサムウェアはネットワークを通じて他のPCやサーバーへと自己増殖的に感染を広げるため、一刻も早くその通信を遮断し、被害の拡大を食い止める必要があります。

具体的には、LANケーブルを引き抜く、あるいはWi-Fi接続をオフにするといった物理的な遮断を行います。ここで重要なのは、焦って端末の電源を切らないことです。電源を落とすと、メモリ上に残っている攻撃の痕跡（揮発性データ）が消えてしまい、その後の原因究明（フォレンジック調査）が困難になるためです。被害を最小限に封じ込めるには、証拠を保全しつつ、迅速に隔離することが鉄則です。

状況把握と関係各所への報告

端末の隔離を終えたら、次に被害の状況を冷静に把握し、あらかじめ定めた手順に従って関係各所へ報告します。どの範囲まで影響が及んでいるかを特定しなければ、有効な対策を立てることができません。また、個人情報の漏洩が疑われる場合は、法令に基づき監督官庁への報告義務も発生します。

社内の情報システム部門や経営層で構成される対策本部を速やかに立ち上げ、状況を共有し、事業継続の方針や対外的な公表について意思決定を行います。同時に、外部のセキュリティ専門家や、個人情報保護委員会、警察などへの連絡も遅滞なく進める必要があります。

調査のための証拠保全

攻撃の手口を解明し、確実な再発防止策を講じるためには、専門家による詳細な調査（フォレンジック調査）が不可欠です。そのためには、インシデント発生直後の状態のまま、デジタル証拠を保全する必要があります。

具体的には、感染した端末やサーバーのハードディスク全体のイメージ（完全な複製）を取得したり、ファイアウォールや認証サーバーなどの各種ログを保全したりします。この際、社内の担当者が自己判断でウイルス駆除ツールを実行したり、ファイルを削除したりすると、重要な痕跡が破壊され、原因究明が不可能になる恐れがあります。証拠保全が完了するまでは、感染した端末を現状のまま維持することが原則です。

初動対応における判断の優先順位と関係部署との連携

インシデント発生直後の混乱した状況下では、場当たり的な対応は被害を拡大させるだけです。あらかじめ策定しておいたインシデント対応計画（IRP）に基づき、明確な優先順位に従って行動する必要があります。最優先すべきは、人命の安全確保、そして事業継続に不可欠な重要システムの保護です。

そのためには、情報システム、法務、広報、経営層など、部門横断的なメンバーで構成される対策本部を設置し、指揮命令系統を一本化することが重要です。各部署がそれぞれの役割を理解し、緊密に連携して動くことで、混乱を最小限に抑え、迅速かつ的確な初動対応が可能となります。

感染後の調査と復旧プロセス

ログ解析による感染経路の特定方法

再発防止策を講じるためには、ランサムウェアが「いつ、どこから、どのように」侵入し、内部でどのように活動したのか、その感染経路を正確に特定する必要があります。この特定作業の中心となるのが、システムやネットワーク機器に残された各種ログの解析です。

攻撃者は痕跡を消そうとしますが、ファイアウォールの通信ログ、Active Directoryの認証ログ、プロキシサーバーのアクセスログ、各端末のイベントログなどを時系列に沿って突き合わせる相関分析を行うことで、攻撃の全体像を浮かび上がらせることができます。この高度な解析には専門知識を要するため、フォレンジック調査の専門家に依頼することが一般的です。

バックアップからの安全なデータ復元手順

暗号化されたシステムを復旧させるには、バックアップからのデータ復元が基本となります。しかし、感染した環境で安易に復元作業を行うと、潜伏していたマルウェアによって復元したデータが再び暗号化される二次被害に遭うリスクがあります。安全な復元には厳格な手順が求められます。

まずは感染したシステムを完全に初期化して脅威を排除し、ネットワークから隔離されたクリーンな検証環境を構築します。そこでバックアップデータの安全性を入念に確認した上で、本番環境へと段階的に切り戻していきます。このプロセスには時間を要しますが、安全な事業再開のためには不可欠な手順です。

ランサムウェア対策に関するよくある質問

感染すると具体的にどのような被害が出ますか？

ランサムウェアに感染すると、単にデータが使えなくなるだけでなく、事業継続を揺るがす複合的な被害が発生します。近年は、データを暗号化する前に窃取し、「身代金を支払わなければデータを公開する」と脅す二重脅迫が主流となっており、被害は深刻化しています。

感染経路の特定は自社で可能ですか？

一般的に、感染経路の特定を自社の担当者のみで完結させることは非常に困難です。攻撃の手口は極めて巧妙化・複雑化しており、攻撃者は自身の痕跡を消去しようと試みるため、調査には高度なフォレンジック技術と専門知識が不可欠です。

中途半端な知識で調査を行うと、かえって重要なデジタル証拠を破壊してしまう危険性もあります。正確な原因究明と確実な再発防止のためには、インシデント対応の経験が豊富な外部のサイバーセキュリティ専門機関に調査を依頼することが強く推奨されます。

バックアップがあれば事業への影響はないですか？

いいえ、バックアップがあっても事業への影響をゼロにすることはできません。バックアップはあくまで事業復旧のための最後の砦ですが、それだけですべてが解決するわけではありません。

システムの再構築と大容量のデータを復元するには、数日から数週間を要することもあり、その間の事業停止は避けられません。また、情報が外部に窃取されていた場合、バックアップでシステムを元に戻せても、情報漏洩という事実は解消されません。

警察など公的機関への報告は必須ですか？

個人情報の漏洩またはその恐れがある場合、個人情報保護法に基づき、個人情報保護委員会への報告が義務付けられています。したがって、このケースでは公的機関への報告は必須となります。

それ以外の場合でも、ランサムウェア攻撃は重大なサイバー犯罪であるため、警察のサイバー犯罪相談窓口へ被害を相談・通報することが強く推奨されます。捜査への協力だけでなく、他の被害事例から得られた有効な対策や技術的な助言を得られる可能性があります。企業の社会的責任を果たす上でも、迅速な報告が求められます。

最近の攻撃で注意すべき新たな手口はありますか？

近年のランサムウェア攻撃は、不特定多数を狙う「ばらまき型」から、特定の企業・組織を入念に調査して狙う「標的型攻撃」へとシフトしています。また、金銭を脅し取る手口も凶悪化しており、二重脅迫や多重脅迫が一般的になっています。

攻撃者はネットワークに侵入後、すぐには活動せず、数週間から数ヶ月にわたって潜伏し、重要なデータやバックアップシステムの場所を特定します。その上でデータを暗号化・窃取し、身代金を支払わなければデータを公開すると脅すだけでなく、企業の顧客や取引先に直接連絡して支払いを迫ったり、WebサイトをDDoS攻撃にさらしたりするなど、多重の脅迫で圧力をかけてきます。

感染PCの電源はすぐに切るべきでしょうか？

いいえ、ランサムウェアへの感染が発覚しても、PCの電源はすぐに切らないでください。電源を切ると、PCのメモリ上に残っているマルウェアの活動記録や暗号化キーなどの重要な情報（揮発性データ）がすべて消えてしまいます。これらの情報は、後のフォレンジック調査で感染経路を特定したり、場合によってはデータを復号したりするための重要な手がかりとなります。

取引先が感染した場合、自社が取るべき対応は？

取引先がランサムウェアに感染したという連絡を受けたら、直ちに自社への感染波及を防ぐための措置を講じる必要があります。近年、取引先を経由するサプライチェーン攻撃が増加しており、決して他人事ではありません。

まずは、その取引先と接続しているVPNや専用線、ファイル共有システムなど、すべてのネットワーク接続を一時的に遮断します。その上で、自社のシステム内に不審な通信やアクセスの痕跡がないか、緊急でログの点検などを実施します。自社の情報資産を守るため、迅速な初動対応が求められます。

まとめ：ランサムウェアの感染経路を理解し、多層的な防御体制を構築する

本記事では、VPN機器の脆弱性やリモートデスクトップの不正利用といった、近年のランサムウェア攻撃における主要な感染経路と、それに対処するための予防策、そして感染後の対応プロセスを解説しました。攻撃者は特定の企業を入念に調査して侵入し、データを暗号化するだけでなく窃取して公開すると脅す「二重脅迫」が主流となっており、その手口は巧妙化・悪質化の一途をたどっています。効果的な対策の鍵は、単一の製品に頼るのではなく、脆弱性管理や多要素認証といった技術的対策、従業員教育、そしてバックアップ計画といった組織的対策を組み合わせた「多層防御」の考え方です。まずは自社で利用しているVPN機器やリモートデスクトップの設定状況、ソフトウェアの更新管理体制を点検することから始めてください。併せて、万が一の事態に備え、データのバックアップがネットワークから隔離されているか、復旧手順は確立されているかを確認することが重要です。本記事で紹介した内容は一般的な対策であり、具体的なセキュリティ体制の構築やインシデント発生時の対応については、サイバーセキュリティの専門家へ相談することをお勧めします。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ