ランサムウェアの感染経路とは？警察庁の5年分の統計で入口別に解説

ランサムウェアの主な感染経路は、VPN機器の脆弱性や設定不備からの侵入で、警察庁の令和7年の調査では有効回答92件のうち61件(66.3%)を占めました。次いでリモートデスクトップが19件(20.7%)、不審メールやその添付ファイルは2件(2.2%)で、近年は「メールを開いて感染する」よりも、インターネットに露出した入口から侵入される形が中心です。本記事では、警察庁の5年分のアンケート結果を入口別の割合に直した早見表をもとに、経路ごとの手口と対策、感染経路の特定方法、感染に気づいたときの初動までを、公的資料で整理します。

目次

開く

閉じる

1. ランサムウェアの感染経路とは？警察庁の統計で見る入口別の割合
2. ランサムウェアとは？感染すると何が起きるか
3. 感染経路別の手口と対策｜VPN機器・認証情報・メール・Web・外部媒体
4. ランサムウェアの感染経路を特定する方法｜ログの保全・フォレンジック調査・警察への相談
5. 感染に気づいたときの初動｜隔離・通報・やってはいけないこと
6. 感染経路から考える対策の優先順位｜警察庁のアンケートが示す被害組織の状況
7. 感染経路を全員に伝える｜立場別に研修で扱いたい内容
8. よくある質問(FAQ)
9. まとめ
10. 参考文献

ランサムウェアの感染経路とは？警察庁の統計で見る入口別の割合

ランサムウェアの感染経路とは、攻撃者が組織のネットワークやパソコンに最初に入り込む入口のことで、警察庁の令和7年の調査ではVPN機器が66.3%と最多でした。

警察庁は、近年はインターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている、と説明しています(警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」)。令和7年のランサムウェア被害の報告は226件でした。

令和7年の感染経路の内訳

割合は、警察庁(令和7年)の統計編(124ページ)の件数から本記事で計算した値です。

令和3年から令和7年の5年間の推移

• VPN機器は5年とも最多で、5年の合計では60.4%です。リモートデスクトップとあわせると398件、82.1%になります。
• リモートデスクトップは令和6年だけ31.0%と高く、ほかの年は18-21%台でした。
• 不審メールやその添付ファイルは令和4年の8.8%から下がり、令和6年・7年は2%台、5年の合計でも4.9%です。

メールが無関係というわけではありませんが、被害組織への調査では、入口の中心は機器と認証にあります。

入口の管理を、全員が守る運用にする｜eラーニング3サービスの役割の違い

機器の更新や認証の設定は情報システム担当の仕事ですが、警察庁は、経営者層やセキュリティ担当者だけでなく全ての従業員が正しい知識を身につけて実践する必要があるとし、不審メールの対応訓練やインシデント訓練も有効としています(警察庁「ランサムウェア被害防止対策」)。全員向けの研修を回す方法の一つがeラーニングです。資料請求ができる3サービスの役割の違いを、次の表にまとめました。

従業員向けの情報セキュリティ研修を、既製のコースで全員に届ける場合の一例が、株式会社Oysterが提供するOneCompliance(ワンコンプライアンス)です。商品ページでは、情報セキュリティのコースで、外部からの攻撃や人の不注意などのリスクと対策を学べること、マルウェア感染やメールの誤送信などを防ぐ手立てまで扱うこと、ダッシュボードや自動リマインダーで管理工数を最小化できることが紹介されています。一方で、費用は人数に応じた課金体系のため、問い合わせでの確認が必要です。コースの中身は資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

社内に法務専任担当や教育専任担当がおらず、社内のみでの実施が困難

OneCompliance 導入事例(株式会社プリメディカ。導入の背景・課題として掲載) 出典：公式サイト

ランサムウェアとは？感染すると何が起きるか

ランサムウェアとは、パソコンやサーバーのデータを暗号化して使えない状態にし、元に戻す対価として金銭や暗号資産を要求する不正プログラムです。警察庁は、データを暗号化するだけでなく、窃取したデータの公開をちらつかせる手口が近年は被害の多くを占めると説明しています(警察庁「ランサムウェア被害防止対策」)。

被害は長期化しやすく、警察庁(令和7年)によると、令和7年の被害組織のうち、復旧に総額1,000万円以上を要した組織は5割を超え、1か月未満で復旧した組織は5割強にとどまりました。IPA「情報セキュリティ10大脅威 2026 解説書[組織編]」は、2025年9月に被害を受けたアサヒグループホールディングスについて、国内グループ各社の受注・出荷業務等が停止し、個人情報等約191万件が流出した可能性があると同社が公表したこと、感染の約2か月後に電子受発注システムによる受注を再開したことを紹介しています。次の章で、こうした被害の入口になった感染経路を整理します。

感染経路別の手口と対策｜VPN機器・認証情報・メール・Web・外部媒体

感染経路ごとに入口は違いますが、共通しているのは、未更新の機器、漏えいした認証情報、簡易なパスワード、設定不備といった「隙」を突かれることです。公的資料で確認できる手口と対策を、入口別に1つの表にまとめました。

表の上6行は令和7年前後の警察庁・IPAの資料にもとづき、最後の行だけは2013年時点の古い資料の整理です。警察庁の近年の集計項目には外部媒体が入っていないため、割合は示せません。「その他」の10件の内訳も、資料のグラフには出ていません。

VPN機器とリモートデスクトップ｜最優先で棚卸しする入口

警察庁は、主要な侵入経路であるVPN機器は速やかな対応が必要としています。利用しているVPN機器やOS等の更新ファイルやセキュリティパッチが公開されたら速やかに適用して、脆弱性を残さないようにする、というのが基本です(警察庁「ランサムウェア被害防止対策」)。警察庁のアンケートでは、侵入経路とされた機器に未適用のセキュリティパッチがあった組織が、令和7年は有効回答71件のうち40件(56.3%)でした(統計編134ページ。割合は本記事で計算)。リモートデスクトップは、外部に公開している必要があるかを確認し、必要な場合も接続できる範囲を限定します。リモートデスクトップの仕組みと安全な使い方は、リモートデスクトップの解説記事でまとめています。

認証情報とMFA｜パスワードだけの入口を残さない

IPA「情報セキュリティ10大脅威 2026 解説書[組織編]」は、2025年10月に業務が停止した通販企業の事例について、同社が公表した調査結果として、多要素認証を適用していなかった認証情報が窃取され、不正に社内ネットワークに侵入されたと紹介しています(同社の公表資料はアスクル「第13報」)。警察庁も、初期パスワードや簡易な文字列を避け、他のサービスで使っていないものを設定し直すこと、多要素認証等の強固な認証手段とIPアドレス等によるアクセス制限を組み合わせることを挙げています(警察庁「ランサムウェア被害防止対策」)。

グループ会社・取引先経由｜自社の入口だけを見ていると見落とす

IPA「情報セキュリティ10大脅威 2026 解説書[組織編]」は、2025年9月にランサムウェア被害を受けたアサヒグループホールディングスの事例を、拠点のネットワーク機器経由でデータセンターに侵入された例として紹介しています。自社のVPN機器だけでなく、グループ会社や拠点とつながる機器の管理者が誰かを把握しておく必要があります。SaaSを使っている場合の被害の範囲や確認項目は、SaaSのランサムウェア対策の記事で整理しています。

メールとWebサイト｜割合は小さくても残る入口

令和7年の不審メールは2件(2.2%)でしたが、IPA「情報セキュリティ10大脅威 2026 解説書[組織編]」は、添付ファイルやリンクを使う手口を、今も攻撃手口の一つに挙げています。警察庁は、受信者の関心を引く内容や不安をあおる内容のメールで、添付ファイルを開かせたりリンク先にアクセスさせたりして、マルウェアに感染させたり認証情報を窃取したりする手口を確認しているとしています(警察庁「ランサムウェア被害防止対策」)。この入口は、従業員一人ひとりの行動で防ぐ部分が大きいため、研修や訓練で効果が出やすい領域です。

USBメモリなどの外部媒体

JNSAの資料は、USBをパソコンに接続したときに自動的にプログラムを実行する機能を利用して感染するマルウェアを、感染経路の一つとして整理しています。同じ資料は2013年時点から更新されていない旨を明記しているため、最新の割合の裏づけにはなりません。社内のルールとしては、出所不明の媒体を接続しない、という基本を押さえておけば足ります。

ここまでの入口対策を社内のルールとして決めても、全員が同じ内容を理解し、守っているかは別の問題です。VPNの使い方、多要素認証の登録、不審メールの報告先のような自社固有のルールは、既製の教材ではカバーしきれないことがあります。

VPNや多要素認証の使い方、不審メールの報告先といった自社のルールを教材にして全員に届ける場合の一例が、株式会社FCEが提供するSmart Boardingです。商品ページでは、従来OJTやOff-JTで行われてきた教育内容を学習プログラム化できること、属人化を防いでいつでも何回でも学習できる環境をつくること、自社オリジナルコースの作成や学習進捗管理が行えることが紹介されています。一方で、電話やメールでの相談、教育プログラムの設計といった手厚いサポートを受けられるのは「充実サポートプラン」のみです。自社のルールを教材にする手間や、サポートの範囲は、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

Smart Boarding上には、FCEの動画コンテンツに加え、社内の等級定義に基づいた独自の学習カリキュラムを公開しています。

Smart Boarding 導入事例(アース環境サービス株式会社。事例ページの「ポイント」として掲載) 出典：導入事例ページ

ランサムウェアの感染経路を特定する方法｜ログの保全・フォレンジック調査・警察への相談

感染経路を特定するには、感染したパソコンやネットワーク機器のログを残したまま、侵入経路と侵害の範囲を調べるのが基本です。警察庁は、被害の実態把握や再発防止のために侵入経路や侵害範囲の調査が必要で、ネットワーク機器や端末のログが重要な手がかりになる、としています(警察庁「ランサムウェア被害防止対策」)。

ログは「日頃から取得しておく」ことが前提

警察庁は、ランサムウェア被害を想定した備えとして、日頃から各種ログを取得しておくことを推奨しています。令和7年の報告書でも、侵害範囲の特定に不可欠なログの取得を、被害の抑制に有効な備えの一つに挙げています(警察庁(令和7年))。ログを取っていなければ、あとから感染経路を特定することが難しくなります。

フォレンジック調査を依頼する場合

警察庁は、慌てて電源をオフにすると、ログ等の侵入の痕跡が失われ、その後のフォレンジック調査が困難になる可能性があると注意しています(警察庁(令和7年))。自社だけでは調べきれない場合は、フォレンジック調査を行う専門会社に依頼する方法があります。依頼を検討する症状や選び方は、ハッキング調査業者の記事で解説しています。

警察への相談

ランサムウェアの被害にあった場合は、最寄りの警察署またはサイバー犯罪相談窓口に通報・相談できます。警察庁は、被害拡大防止のための初動対応支援や復号ツールの案内が可能な場合があるとしています(警察庁「ランサムウェア被害防止対策」)。通報にあたって、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図などの提供を依頼することがある、とも説明しています。

感染に気づいたときの初動｜隔離・通報・やってはいけないこと

感染に気づいたら、まず感染した端末をネットワークから隔離し、電源は落とさずにログを守って、警察や専門家に相談します。本節は一般的な情報提供で、法的助言ではありません。個別の事案の判断は、警察や専門家に相談してください。

気づくきっかけ｜警察庁に寄せられる相談事例

警察庁が紹介する相談事例には、パソコンの画面が急に制御不能になり、ビットコインの支払いを求める内容が表示された例や、会社のシステムが利用できなくなり、確認すると内部のファイル名が改竄・暗号化されていて、金銭を支払わなければデータをリークサイトで公開すると脅迫された例があります(警察庁「ランサムウェア被害防止対策」)。ファイルが開けない、見慣れない画面や要求のメッセージが表示される、といった異変があれば、次の流れで動きます。

初動の流れ

1. 感染した端末のLANケーブルを抜く、無線をオフにするなどして、ネットワークから隔離する。電源は落とさない
2. 最寄りの警察署またはサイバー犯罪相談窓口に通報・相談する
3. ログを保存し、侵入経路と侵害範囲を調査する。感染が確認されていない機器の痕跡も確認する
4. VPN機器等の脆弱性を塞ぎ、攻撃者にアクセスされた可能性のある機器のパスワードを変更する
5. 復号を試みる場合は、「No More Ransom」プロジェクトのサイトで、対応する復号ツールが公開されているかを確認する

復号ツールには注意点があります。警察庁は、一部のランサムウェアにしか対応していないこと、対応するとされていてもバージョンの違いで使えないことがあること、対応したツールでも全てのファイルを復号できるとは限らないことを挙げています(警察庁「ランサムウェア被害防止対策」。No More Ransom)。

「通報すると被害を公表しなければならないのでは」という心配に対し、警察庁は、警察から公表を求めることはなく、被害情報の保秘は徹底すると説明しています(警察庁「ランサムウェア被害防止対策」)。対策の全体像や、バックアップの3-2-1ルールを含む初動対応は、ランサムウェア対策7ステップの記事で手順にまとめています。

感染経路から考える対策の優先順位｜警察庁のアンケートが示す被害組織の状況

感染経路から見た対策の優先順位は、入口になりやすいVPN機器の更新と認証の強化が先で、そのうえでログ、バックアップ、訓練、全員への教育を整える順です。警察庁が被害組織に行ったアンケートから、対策の抜けやすい点を確認します。

被害にあった組織の状況

割合は、警察庁(令和7年)の件数から本記事で計算した値で、BCP以下の3行は報告書の記載のとおりです。ウイルス対策ソフト等を導入していた組織が約9割あるため、ソフトを入れているだけでは被害を防げないことが分かります。警察庁も、導入するだけでなく最新の状態に保ち、適切に運用することが重要としています(警察庁「ランサムウェア被害防止対策」)。

対策の優先順位と担当

各対策の担当と手順をさらに詳しく知りたい場合は、ランサムウェア対策の手順と実践ガイドの記事で予算別・90日のスケジュールを含めて解説しています。この記事は感染経路の側から、どの入口にどの対策が対応するかを整理しました。

優先順位の1から6は情報システム担当の仕事ですが、2の認証、7の訓練、8の教育は、全従業員が守って初めて機能します。研修を受けたかどうかだけでなく、内容を理解したかまで確かめたい場合は、確認テストの機能があるサービスを比べる方法があります。

確認テストで理解度を確かめながら、全員向けの研修を回す場合の一例が、株式会社イー・コミュニケーションズが提供するSAKU-SAKU Testingです。商品ページでは、企業の必須研修であるコンプライアンス・ハラスメント・情報セキュリティをはじめとするコンテンツが用意されていること、テスト、ドリル、アンケート、動画、スライドなどを使えること、独自に作成した自社コンテンツを合わせて使えること、受講状況や結果をリアルタイムで管理できることが紹介されています。一方で、事務局運営やカスタマーデスクを利用する場合はオプション扱いです。情報セキュリティのコンテンツの具体的な内容や、ランサムウェアの入口対策をどこまで扱うかは、資料で確認してください。料金はプランによって異なるため、資料や公式サイトで確認してください。

感染経路を全員に伝える｜立場別に研修で扱いたい内容

感染経路の知識は、経営者層、システム管理者、従業員で伝える内容が違い、立場ごとに分けて研修を組むと、受講後の行動につながりやすくなります。IPAは、10大脅威2026の解説書で、ランサム攻撃への対策を立場別に整理しています(IPA「情報セキュリティ10大脅威 2026 解説書[組織編]」)。

警察庁も、具体的な被害事例や最新の攻撃手口等を交え、注意すべきポイントを提示するなどして社内のセキュリティ教育を充実させること、不審メールの対応訓練やインシデント訓練を実施することが有効としています(警察庁「ランサムウェア被害防止対策」)。年に一度の研修だけで終わらせず、手口が変わったときに内容を更新し、誰がどこまで受講したかの記録を残しておくと、次の見直しの材料になります。

機器の更新や認証の設定は情報システム担当が進め、ルールの周知と受講の管理は研修の仕組みで支える、という分担にすると、担当者一人に負担が集中しません。既製のコースで基本を揃えるか、自社のルールを教材にするか、確認テストまで行うかは、サービスごとに得意な場面が違うため、自社の人数や運用に合うかを資料で比べてみてください。

よくある質問(FAQ)

Q1. ランサムウェアの感染経路で最も多いものは何ですか？

A. 警察庁の令和7年の調査では、VPN機器からの侵入が最も多く、有効回答92件のうち61件(66.3%)でした。次いでリモートデスクトップが19件(20.7%)、不審メールやその添付ファイルが2件(2.2%)、その他が10件(10.9%)です。令和3年から令和7年の5年の合計でも、VPN機器が485件のうち293件(60.4%)で最多でした。割合は件数から本記事で計算した値です。

Q2. ランサムウェアに感染するきっかけは何ですか？

A. きっかけの中心は、VPN機器の未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定不備を悪用して、外部から遠隔操作でネットワークに侵入されることです。このほか、不審メールの添付ファイルやリンク、改ざんされたWebサイトの偽の画面の指示どおりに操作することも、感染のきっかけとして公的資料に挙げられています。

Q3. ランサムウェアの感染経路のランキングは？

A. 警察庁の令和7年の調査では、多い順にVPN機器(61件)、リモートデスクトップ(19件)、その他(10件)、不審メールやその添付ファイル(2件)でした。5年の合計では、VPN機器293件、リモートデスクトップ105件、その他63件、不審メール等24件の順です。毎年の件数や有効回答の数は異なるため、順位は年によって変わる可能性があります。

Q4. 不審メールの添付ファイルを開かなければ、ランサムウェアには感染しませんか？

A. メールを開かなくても感染する可能性はあります。警察庁の近年の調査では、メール以外の入口、特にVPN機器やリモートデスクトップからの侵入が大半を占めています。メールへの注意に加え、機器の更新、多要素認証、公開ポートの見直しが必要です。

Q5. ランサムウェアの感染経路は、どうやって特定しますか？

A. 感染した端末をネットワークから隔離し、電源は落とさずにログを保全したうえで、感染した機器やネットワーク機器のログから侵入経路と侵害範囲を調べるのが基本です。警察庁は、感染が確認されていない機器の痕跡も調べることを推奨しています。自社で難しい場合は、警察への相談や、フォレンジック調査を行う専門会社への依頼を検討します。

Q6. 感染に気づいたとき、最初に何をすればよいですか？

A. まず感染した端末のLANケーブルを抜く、無線をオフにするなどしてネットワークから隔離します。電源は落とさず、最寄りの警察署またはサイバー犯罪相談窓口に通報・相談してください。身代金の支払いは、復号が保証されず犯罪グループの活動資金となるおそれがあるため、警察もIPAも原則として勧めていません。

まとめ

ランサムウェアの感染経路は、メールを開く操作よりも、VPN機器やリモートデスクトップといった入口の管理と、認証の強さに左右されます。入口を塞ぐ作業と、全員が守るルールの周知を、役割を分けて進めることが現実的な一歩です。押さえておきたいのは次の5つです。

1. 感染経路の中心は、警察庁の令和7年の調査でVPN機器(66.3%)とリモートデスクトップ(20.7%)であると確認する
2. VPN機器等の更新ファイルの適用と、多要素認証の導入を、情報システム担当が最優先で進める
3. 感染に備え、日頃から各種ログを取得し、オフラインのバックアップとBCP、訓練を整える
4. 感染に気づいたら、端末を隔離して電源は落とさず、警察や専門家に相談し、同じ経路を塞ぐ
5. 全員向けの研修と受講管理が回らないなら、eラーニングの資料を請求して比較する

警察庁の調査では、ウイルス対策ソフトを導入していた組織が、アンケートに回答した被害組織の約9割でした。ソフトを入れているかどうかではなく、入口が塞がれているか、全員が同じルールを理解しているかを定期的に点検することが、被害を減らすことにつながります。

参考文献

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」(令和8年3月)https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
• 警察庁「ランサムウェア被害防止対策」https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
• 警察庁「サイバー犯罪相談窓口」https://www.npa.go.jp/bureau/cyber/soudan.html
• IPA「情報セキュリティ10大脅威 2026」https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「情報セキュリティ10大脅威 2026 解説書[組織編]」https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf
• IPA「ランサムウェア対策特設ページ」https://www.ipa.go.jp/security/anshin/ransom_tokusetsu.html
• アスクル「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告(第13報)」https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf
• JNSA「マルウェア感染の経路」(2013年時点の資料)https://www.jnsa.org/ikusei/03/08-02.html
• No More Ransomhttps://www.nomoreransom.org/ja/index.html
• OneCompliance公式サイト(導入事例)https://onecompliance.jp/
• Smart Boarding 導入事例(アース環境サービス株式会社)https://smartboarding.net/example/11814