ランサムウェア被害は企業規模を問わず深刻化しています。大企業だけでなく、中小企業や自治体、医療機関も標的となっており、システム停止や業務継続への影響が大きな問題になっています。実際の被害では、「感染経路が分からない」「気付いた時にはデータが暗号化されていた」といったケースも少なくありません。
ランサムウェアは、メールのリンク・添付ファイル、リモート接続、ソフトウェアの脆弱性、Web閲覧など、さまざまな感染経路を通じて広がります。また、感染経路が不明の状態のまま復旧しても、再度攻撃の対象になるだけでなく、感染範囲が拡大してしまうこともあります。そのため、感染後の対応だけでなく、感染経路と拡大経路の両方を理解し、対策することが重要です。
本記事では、ランサムウェアの主な感染経路7つを解説します。また感染を防ぐ具体的な防止策から、万が一感染した際の対処法まで体系的にまとめました。社内のセキュリティ強化や研修資料の参考にしてください。
目次
ランサムウェアの主な感染経路7つ
ランサムウェアは、メール、リモート接続、ソフトウェアの脆弱性、Webサイト、外部デバイスなど、複数の経路を通じて侵入します。また、社内に侵入した後は、ファイル共有や管理ツールを通じて被害が広がるケースもあります。
その原因は、特別な操作によるものではなく、日常的な業務や設定不備がきっかけになることも少なくありません。ここでは、企業のセキュリティ対策で特に注意すべき代表的な感染経路を整理して解説します。
▼メール経由の感染：添付ファイルやURLリンクに注意
▼リモート接続経由の感染：RDP接続の外部公開設定に注意
▼脆弱性を悪用した感染：VPN機器の更新不足が原因に
▼サプライチェーン経由の感染：委託先の対策状況に注意
▼外部デバイス経由の感染：USBや外付け媒体から感染
▼ファイル共有よる感染拡大：共有フォルダや社内ネットワークに注意
▼管理ツールによる感染拡大：正規ツールの悪用に注意
メール経由の感染：添付ファイルやURLリンクに注意
メールは、ランサムウェア感染の代表的な経路の一つです。攻撃者は請求書や業務連絡、配送通知などを装ったメールを送り、添付ファイルやリンクを開かせることでマルウェアを実行させます。WordやExcelなどの添付ファイルに悪意のあるプログラムを仕込むケースや、リンクをクリックすると不正なWebサイトへ誘導されるケースがあります。
以前のように「クリックした瞬間に画面が固まって暗号化される」という単純なものは減っており、最初に感染させた1台のPCを踏み台にして、組織全体のPCやアカウントを管理しているシステムの権限を奪った後で、ファイルサーバー等の共有データが暗号化されることになります。
実在企業を装うフィッシングメールも増えているため、企業では従業員と外部との接点であるメール対策と、従業員教育を組み合わせた対応が重要でしょう。
リモート接続経由の感染：RDP接続の外部公開設定に注意
近年増えているのが、リモート接続を狙ったランサムウェア攻撃です。特に、Windowsのリモートデスクトップ（RDP）は外部から接続できる便利な仕組みのため、設定不備や知識不足が攻撃者に狙われやすいポイントです。
攻撃者はターゲットの外部公開されているRDPポートをスキャンし、推測しやすいパスワードを利用して、総当たり攻撃などでログインを試みます。パスワードの使い回しや簡易な設定があると、認証を突破される可能性が高まります。
一度侵入されてしまうと、攻撃者はサーバーや共有フォルダを調査し、サーバー側でランサムウェアを実行します。「原則、RDPを直接インターネットに公開しない」、「メンテナンス用の踏み台は使用するときだけ起動する」、そして「多要素認証やアクセス制限」などの対策やルール作りが欠かせません。
脆弱性を悪用した感染：VPN機器の更新不足が原因に
VPN機器の脆弱性を悪用する攻撃も主要な感染経路です。脆弱性とは、システムやソフトウェアにあるセキュリティ上の欠陥のことで、攻撃者はこの弱点を利用して企業のネットワークへ侵入します。
多くの場合、脆弱性に対処するための修正プログラムがメーカーから提供されますが、更新が行われないと既知の脆弱性が残り続ける状態になります。攻撃者は公開されている脆弱性情報をもとに、自動化された攻撃を仕掛けることもあります。
対象はVPN機器だけでなく、Webサーバーやサードパーティ製ソフトなど多岐にわたります。現在自分たちが使っているシステムのバージョンを管理し、最新の脆弱性情報を取得し、システム全体を最新の状態に保つなど、脆弱性管理を継続することが重要です。
サプライチェーン経由の感染：委託先の対策状況に注意
攻撃者は、セキュリティが強固な企業を直接狙わず、その取引先・子会社・委託先などのセキュリティ対策が比較的脆弱な「サプライチェーンの隙」を狙い、本来のターゲット企業に侵入するケースがあります。
この手口では、自社でどんなに厳格な対策を取っていても、他社の脆弱性を経由して攻撃されるため、自社の防壁だけでは防げません。例えば、システム保守委託会社のアカウント管理方法に問題があれば、正規のルートを装って自社のシステムにログインされ、ランサムウェアを混入されることになってしまいます。
そのため、自社だけでなく委託企業のセキュリティ基準を策定し、委託先の対策状況を監査できるようにする必要があります。2026年度末に運用開始が予定されている「サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)」の活用も検討要素の一つとなるでしょう。
サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)について知りたい方は、以下のコラムもご参照ください。
→SCS評価制度とは？情シス担当者が最初にやるべき5つのステップ
外部デバイス経由の感染：USBや外付け媒体から感染
USBメモリや外付けHDDなどの外部記録メディアも、ランサムウェアの感染経路になることがあります。外部デバイス内のファイルにマルウェアが含まれている場合、社内PCに接続することで感染が広がる可能性があります。
例えば、自宅で利用したUSBメモリをそのまま社内端末に接続した結果、マルウェアが企業ネットワークに持ち込まれることがあります。また、攻撃者がマルウェアの入ったUSB機器を、意図的に共有スペースやオフィスの近くに落とし、利用者が興味本位で接続してしまうケースもあります。
このように、物理的な媒体も侵入経路になるため、資産管理ソフトウェアなどで外部デバイスの使用を制限する、自動実行機能を無効化する、利用ルールやウイルス検知の仕組みを整えるなどの対策を取ることが重要です。
ファイル共有による感染拡大：共有フォルダや社内ネットワークに注意
ランサムウェアは、企業ネットワークに侵入した後、共有フォルダやネットワークドライブを通じて被害が拡大します。1台の端末に感染しただけでも、アクセス権のある共有領域にまで暗号化が及ぶと、複数の端末やサーバーに影響が広がる可能性があります。
特に、共有フォルダのアクセス権限が広く設定されている場合、被害範囲が一気に拡大しやすくなります。結果として、多くの業務データやサーバー内の重要ファイルが暗号化され、業務停止につながってしまいます。
そのため、ドメインコントローラーなどの管理アカウントの権限の階層化（例えば、Domain Adminsを一般利用とは切り離す）や、最小特権の原則に基いて共有フォルダの権限を設定し、不要な書き込み権限を減らすことが重要です。あわせて、社内ネットワーク内での被害拡大を防ぐためのアクセス制御も必要です。
管理ツールによる感染拡大：正規ツールの悪用に注意
企業で利用している管理ツールや運用ツールが、ランサムウェア攻撃に悪用されることもあります。攻撃者は侵入後に正規の管理ツールのスクリプト機能を使い、複数の端末へ横展開を行うことがあります。
例えば、資産管理ツールなどを乗っ取り、ファイル一斉配布やスクリプト実行機能を悪用し、正規の命令としてマルウェアを配信します。このとき、管理コンソールの多要素認証や特権IDの厳格な分離がなされていないと、容易に全社権限を奪われ被害が瞬時に拡大します。
対策としては、システム利用者の役割ベースのアクセス制御の権限設定を徹底し、多要素認証の導入を行うこととなりますが、正規ツールの不審な挙動を検知できるEDRの導入やウイルスの拡散を防ぐネットワークセグメントの見直しを検討することも視野に入れてみてください。
ランサムウェア感染を防ぐ基本対策
ランサムウェア対策の要は、高価な製品の導入だけではありません。基本的な運用を継続して徹底することが、最も現実的で有効な対策です。実際の感染事例でも、本来開くべきでないメールの開封、認証管理の不備、ソフトウェア更新の放置など、基本対策の不足が原因になっているケースが多く見られます。
企業のネットワークやシステムを守るには、侵入を防ぐ予防、異常を早く見つける検知、被害を抑える封じ込めと復旧の観点で対策を整える必要があります。
ここでは、企業が実施しておきたい代表的な対策を紹介します。
▼メール対策と教育をセットで徹底する
▼認証を見直す
▼外部公開を減らす
▼OS・ソフトウェアのアップデートを徹底する
▼検知と封じ込めを用意する
▼バックアップとネットワーク分離で被害を最小化する
メール対策と教育をセットで徹底する
メールを悪用した攻撃は依然として発生しており、フィッシングメールや標的型攻撃メールはその一例です。攻撃者は請求書や業務連絡などを装い、添付ファイルやURLリンクを開かせることで端末へマルウェアを侵入させます。
そのため、企業では不審な添付ファイルやURLを開かないというルールを明確にし、従業員が迷わず判断できる運用を整えることが重要です。
また、技術的な対策だけでは防ぎきれないため、従業員教育や標的型攻撃メール訓練も欠かせません。メールセキュリティ機能とあわせて継続的な注意喚起を行うことで、組織全体の対策強化につながります。
認証を見直す
ランサムウェア攻撃では、認証情報の漏えいや脆弱なパスワード設定が侵入のきっかけになることがあります。特に、VPN、メール、管理画面など外部からアクセス可能なシステムは狙われやすいため、認証の見直しが重要です。
主な対策は次のとおりです。
- 多要素認証（MFA）の必須化：VPN、メール、管理画面など外部アクセスの入口で導入
- 強固なパスワード管理：長く複雑なパスワードを設定し、使い回しを禁止
- 共有IDの禁止：個人IDに統一し、操作履歴を特定できる状態にする
- 特権ID管理：管理者アカウントを分離し、最小権限で運用
- ログイン防御：総当たり攻撃対策として回数制限やロック機能を設定
- 退職者アカウントの即時無効化：委託終了時も含め、権限を速やかに停止
このような認証管理を徹底することで、ランサムウェア攻撃の入口となる不正ログインのリスクを大きく低減できます。
外部公開を減らす
ランサムウェア対策では、インターネットに公開されているサービスを最小限にすることも重要です。外部公開されたポートやサーバーが多いほど、攻撃者に狙われる機会が増えるためです。
特に、RDPや管理用ポートの直接公開は、不正ログインの原因になりやすいポイントです。不要なポートは速やかに閉鎖し、VPN経由のアクセスやIP制限を導入して、外部から接続できる入口を最小限に抑えることが効果的です。
さらに、多要素認証を導入しアクセスを厳格に管理することで、攻撃者による侵入を防ぐことができます。近年は「ゼロトラストセキュリティ」という考え方も広まり、社内外を問わずすべてのアクセスを検証するセキュリティモデルが注目されています。
ゼロトラストセキュリティについて知りたい方は、以下のコラムもご参照ください。
→ゼロトラストの基本・失敗しない導入法・製品比較・運用ポイント・最新トレンド解説
OS・ソフトウェアのアップデートを徹底する
OSやソフトウェアの更新を怠ると、既知の脆弱性を悪用した攻撃を受けやすくなります。攻撃者は公開済みの脆弱性情報をもとに、更新されていないシステムを探して侵入を試みます。
そのため、VPN機器や業務ソフトを含むシステム全体を常に最新の状態に保つことが重要です。修正プログラムが公開されたら早めに適用し、脆弱性を放置しない運用を徹底する必要があります。
また、自動更新機能を活用することで更新作業の負担を減らし、更新漏れを防ぐことができます。アップデートを後回しにすると、脆弱性が長期間残り、ランサムウェア攻撃のリスクを高める要因になります。
検知と封じ込めを用意する
ランサムウェアは、侵入を完全に防ぎきれない場合もあります。そのため、侵入後の早期検知と迅速な封じ込めの体制を整えておくことが重要です。攻撃の兆候を早い段階で把握できれば、被害拡大を防ぎやすくなります。
主な対策例は次のとおりです。
- 端末で検知：EDR/EPPで不審な挙動や暗号化動作を検知
- 実行を抑止：マクロやPowerShellなど危険な実行経路を制御
- ログを集中管理：認証ログ、VPN、RDP、サーバー操作ログを統合管理
- 異常を検知：大量ファイル変更や連続ログイン失敗などをアラート化
- 即時封じ込め：感染端末をネットワークから隔離
- 横展開を防止：ネットワーク分離や共有フォルダ権限の最小化
こうした検知体制を整備することで、ランサムウェア攻撃を早期に把握し、組織全体への被害拡大を防ぎやすくなります。
バックアップとネットワーク分離で被害を最小化する
ランサムウェア被害からの復旧では、バックアップが非常に重要です。正常なバックアップがあれば、身代金を支払わずにシステムやデータを復旧できる可能性があります。
ただし、バックアップが同じネットワーク上にある場合は、バックアップデータもランサムウェアによって同時に暗号化されるおそれがあります。そのため、異なるネットワークにバックアップ環境を用意することが重要です。
あわせて、攻撃者が侵入してから実際に攻撃を開始するまでの潜伏期間のことも考慮し、ランサムウェア対策としてのバックアップは１週間などの短期保管ではなく、数ヶ月にわたる保管や、定期的な復旧テストを行うことで、実際に問題のない状態に復旧できる状態を維持する必要があります。
ランサムウェアに感染したときの対処法
ランサムウェア感染が発生した場合は、初動対応の速さと正確さが被害規模を大きく左右します。慌てて再起動したり、端末を初期化したりすると、証拠が失われて原因調査が難しくなることがあります。
企業では、あらかじめ対応手順を決めておき、感情的な判断ではなく手順に沿って対応することが重要です。感染端末の隔離、証拠保全、影響範囲の確認、専門機関への相談を段階的に進めることで、被害拡大を抑えながら復旧を進めやすくなります。
まずは次の流れを押さえておくことが大切です。
- ネットワークから隔離する：感染端末のLANケーブルを抜き、Wi-Fiをオフにして被害拡大を防ぐ
- 被害範囲を確認する：感染端末や共有サーバーへの影響の有無を確認する
- 証拠を保全する：原因調査に備え、原則として強制終了や初期化を避ける
- 専門機関へ相談する：IPAや警察、セキュリティベンダーへ速やかに相談する
- 復旧計画を立てる：バックアップの安全性を確認し、クリーンな環境での復旧を進める
ここでは、企業が取るべき基本的な対応手順を解説します。
▼端末をネットワークを即時隔離し、被害拡大を防ぐ
▼証拠保全と影響範囲の確認を進める
▼感染状況と侵入経路を特定し、封じ込めを行う
▼身代金の支払いは行わず、専門家・専門機関に相談する
▼バックアップから復旧し、再発防止まで完了させる
▼社内・取引先・関係機関へ適切に報告する
端末とネットワークを即時隔離し、被害拡大を防ぐ
ランサムウェア感染が疑われる場合、まず行うべきなのは、感染端末をネットワークから速やかに切り離すことです。ネットワークに接続されたままだと、共有フォルダやファイルサーバー、他の端末へ被害が広がる可能性があります。
そのため、感染が疑われるPCやサーバーは、LANケーブルの抜線やWi-Fiの切断などにより隔離します。これにより、社内システムや共有領域への被害拡大を抑えやすくなります。
あわせて、同じネットワークに接続されている他端末にも異常がないか確認することが重要です。初動が早いほど、被害の拡大を防ぎやすくなります。
証拠保全と影響範囲の確認を進める
感染が確認された場合は、すぐに端末を初期化するのではなく、まず証拠保全と影響範囲の確認を進めることが重要です。攻撃の手口や侵入経路を把握するには、ログや画面情報などの記録が必要になります。
主な対応は次のとおりです。
- 証拠保全：画面表示、発生時刻、症状を記録し、認証ログ、VPN接続、RDPアクセス、サーバーログ・EDRログなどを退避する
- 対象特定：感染端末、暗号化されたサーバーや共有フォルダ、停止した業務システムを一覧化する
- 拡大確認：同一アカウントの不審ログイン、大量ファイル更新、他端末への感染の有無を確認する
- 重要度順の確認：認証基盤 → ファイルサーバー → 基幹システム → バックアップの順に影響範囲を整理する
このように証拠を確保しながら調査を進めることで、被害の実態を把握しやすくなります。
感染状況と侵入経路を特定し、封じ込めを行う
ランサムウェア感染が発生した場合は、どの端末やサーバーが影響を受けているのかを特定し、侵入経路を確認したうえで封じ込めを進めることが重要です。感染範囲を把握することで、優先度を付けて対応しやすくなります。また、侵入経路の調査は再発防止にもつながります。
主な封じ込め対策は次のとおりです。
- 認証情報の刷新：各種アカウントのパスワード変更、トークン失効、多要素認証の有効化を進める
- 外部公開の停止：RDPや不要な公開ポートを止め、アクセス制限を見直す
- 権限の整理：共有フォルダ権限、特権ID、共有IDを見直し、不要な権限を削減する
- ネットワーク隔離：必要に応じてセグメントを分離し、横展開を防ぐ
こうした対応を迅速に実施することで、ランサムウェア攻撃による被害拡大を抑えやすくなります。
身代金の支払いは行わず、専門家・専門機関に相談する
ランサムウェア攻撃では、攻撃者から身代金の支払いを要求されることがあります。しかし、支払いをしてもデータが確実に復旧する保証はありません。さらに、支払いが新たな犯罪活動を助長する可能性もあります。
そのため、企業では自己判断で対応せず、セキュリティベンダーや警察、IPAなどの専門機関へ相談することが重要です。専門家の支援を受けることで、復旧方針や影響範囲の見極めを適切に進めやすくなります。
社内・取引先・関係機関へ適切に報告する
ランサムウェア被害が発生した場合は、社内関係者への情報共有を速やかに行うことが重要です。情報システム部門だけでなく、経営層や関連部署と状況を共有することで、組織としての対応方針を決めやすくなります。
また、被害の内容によっては、顧客情報や業務データへの影響が生じる可能性もあります。その場合は、取引先や顧客への説明責任が発生することもあります。さらに、警察や関係機関へ報告することで、同様の攻撃への対策にもつながります。
適切な情報開示と報告は、企業の信頼を守るうえでも重要です。被害状況を整理し、必要な範囲で正確な情報を共有することが求められます。
バックアップから復旧し、再発防止まで完了させる
ランサムウェア被害からの復旧では、正常なバックアップの有無が重要なポイントになります。利用可能なバックアップがあれば、暗号化されたデータを復元し、業務再開につなげられる可能性があります。
ただし、復旧の前には、感染したマルウェアを十分に除去し、再侵入の原因を塞ぐ必要があります。マルウェアが残ったまま復旧すると、再び被害が発生するおそれがあります。また、バックアップデータが正常に使えるかどうかの確認も欠かせません。
復旧後は、侵入経路や対策不足だった点を振り返り、認証管理、更新運用、アクセス権限、ネットワーク設定などを見直して再発防止につなげることが大切です。
まとめ：ランサムウェアの感染経路は対策を徹底することで防ぎやすくなる
ランサムウェアは、メール、Webサイト、脆弱性、リモート接続など、複数の経路から企業のネットワークへ侵入します。さらに、侵入後はファイル共有や管理ツールを通じて被害が拡大する場合があります。
しかし、その多くは基本的なセキュリティ対策の徹底によって、リスクを大きく下げることが可能です。認証管理の強化、ソフトウェアの更新、バックアップの確保、従業員教育などを継続して実施することで、感染リスクを低減できるでしょう。
一方で、これらの対策を社内の情報システム部門だけで継続的に回すのは簡単ではありません。人材不足や専門知識の不足により、対策が十分に行えない企業もあります。そのような場合は、外部の情シス支援サービスを活用することも有効です。
当社では、企業の情報システム部門を支援する各種サービスを提供しています。感染経路の棚卸しや運用体制の見直しをご検討中の場合は、お気軽にご相談ください。
こちらのページではセキュリティ体制の構築に関するケーススタディをご紹介しています。
ぜひ、本コラムと併せてご覧ください。
情シス運用によるセキュリティ対策サービスページはこちらから
『情シスSAMURAI』サービスページはこちらから
