2025年ランサムウェア感染経路ランキング｜企業が押さえるべき対策と初動対応

初回公開日：2025年12月16日

ランサムウェアの被害は年々増加しており、その多くは特定の侵入経路を悪用して発生しています。主な感染経路は、「VPN機器」「リモートデスクトップ（RDP）」「メール」の3つが中心です。まずはこの3つの経路を押さえておくことで、自社のリスクを把握しやすくなります。
ただし、感染経路を理解するだけでは不十分です。それぞれに適した対策を講じることで、はじめて被害を防ぐことができます。具体的な対策については、ランサムウェア対策をまとめたこちらの記事で詳しく解説しています。

１：ランサムウェア感染経路ランキング（2025年）

ランサムウェアの主な感染経路は、ある程度パターン化されています。
特に近年は、特定の侵入経路に攻撃が集中する傾向が見られます。

• 1位：VPN機器
• 2位：リモートデスクトップ（RDP）
• 3位：メール

この記事では、警察庁が公開している最新の資料をもとに、2025年に確認された主な感染経路について解説します。

まずは、現状の脅威を把握し、自社のどこにリスクがあるのかを整理していきましょう。


資料：警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」

1位：VPN機器

2025年、ランサムウェアの主な感染経路として最も多く確認されているのが「VPN機器からの侵入」です。この傾向は近年継続しており、VPN機器は依然として主要な侵入口となっています。

VPN (Virtual Private Network) は、社外から安全に社内ネットワークへ接続するための仕組みですが、その特性上、外部からアクセス可能な“入口”として狙われやすいポイントでもあります。

なぜVPN機器が狙われるのか？

主な理由は次のとおりです。

• 旧型デバイスの使用（サポート終了）
• 脆弱性の未対応（パッチ未適用）
• 設定不備（認証強度不足・不要ポートの開放）

特に、メーカーサポートが終了した古いVPN機器を使い続けている場合、新たな脆弱性が発見されても対策ができず、攻撃者にとって格好の標的となります。

また、VPNはインターネットを介してアクセスできるため、攻撃者が自動スキャンによって脆弱な機器を探し出し、不正アクセスを試みるケースも多く見られます。

資料：警察庁「サイバー警察局便り　Vol.9」

2位：リモートデスクトップ（RDP）

次に多い感染経路が、リモートデスクトップ（RDP）を悪用した侵入です。
RDPは遠隔操作に便利な機能ですが、外部に公開されている場合、攻撃対象になりやすい特徴があります。

主な攻撃手法

• ブルートフォースアタック（総当たり攻撃）

  シンプルなパスワードを総当たりで試行し、不正ログインを狙う攻撃です。

• 認証情報の悪用（クレデンシャルスタッフィング／パスワードリスト攻撃）

  過去に流出したIDとパスワードの組み合わせや、使い回されている認証情報を利用して不正ログインを試みる手法です。従業員が業務用とプライベートで同じパスワードを使用している場合、リスクが高まります。

ID・パスワードのみで認証している場合、こうした攻撃によって不正ログインされるリスクが高まります。そのため、RDPを利用する場合は、多要素認証（MFA）の導入や、接続元のIPアドレスを制限するなどのアクセス制御を徹底することが重要です。

3位：メール（フィッシング・スパム・なりすまし）

メールを悪用した攻撃も、依然として主要な感染経路の一つです。
フィッシングメールやなりすましメール、スパムメール（不特定多数に送信される迷惑メール）などにより、従業員が誤ってファイルを開いたり、リンクをクリックしたりすることで感染が発生します。

代表的な手口

• フィッシングメール（偽の請求書・通知）
• 悪意のある添付ファイル（マクロ付き文書など）
• なりすましメール（取引先・社内を装う）

実在の企業や人物を模倣した巧妙なメールも多く、見た目だけで判別することが難しくなっています。

ここまで紹介したように、ランサムウェアの感染経路はある程度パターン化されています。
まずは、自社の環境に当てはまるリスクがないかを確認してみましょう。
おすすめ
【コラム】サイバー攻撃の種類一覧｜企業が知るべき代表的な手口と対策をわかりやすく解説

自社の感染リスクチェック（基礎編）

次の項目に当てはまるものがないか、確認してみてください。
□　VPNやリモートデスクトップ（RDP）が外部公開されている
□　パスワードの使い回しや簡易なパスワードを使用している
□　メールの添付ファイル対策やフィルタリングが不十分
□　OSやネットワーク機器のアップデートが適用されていない

一つでも当てはまる場合は、感染リスクが高い状態です。対策の見直しを検討しましょう。
特に、VPNやRDPの外部公開やパスワード管理の不備は、優先的に見直すべきポイントです。

それぞれの経路に対して適切な対策を講じることが、被害を防ぐための重要なポイントです。被害を防ぐための具体的な対策については、ランサムウェア対策をまとめたこちらの記事で詳しく解説しています。

２：巧妙なランサムウェア感染経路

「対策しているのに感染した」場合、多くは想定外の経路が原因です。
「１：ランサムウェア感染経路ランキング（2025年）」で紹介した主な感染経路以外にも、ランサムウェアの侵入手口は年々巧妙化しています。

ここでは、見落とされやすい代表的な感染手口を解説します。

正規サイトを悪用する「ドライブバイダウンロード」

一見すると問題のないWebサイトであっても、改ざんされている場合があります。
このようなサイトにアクセスするだけで、気づかないうちにマルウェアがダウンロードされてしまう攻撃が「ドライブバイダウンロード」です。

特に、ソフトウェアのダウンロードサイトや業界情報サイトなど、日常的に利用するサイトが悪用されるケースもあり、利用者側で完全に防ぐことは難しいのが特徴です。閲覧しただけで感染する可能性がある攻撃手法です。

広告を悪用した「マルバタイジング」

正規のWebサイトに掲載されている広告枠を悪用する攻撃も存在します。これが「マルバタイジング」です。
広告配信の仕組みを通じて、不正なコードを含む広告が表示され、クリックや閲覧をきっかけにマルウェア感染へとつながります。

信頼できるサイトでも感染リスクがある点が、この攻撃の厄介な特徴です。

外部メディアを経由した感染（USBなど）

USBメモリなどの外部メディアを介した感染も依然として存在します。
特に、出所不明のUSBメモリを安易に接続してしまうことで、組織内部にマルウェアが持ち込まれるケースがあります。

一度内部に侵入されると、ネットワーク経由で感染が拡大する可能性があるため注意が必要です。

サプライチェーンを狙った侵入

取引先や関連会社を経由して侵入する「サプライチェーン攻撃」も増加しています。
自社が直接攻撃されるのではなく、セキュリティ対策が手薄な関連企業を足がかりに侵入される手法です。

この場合、正規の通信やメールを装って侵入されるため、従来のセキュリティ対策では検知が難しいケースがあります。

見落としやすい感染経路がリスクになる理由

ここまで紹介したように、ランサムウェアの感染経路は多様化しており、「上位の経路だけ対策していれば安心」というわけではありません。
重要なのは、特定の経路に依存せず、複数の対策を組み合わせてリスクを低減することです。

ランサムウェア対策の具体策については、以下の記事で詳しく解説しています。

自社の対策状況チェック（応用編）

次の項目について、自社の状況を確認してみましょう。
□　Webサイト閲覧時のセキュリティ対策（フィルタリング等）が導入されている
□　外部メディア（USBなど）の利用ルールが整備されている
□　取引先を含めたセキュリティ対策（サプライチェーン対策）を実施している
□　操作ログを取得し、不審な挙動を確認できる体制がある
□　PCやスマートデバイスを含めたIT資産が適切に管理・把握されている

一つでも不安な項目がある場合は、対策の見直しが必要です。

ランサムウェア攻撃の流れ（全体像）

これらの感染経路は、最終的に以下のような流れで被害へとつながります。

ランサムウェアによる攻撃は、一般的に以下の流れで進行します。

• STEP１：侵入

  VPN機器やリモートデスクトップ（RDP）、メールなどを経由してネットワーク内部へ侵入

• STEP２：内部活動（潜伏・拡散）

  認証情報の窃取や権限昇格を行い、社内ネットワーク内で感染を拡大

• STEP３：実行（暗号化・脅迫）

  ファイルの暗号化や情報の窃取を行い、身代金を要求

多くの場合、侵入から暗号化までには一定の時間差があるため、この間に異常な挙動を検知し、対応できるかどうかが被害を最小限に抑える鍵となります。

３：2025年ランサムウェア被害事例

ここでは、2025年に実際に発生した最新のランサムウェア被害事例をご紹介します。
これらの事例は、VPN機器の脆弱性、設定不備、あるいはアカウント情報の悪用といった感染経路が、いかに深刻なシステム停止や大規模な情報漏洩、そしてサプライチェーン全体の混乱に直結するかを示す典型例です。

事例1. 海外からの不正アクセスによるランサムウェア感染

2025年7月、海外からの不正アクセスによってサーバーが侵害され、複数の業務システムが利用不能となりました。
こちらの事例では詳細な侵入経路は公表されていませんが、一般的に海外からの不正アクセスによる被害は、VPN機器やリモートデスクトップ（RDP）の脆弱性、または認証情報の漏えいを起点として発生するケースが多く見られます。

このような攻撃を防ぐためには、外部公開機器のアップデート管理や、多要素認証（MFA）の導入、アクセス制御の強化が重要です。

事例2. サプライチェーン企業を狙った攻撃

2025年9月、大手製造業グループがサイバー攻撃を受け、基幹システムを含む物流ネットワーク全体でシステム障害が発生しました。この基幹システムは、商品の受注・出荷・在庫管理を担い、グループ全体のサプライチェーンを支える中核です。
攻撃者は、まずグループ拠点内にあるネットワーク機器を経由して、データセンターのネットワークに侵入しました。同社は約190万件の個人情報が流出した恐れがあると発表しており、社会的にも大きな影響が生じました。
本事例では詳細な侵入経路の全容は明らかにされていませんが、サプライチェーン攻撃では、認証情報の管理不備やアクセス制御の甘さが侵入の起点となるケースが多く報告されています。特に、脆弱なパスワードや使い回しが攻撃の起点となることも少なくありません。

このような攻撃を防ぐためには、グループ企業や取引先を含めた認証強化（多要素認証の導入）やアクセス権限の最小化、ネットワークの分離といった対策が重要です。

事例3. 不正利用されたVPNアカウントからの侵入と大規模な情報搾取

2025年10月、ある企業でVPNアカウントが不正に利用され、社内ネットワークへの侵入を許してしまいました。攻撃者は正規ユーザーとしてログインした後、数日間にわたって内部で活動を行い、最終的に約300GBに及ぶ大量の情報を外部へ持ち出す被害が発生しました。
この事例の原因は、認証情報の漏えいと認証強化の不備です。パスワードの使い回しや多要素認証（MFA）の未導入により、攻撃者が正規の認証情報を使って侵入することを許してしまいました。

このような攻撃を防ぐためには、VPNやリモートアクセス環境における認証強化が不可欠です。具体的には、多要素認証（MFA）の導入や、アクセス元の接続制限、ログ監視による不審な挙動の早期検知が重要な対策となります。

これら3つの事例に共通しているのは、侵入経路となるポイントの管理不足です。
VPN機器やリモートデスクトップ（RDP）の設定強化、認証情報の適切な管理に加え、サプライチェーンを含めたアクセス状況の把握と制御が重要になります。

ランサムウェア対策では、個別の対策だけでなく、侵入経路を意識した多層防御の考え方に基づき、継続的に見直していくことが重要です。

４：ランサムウェア攻撃で企業が受ける損害

ランサムウェア攻撃の脅威は、単に「データが暗号化される」ことにとどまりません。
一度被害を受けると、企業が受ける損害は金銭的な損失にとどまらず、信用・顧客信頼・社会的評価など、企業活動の根幹を支える無形資産を失う深刻な事態へと発展します。

業務停止による損害

ランサムウェアがシステムに侵入し、データを暗号化した場合、まず発生するのが「業務の停止」です。この業務停止が、企業に最も直接的で深刻な損害をもたらします。

1. 収益の機会損失

基幹システムが停止すると、業務継続が困難になります。
たとえば、製造業では受発注システムや生産管理システムが、サービス業では予約・顧客管理などのクラウドサービスが停止し、取引や提供業務が完全に止まります。

システムが停止している間、企業は「利益を生む機会」を失い続けている状態です。この収益の機会損失こそが、身代金の額を遥かに超える、最大の金銭的損害となるケースは少なくありません。

2. 復旧にかかる費用と時間

暗号化されたシステムを復旧するには、膨大な費用と時間がかかります。
まず、フォレンジック調査費用が必要です。これは、感染経路を特定し、被害範囲を正確に把握するために専門業者に依頼する費用であり、これを行わなければ再発防止策を講じられません。

次に、システム復旧費用として、バックアップからのデータ復元、サーバーやネットワーク機器の再構築、さらには緊急的なセキュリティ対策の強化にかかる費用が発生します。
また、被害対応に当たる社内メンバーや外部専門家への人件費も無視できません。

完全復旧までに、数週間から数か月を要することも珍しくありません。結果として、長期間にわたる「復旧費用＋人件費＋逸失利益」の合計は、企業の経営体力を大きく削ることになります。

情報漏えいと信用失墜

現在のランサムウェア攻撃は、単なるデータ暗号化だけでなく、「機密情報の窃取→公開の脅し」を組み合わせた二重脅迫（ダブル・エクストーション）が主流です。
これにより、企業は金銭的損失だけでなく、社会的信用を失うという重大な打撃を受けます。

1. 顧客・取引先からの信用失墜

企業が保有する個人情報や顧客データが漏えいすれば、社会的な信用は一瞬で失われます。特にクラウド環境を利用している場合、委託先や関連会社のシステムからも情報が流出するリスクがあります。取引先からは「セキュリティ体制が不十分な企業」と見なされ、特にセキュリティ意識の高い企業との契約が解除されたり、新規取引を断られたりするケースも少なくありません。また、SNSなどを通じて情報が拡散されることで、企業のブランドイメージは大きく傷つきます。一度失った信頼を回復するには、長期間の企業努力と多額の広報・マーケティング費用が必要になることもあります。

2. 法的責任と行政指導

個人情報が漏洩した場合、被害を受けた顧客や取引先から損害賠償請求の訴訟を起こされるリスクがあります。また、個人情報保護法など関連法規に基づき、規制当局から行政指導を受ける可能性があるほか、場合によっては罰則が科されることもあります。こうした法的リスクは、企業の経営にも大きな影響を与えることがあります。

情報漏洩による信用失墜は、「将来の売上」を奪うだけでなく、企業の存続そのものを揺るがす最も深刻な損害です。このためランサムウェア対策は、単なる情報システム部門の取り組みではなく、企業の信用と事業継続を守るための経営課題として捉える必要があります。

５：ランサムウェア感染を防ぐ対策

「４：ランサムウェア攻撃で企業が受ける損害」でご紹介した通り、ランサムウェア攻撃が企業にもたらす損害は非常に大きく、場合によっては事業継続にも影響を及ぼします。
こうした深刻な被害から企業を守るには、1つの対策に頼るのではなく、「侵入経路を複数塞ぐ」という多層防御の考え方が不可欠です。

ここでは、企業が今すぐ取り組むべき、「技術的な防御」と「人的な防御」の具体的な対策について解説します。

技術的な防御（システムの隙を塞ぐ）

攻撃者は常にシステムの「隙」、すなわち脆弱性を探しています。この隙を徹底的に塞ぐことが、ランサムウェア対策の基本中の基本です。ここでは、特に重要な3つのポイントについて解説します。

OSやアプリケーションの最新化

多くのランサムウェアは、古いOSやアプリケーションに残された脆弱性（セキュリティホール）を悪用して侵入します。
そのため、PCのOSやWebブラウザ、Office系ソフトウェアに加え、特に外部からアクセス可能なVPN装置のファームウェアも、常に最新の状態に更新することが極めて重要です。メーカーが提供するパッチは、攻撃者に対して開かれたドアを閉じる「鍵」と考えることができ、これを怠ると侵入の機会を意図的に与えることになってしまいます。

おすすめ資料
【ISM CloudOne】PCの脆弱性放置は危険です！効率よくアップデートしてよりセキュアな状態に

強固なパスワード管理と多要素認証

事例で見たように、正規のVPNアカウントやリモートデスクトップ（RDP）の認証情報を悪用した侵入が増えています。この多くは、パスワードが脆弱であったり、使い回されていたりすることが原因です。すべてのシステムで複雑かつ推測されにくいパスワードを設定し、定期的な変更を義務付けることが必要です。さらに、多要素認証（MFA：Multi-Factor Authentication）を導入すれば、パスワードだけでは防げない不正ログインを防ぐことができます。特にVPNやRDPなど、外部からアクセス可能なサービスへのMFA導入は最優先です。

セキュリティソフト（EDR）の活用と監視体制

従来のアンチウイルスソフトは既知のウイルス検知に優れていますが、巧妙なランサムウェアの侵入後の動き（潜伏や偵察）には対応できません。そこでEDR（Endpoint Detection and Response）の導入が推奨されます。EDRはPCやサーバー（エンドポイント）の挙動を監視し、攻撃者がネットワーク内で横展開を始める前に不審な動きを察知し、自動で隔離することが可能です。これにより、被害の拡大を最小限に抑えることができます。

人的な防御（最後の砦＝社員の教育）

どんなに強固なシステムを構築しても、人が誤ってドアを開けてしまえば防御は崩壊します。実際、ランサムウェアの感染経路の約半分はメールなどの人的要因に関わっており、社員一人ひとりが「最後の砦」となります。

社員のセキュリティ教育の必要性

攻撃者は最新の情報を駆使し、本物の取引先や公的機関を装ったフィッシングメールを送りつけてきます。こうした攻撃に対抗するには、社員への教育が欠かせません。

教育の徹底ポイント

まず、不審なメールや添付ファイルの見分け方を、定期的な研修で周知徹底することが重要です。また、「心当たりのないURLや添付ファイルは絶対にクリックしない」という基本原則を徹底させる必要があります。さらに、会社で貸与されていないUSBメモリなどを安易にPCに接続しないなど、物理的なセキュリティ意識を高めることも重要です。

セキュリティ教育は一度行えば終わりではありません。攻撃手口は常に進化しているため、定期的な訓練（シミュレーション）や啓発活動を継続することが、企業全体の防御力を維持する上で極めて重要です。

おすすめ
【コラム】企業のサイバー攻撃対策、何から始める？中小企業がやるべき3つのセキュリティ対策を解説

６：ランサムウェアに感染した時の対処法

最も恐れている事態、すなわちランサムウェアに感染してしまった場合、企業として取るべき行動は「いかに被害の拡大を防ぎ、迅速に復旧するか」という点に集約されます。

感染直後の初動対応が、被害の大きさを決定づけます。パニックにならず、以下の手順に沿って冷静かつ迅速に対処してください。

ネットワークを遮断して感染した端末を隔離する

ランサムウェアは一度社内ネットワークに侵入すると、そのネットワークを利用して他のPCやサーバーへと感染を横展開しようとします。これを防ぐために最も重要なのが、迅速な「隔離」です。

ネットワーク遮断の目的は、この横展開を物理的に阻止し、被害の拡大を最小限に抑えることにあります。もし隔離を怠れば、数分から数時間のうちに基幹サーバーやバックアップシステムにまで感染が広がり、復旧が困難、あるいは長期の業務停止につながるなど、壊滅的な被害が発生する恐れがあります。

そのため、感染が疑われるPCやサーバーは、LANケーブルを物理的に抜く、Wi-Fiであれば接続設定をすぐにオフにするなど、直ちに社内ネットワークから切り離す対応が必要です。

バックアップを利用して復旧する

ランサムウェア感染後の復旧手段として、身代金の支払いは推奨されません。 支払ってもデータが復元される保証はなく、結果として犯罪組織の資金源となってしまうためです。
そのため、事前に取得したバックアップを利用して復旧することが基本方針となります。

復旧の進め方

隔離されたクリーンな環境を準備し、感染していないオフラインバックアップを用いて、暗号化されたシステムやファイルを復元します。
バックアップがオンライン（ネットワークに接続した状態）のままだと、バックアップデータ自体が暗号化される恐れがあるため、必ずオフライン管理されたバックアップを使用します。

感染端末の電源をすぐ切らない

感染した端末をネットワークから隔離した後も、すぐに電源を切らないことが重要です。
端末のメモリには以下の重要な解析情報が残っている可能性があります。

• 不正プロセスの実行状況
• 攻撃者が利用した通信経路
• ランサムウェアの実行ファイル
• 揮発性ログ

これらは、感染経路の特定や警察・専門家によるフォレンジック調査に欠かせない材料となります。

公式の復号ツールが公開されている場合も

警察庁や海外のセキュリティ機関では、特定のランサムウェアに対応した復号ツールを公開している場合があります。
まずは、使用可能な復号ツールが提供されていないか、公式情報を確認しましょう。

資料：警察庁「ランサムウェア（Phobos/8Base1）により暗号化されたファイルを復号！」

警察・専門家に相談する

初動対応が完了し、感染の拡大を防いだ後は、専門的な知見を持つ機関に相談することが重要です。感染経路の特定、法的な対応、再発防止策の構築など、自社だけで解決するには限界があります。

各種相談窓口

再発防止に役立つランサムウェア感染経路の確認

システム復旧と並行して、「なぜ感染してしまったのか」という感染経路を特定することは、再発防止の鍵となります。この作業は、専門家によるフォレンジック調査が不可欠です。以下の方法で感染経路を詳細に確認します。

ログの解析

感染したPCやサーバーに残されたシステムログやセキュリティソフトのログを詳細に解析します。ログ解析の目的は、不正アクセスやシステム管理者権限の不正な昇格、外部との不審な通信などを確認することです。特に、外部からのアクセス元IPアドレスやポート番号、不正に開かれたファイルなどを調べることで、VPNの脆弱性やRDPの不正利用など、侵入経路となった可能性のあるサービスを特定できます。

メールの解析

フィッシングメールやマルウェア付きのメールが侵入経路となった可能性を調査します。受信メールに含まれる添付ファイルやリンクを選別・解析し、送信元アドレスの偽装状況やメールサーバーのIPアドレス、添付ファイルに含まれるマルウェアの種類などを確認します。これにより、感染経路を特定し、社員教育の重点ポイントを明確にできます。

外部メディアの解析

USBメモリや外付けHDDなどの物理的な持ち込みによる感染経路を調査します。感染が疑われる端末に接続されている外部メディアに保存されているファイルを解析し、ランサムウェアのファイルや実行の形跡を確認します。これにより、組織内部からの脅威であったかどうかを判断できます。

まとめ：ランサムウェア被害にあわないために

この記事を通じて、2025年におけるランサムウェアの主要な感染経路がVPN機器やリモートアクセスに集中していること、そして「二重脅迫」を伴う攻撃がいかに企業存続の危機に直結するか、具体的な事例を通してご理解いただけたかと存じます。最新の攻撃トレンドを踏まえ、「侵入されることを前提」に、被害を最小限に抑える「多層防御」の体制を築くことが大切です。

今すぐ取り組むべき最重要アクション

ランサムウェア被害の脅威から脱却するために、特に優先度を高く実施すべきアクションを再確認しましょう。

万が一の際の備えが、企業の未来を守る

そして、万が一感染が確認された場合は、迅速なネットワークからの隔離と、警察・専門家への速やかな相談、そしてバックアップからの復旧という冷静な初動が求められます。特に、復旧後のフォレンジック調査で感染経路を正確に特定することが、二度と同じ被害に遭わないための重要なポイントとなります。

ランサムウェア対策では、感染経路を理解するだけでなく、それぞれに対する具体的な対策を実施することが不可欠です。
特に、VPNやリモートデスクトップ（RDP）、メールといった主要な侵入経路に対する対策を優先的に見直すことで、感染リスクを大きく低減できます。
具体的な対策については、ランサムウェア対策をまとめた記事もあわせてご確認ください。
おすすめ
【コラム】ランサムウェア対策とは？中小企業が実施すべき6つの対策と初動対応を解説

クオリティソフト株式会社
コラム編集部

企業のIT資産管理とセキュリティを支えるパートナーとして、現場の知見に基づき、情報システム管理者の皆様に役立つ最新情報と課題解決のヒントをお届けします。