【IPA・警察庁データ】ランサムウェアとは｜感染経路の87.0%がVPN・リモートデスクトップ経由（2025年）と中小企業がまず見る点検箇所

「ランサムウェアとは何ですか」と社内で聞かれて、説明の途中で手が止まった経験はありませんか。ひとり情シスや新人担当者からは、こんな声をよく聞きます。

• 用語は知っているが、仕組みまでは説明できない
• 自社のような規模でも本当に狙われるのか判断できない
• 経営層に上申したいが、根拠になる材料がない

先に結論です。ランサムウェアは、社内のデータを暗号化したり盗み出したりして、その解除や非公開と引き換えに金銭を要求する攻撃の手段です。IPA「情報セキュリティ10大脅威 2026」では、組織向けの第1位に選ばれています。

そして侵入口は年々偏っています。IPAが警察庁の統計をまとめたデータでは、2025年時点で87.0%がVPN機器とリモートデスクトップ経由でした。まず点検すべき場所は、この数字がはっきり示しています。

---

ランサムウェアはデータを人質に金銭を要求する攻撃で、2026年も組織の脅威の1位

ランサムウェアとは、端末やサーバー内のデータを暗号化し、復旧と引き換えに金銭を要求するプログラムです。IPA「情報セキュリティ10大脅威 2026」では、この攻撃が組織向けの第1位に選ばれました。初選出は2016年で、11年連続の登場になります。

ランサムウェアは手段の名前で、脅迫全体はランサム攻撃と呼ばれる

押さえておきたいのは、ランサムウェアが手段の名前だという点です。IPAは、データの窃取や暗号化、暴露予告を取引材料にして金銭を要求する攻撃全体を「ランサム攻撃」と整理しています。

この違いが効いてくるのは、暗号化を伴わない手口を説明するときでしょう。盗んだデータの公開予告だけで脅す「ノーウェアランサム」も、同じ第1位の脅威に含まれます。「暗号化されていないから無事」とは言えないわけです。

2016年の初選出から11年連続で10大脅威に選ばれている

ランサム攻撃は一過性の流行ではありません。10大脅威（組織編）には2016年に初選出され、2026年版で11年連続11回目の選出となりました。

上位の顔ぶれも動いていません。1位のランサム攻撃と2位の「サプライチェーンや委託先を狙った攻撃」が並ぶのは、2026年版で4年連続です。自社が直接狙われる経路と、委託先を経由して被害が及ぶ経路の両方を想定してください。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

攻撃は暗号化だけで終わらず、二重脅迫とRaaSによる分業に広がっている

「バックアップさえあれば元に戻せる」という整理では足りません。攻撃者は暗号化以外の圧力も同時にかけ、攻撃の道具そのものが売買されているためです。

暗号化に情報公開・DDoS・暴露予告を重ねる多重脅迫が確認されている

多重脅迫は、複数の圧力を組み合わせて支払いを迫る手口です。IPAの解説書では、次のような組み合わせが確認されています。

• データを暗号化し、復号と引き換えに金銭を要求する
• 盗み出した情報を公開すると予告する
• DDoS攻撃を仕掛けると予告する
• 被害に遭った事実そのものを取引先や顧客に暴露すると予告する

ここで重要なのは、バックアップから復旧できても、盗まれた情報の公開は止められません。侵入を防ぐ備えと、復旧の備えは別々に用意しましょう。

RaaSの存在で攻撃者側の参入障壁が下がっている

RaaS（Ransomware as a Service）は、ランサムウェアを道具として提供する仕組みを指します。IPAの解説書によると、ダークウェブでは攻撃の代行や、侵入に使う認証情報の提供まで行われているとのことです。

つまり、攻撃者自身が高度な技術を持つ必要はありません。狙われる基準は企業の規模ではなく、侵入のしやすさだと考えてください。中小企業も無関係ではいられません。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

感染経路は2025年時点で87.0%がVPN機器とリモートデスクトップに集中している

対策の着手点を決めるなら、感染経路のデータが近道です。IPAの解説書には、感染経路の内訳が掲載されています（原データは警察庁「サイバー空間をめぐる脅威の情勢等」）。

VPN機器とリモートデスクトップ経由の合計は、2025年に87.0%に達しました。2022年の80.4%から、4年続けて上昇しました。

2022年の80.4%から2025年の87.0%まで4年連続で上昇している

まず事実を確認します。

調査年	VPN機器＋リモートデスクトップ経由の合計
2022年	80.4%
2023年	81.7%
2024年	86.0%
2025年	87.0%

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（原データ: 警察庁「サイバー空間をめぐる脅威の情勢等」）。原資料にはVPN機器単体・リモートデスクトップ単体の内訳も掲載されており、IPAはこのうちVPN機器経由が最も多いと説明しています。本記事では経年で比較できる合計値のみを扱います。

4年間の上昇幅は6.6ポイントです。うち2023年から2024年の1年だけで4.3ポイント動いており、この時期に侵入口の偏りが一段進みました。

メールやWeb経由に残されているのは13.0%で、点検の優先順位が変わる

この数値から読み取れるのは、対策の優先順位を組み替える余地があることです。2025年に87.0%を占めるということは、メール添付やWebサイト改ざんを含む残りの経路は13.0%しかありません。

従業員向けの訓練を強化しても、それだけでカバーできる範囲は限られます。工数が限られているなら、社外から接続できる機器の棚卸しが先でしょう。

この割合は感染経路を特定できた被害の構成比である

ただし、読み方には注意が必要です。

それでも、自社の点検箇所を決める材料としては十分に使えます。特定できた経路の大半がリモートアクセス経由である以上、そこが手薄なら優先して塞ぐ判断は成り立つからです。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（原データ: 警察庁「サイバー空間をめぐる脅威の情勢等」）

---

企業のセキュリティ被害経験率は2025年で48.1%まで上がっている

被害がどのくらいの企業に及んでいるかも見ておきましょう。総務省の通信利用動向調査によると、何らかのセキュリティ被害を受けた企業の割合は2025年（令和7年）調査で48.1%でした。およそ半数という水準です。

この調査の対象は、常用雇用者100人以上でインターネットを利用している企業です。従業者100人未満の企業は含まれていません。

2024年の45.9%から2025年は48.1%に上昇している

推移も確認しておきます。同じ調査の2024年（令和6年）調査では45.9%で、翌年までに2.2ポイント上昇しました。数字の上では、被害を経験した企業は緩やかに増えました。

ただし、2つの値の出どころは別々です。2024年は報告書本文、2025年は結果概要の資料から取っています。

この48.1%はランサムウェア限定の数値ではない

この数値から読み取れるのは、サイバー攻撃全般の被害経験が広がっている傾向までです。調査票にランサムウェア単体の選択肢はなく、被害は「ウイルスを発見または感染」「不正アクセス」などに吸収されているためです。

したがって、「10大脅威1位」と「被害率48.1%」をつなげて語ってはいけません。前者は選考会による脅威の順位づけ、後者は企業の自己申告による経験率で、測っている対象が違います。11年連続の選出も、被害量が増え続けている証拠ではないわけです。

出典: 総務省「令和7年通信利用動向調査 結果概要（別紙2）」／総務省「令和6年通信利用動向調査報告書」／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

企業規模別のデータは中小企業の安全性を示すものではない

「うちは規模が小さいから狙われない」への回答も用意しておきましょう。総務省の2024年（令和6年）調査には規模による大きな差がありますが、その差は被害の起きやすさとイコールではありません。

従業者100〜299人は44.2%、2,000人以上は69.5%で25.3ポイントの差がある

まず規模別の数値です。2024年（令和6年）調査で何らかのセキュリティ被害を受けた割合は、従業者100〜299人で44.2%、2,000人以上で69.5%です。両者の差は25.3ポイントあります。

全体値の45.9%も、回答企業に100〜299人規模が1,634社と多く含まれる構成の影響を受けています。

建設業57.5%・情報通信業53.3%は、いずれも全体の45.9%を上回る

業種別も見ておきます。一次資料から確認できた2024年（令和6年）調査の値は次のとおりです。

産業分類（2024年調査）	何らかのセキュリティ被害を受けた企業の割合
建設業	57.5%
情報通信業	53.3%

出典: 総務省「令和6年通信利用動向調査報告書」

両者の開きは4.2ポイントで、いずれも全体の45.9%を上回っています。ただしこの調査の産業分類は2つではなく、ここに挙げていない業種も集計されています。

業種間の差が規模間の差より大きいか小さいかは、この2つの値だけでは判断できません。自社の業種の数値を使いたい場合は、報告書の図表5-2を直接あたってください。

規模による差には被害を検知・申告できる体制の差が含まれている

ここで読み方の注意です。25.3ポイントの差を「大企業のほうが被害に遭いやすい」とだけ読むのは早計でしょう。大企業ほど監視の仕組みや報告ルートが整い、起きた事象を被害として認識・回答できるためです。

一方、拠点や取引先が多く接点が広いという説明も同じデータで成り立つため、どちらが主因かは判定できません。

出典: 総務省「令和6年通信利用動向調査報告書」

---

実際の被害では業務停止と情報流出が同時に起き、委託先経由でも波及している

被害は、データが開けなくなるだけでは終わりません。IPAの解説書に取り上げられた2025年の国内事例では、業務停止と情報流出への対応が同時に発生しています。

業務停止と個人情報流出が同時に発生し、復旧に数か月かかった事例がある

2025年には、業務停止を伴う被害が相次ぎました。ある食品グループでは2025年9月に受注・出荷の業務が止まり、個人情報を含む情報が流出した可能性も公表されています。通販事業者の事例では2025年10月に業務が停止し、主要サービスの復旧は年をまたぎました。

注目したいのは侵入の起点です。この通販事業者では、多要素認証が適用されていない認証情報の窃取が起点とされています。復旧計画より先に、認証の設定を確認してください。

委託先が被害を受けると委託元にも影響が及ぶ

自社の対策だけでは、リスクは閉じません。2025年11月には、システム開発を担う企業が被害を受け、その影響が委託元にも及んだ事例が報告されています。

この構図は、10大脅威で4年連続2位の「サプライチェーンや委託先を狙った攻撃」と重なります。外部に預けている業務とデータの一覧を持ち、委託先が止まったときにどこまで影響するかを確認しておきましょう。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

身代金は原則として支払わないというのがIPAの見解

「払えば早く復旧できるのでは」という声は、被害が起きると必ず出ます。判断基準は公的機関の見解に置いてください。IPAは、原則として身代金を支払わずに復旧することを明記しています。

支払っても復元と流出防止の保証はなく、再び標的にされるリスクがある

身代金を支払っても、データが元どおりに復元される保証はありません。盗まれた情報が公開されない保証もない、というのがIPAの説明です。

見過ごせないのは、支払った後のリスクでしょう。支払いに応じた組織として攻撃者の間で情報が共有され、再び標的にされる可能性が指摘されています。復旧はバックアップと再構築で行う前提を、平時のうちに決めておいてください。

日本ではサイバー保険の対象外で、海外では支払いの法規制も始まっている

金銭面の扱いも押さえておきましょう。IPAの解説書は、日本ではランサムウェアの被害で支払った身代金がサイバー保険の対象にならない点に注意するよう促しています。補償内容は保険会社やプランで異なるため、契約前に範囲を確認してください。

海外では規制も動いています。オーストラリアは2025年5月30日、一定規模以上の企業や重要インフラ事業者を対象に、身代金を支払った場合の政府への報告を義務付ける制度を施行しました。

英国は2025年7月22日、公的機関と重要インフラ事業者による身代金支払いを禁止する方針を公表しました。ただしこれは意見公募への回答として方針を示したもので、禁止を定める法律は本記事の執筆時点（2026年8月）では成立していません。支払いを前提にした復旧計画は成り立たないと考えてください。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］／オーストラリア内務省「Mandatory ransomware and cyber extortion payment reporting is active from 30 May 2025」／英国政府「UK to lead crackdown on cyber criminals with ransomware measures」

---

ひとり情シスが最初に着手すべきはVPN機器とリモートデスクトップの点検

対策の情報は多いものの、ひとり情シスがすべてを同時に進めるのは現実的ではありません。優先順位は感染経路のデータから決めるのが合理的でしょう。2025年時点で87.0%はVPN機器とリモートデスクトップ経由でした。

外部から接続できる機器の棚卸し・パッチ適用・多要素認証を先に固める

最初の作業は、外部から接続できる機器と経路の洗い出しです。この経路は2024年で86.0%、2025年で87.0%と大半を占め続けており、背景にはリモートワークの定着があります。IPAの解説書も、リモートワーク環境を狙った攻撃を独立した脅威として挙げました。

前述の通販事業者の事例のように、認証情報は漏れる前提で多要素認証を重ねることが有効です。

バックアップは改ざん耐性・取得頻度の設計・リストア訓練までがセットになる

バックアップは「取っているだけ」では対策になりません。攻撃者は、バックアップ自体の暗号化や削除も狙うためです。

IPAの解説書が挙げるのは、WORM機能などによる改ざん耐性の確保と、復旧訓練の実施です。あわせて、取得のタイミングと頻度を検討したうえで運用することが求められています。実際に戻せるか試していないバックアップは、有効かどうか分からない状態と同じです。復旧できても情報公開は止められない点も、あわせて思い出してください。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（感染経路の原データ: 警察庁「サイバー空間をめぐる脅威の情勢等」）

---

中小企業のランサムウェア被害率を示す公的統計は存在しない

稟議のために「中小企業の何%が被害に遭ったか」を探した人も多いはずです。結論として、その数値は現時点の公的統計から組み立てられません。

規模別の統計はランサムウェアを区別せず、ランサムウェアの統計は順位と構成比しかない

理由は、統計の作られ方にあります。総務省の調査は従業者100〜299人で44.2%、2,000人以上で69.5%と規模別ですが、ランサムウェアに限定した数値ではありません。

さらに、この調査は常用雇用者100人以上の企業だけを対象としています。中小企業基本法でいう中小企業の多くは、そもそも調査対象に入っていません。

一方、ランサムウェアを名指しするIPAのデータは順位と構成比だけです。2026年の第1位、11年連続の選出、そして2022年80.4%から2025年87.0%という感染経路の内訳です。必要な情報が、きれいに分かれてしまっているわけです。

なお、警察庁の資料には企業規模別の被害報告件数が掲載されているとされます。本記事では一次資料で確認できた数値のみを扱うため、そちらは掲載していません。

経営層への説明は脅威の位置づけと感染経路の2点で組み立てる

被害率が使えないなら、論法を変えましょう。「他社も被害に遭っているから」ではなく、「自社の設備が主要な侵入口の類型に当てはまるから」という組み立てにします。

材料は2つあります。専門家の選考で2026年の第1位・11年連続の選出という脅威の位置づけと、2025年に87.0%という感染経路の構成比です。いずれも一次資料で裏づけられます。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］／総務省「令和6年通信利用動向調査報告書」

---

まとめ

ランサムウェアとは何かを、一次データに沿って整理してきました。押さえておきたい点は次の3つです。

• ランサム攻撃はIPAの10大脅威（組織編）で2026年の第1位です。一時的な流行ではありません
• 感染経路は2025年時点で87.0%がVPN機器とリモートデスクトップに集中しています
• 企業規模別のデータは中小企業の安全性を示しません。2,000人以上で69.5%という値には、被害を検知・申告できる体制の差も含まれます

対策の情報は膨大でも、着手する順番はデータが示してくれています。まずは自社のVPN機器とリモートデスクトップについて、公開状況・更新プログラム・多要素認証の3点を確認するところから始めてみてください。

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］／総務省「令和6年通信利用動向調査報告書」

---

新人・ひとり情シスの学習は情シスカレッジで

この記事で挙げたVPN機器の点検や多要素認証、バックアップ運用は、担当者個人の知識に左右されやすい領域です。

情シスカレッジは、新人・ひとり情シスのためのマイクロラーニングLMSです。業務の合間に少しずつ学べます。

導入は5名からです。請求書払いに対応し、初期設定は約10分で完了します。

情シスカレッジのサービス詳細を見る

---

※出典

• IPA「情報セキュリティ10大脅威 2026」解説書［組織編］
• 総務省「令和6年 通信利用動向調査報告書」
• 総務省「令和7年 通信利用動向調査 結果概要（別紙2）」
• 警察庁「サイバー空間をめぐる脅威の情勢等」
• オーストラリア内務省「FACTSHEET: Mandatory ransomware and cyber extortion payment reporting is active from 30 May 2025」
• 英国政府「UK to lead crackdown on cyber criminals with ransomware measures」