2026年10月28日、名古屋市の黒金化成株式会社は、2025年10月に受けたランサムウェア攻撃により、同社が管理する個人情報の一部が漏えいした可能性があると公表しました。
公表文の最後には、同社が実施した再発への対策が並んでいます。その中にあるのが「ユーザーIDならびにパスワードの全面的な変更および多要素認証の導入」です。この一文は、ランサムウェア被害の公表文にとても多く登場します。この記事では公表内容を整理したうえで、中小企業が被害の前に確認できることをまとめます。
何が公表されたか（黒金化成の公表から）
- 2025年10月16日：複数の事業拠点で、社内ネットワークとインターネットに接続できなくなりました。外部の専門家が、一部のサーバーに海外からの不正アクセスとみられる痕跡を見つけ、社内ネットワークとインターネットを遮断しました。業務システムやメールが使えなくなった一方で、受注製品の生産・出荷は維持したとしています。
- 2025年10月31日（第2報）：調査の途中経過として、VPNを経由して不正アクセスが行われた可能性が高いと説明しました。
- 2026年10月28日：取引先関係者、役員・従業員、求人応募者の氏名・住所・電話番号・メールアドレス・役職名・部署名が漏えいした可能性があると公表しました（特定個人情報は含まれず、二次被害の報告はないとしています）。
同社は再発への対策として、PC・サーバーの初期化、IDとパスワードの全面的な変更と多要素認証の導入、PC・Active Directoryサーバー・ファイアウォールの監視サービスの導入、データの暗号化保管とバックアップの強化などを挙げています。なお、侵入にどのアカウントや機器の弱点が使われたかは公表されていません。この記事でも、それを推測することはしません。
被害のあとで入れる対策の筆頭が「多要素認証」
国内のランサムウェア被害の公表文を見ていくと、再発への対策として「パスワードの変更」と「多要素認証の導入」が並んでいることがとても多いです。
理由ははっきりしています。VPNなどから入った攻撃者は、社内のPCやサーバーへIDとパスワードでログインしながら広がっていくからです。被害の調査を終えた会社が「パスワードだけでは足りなかった」と分かり、2つ目の鍵を足しているのです。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る警察庁の令和8年（2026年）上半期の統計でも、ランサムウェア被害のうち侵入経路が分かった36件中、18件がVPN機器、9件がリモートデスクトップからでした（警察庁統計で見る侵入経路）。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
VPNの先は「ログイン」で広がる
VPNから入られた後の流れを、段階に分けると次のようになります。
- 入口：VPNを通って、社外から社内のネットワークに入る
- 広がる：社内のPCやファイルサーバー・業務サーバーに、IDとパスワードでログインする
- 被害：情報を持ち出し、サーバーのデータを暗号化する
入口がVPN機器の弱点を突かれる形だった場合、①はログインの2要素認証では止められません。修正プログラムの適用や、使っていない接続口を閉じることが対策です。一方、②の段階では、攻撃者は社内のPC・サーバーにログインしなければ先へ進めません。ここに2つ目の鍵があれば、盗んだパスワードだけでは社内を渡り歩けません。
入口だけを固めても足りない理由
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
被害の前に確認したい3点
- VPNやリモートデスクトップに、パスワードだけで入れる状態になっていないか
VPN機器の修正プログラムが当たっているか、使っていない接続口が残っていないかも併せて確認します（VPNの脆弱性）。 - 社内のPCやWindows Serverに、パスワードだけでログインできないか
VPNを通られた先で止められるかどうかは、ここで決まります（Windows OSログインの2要素認証／Windows Serverの特権アカウント）。 - 退職者や使っていないアカウント、使い回しのパスワードが残っていないか
同社も「IDとパスワードの全面的な変更」を対策に挙げています。複数のサーバーで同じ管理者パスワードを使っていると、1つ盗まれるだけで社内全体に届きます。
当てはまるものがあれば、そこが「パスワードだけで先へ進める」場所です。一覧にしておくと、どこから手を付けるかを決めやすくなります。
自社なら普段の管理のどこで気づけるか
同社は再発への対策に、PC・サーバーの監視も挙げています。中小企業でも、全PC・サーバーの状態とログイン記録を普段から1か所で見られるようにしておくと、次のような場面で手間が減ります。
- 夜間・休日：ランサムウェアの前兆（偵察・パスワードの窃取・防御の無効化・バックアップの破壊）を暗号化の前に検知すると、担当者のLINEに届き、スマホからその場でネットワーク分離ができます。何もない日は見に行かなくて済みます。
- 更新漏れ：OS・ブラウザ・Officeの更新漏れが深刻な順に並ぶので、どのPCから直すかに迷いません。
- 退職者・使っていないアカウント：席まで行かずにスマホの登録を外し、PCのローカルアカウントを止められます。
- 取引先への説明：「御社は大丈夫か」と聞かれたら、ログイン記録や台帳をCSVで出して答えられます。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
まとめ
- 黒金化成の事案では、侵入はVPN経由の可能性が高いとされ、同社は対策として多要素認証を導入しました。
- ランサムウェアの被害を受けた会社の多くが、あとから多要素認証を入れています。
- VPNの先にある社内のPC・サーバーのログインがパスワードだけかどうかを、被害の前に確認しておくことが大切です。社内のWi-Fiも同じ入口です。
- 全PC・サーバーの状態とログイン記録を1画面で見られれば、見回りの手間が減り、前兆があるときだけLINEに届くので担当者が安心して休めます（アプリップリキー）。さらにログインを本人のスマホを鍵にしたワンタッチログインにすると、社員の手間をほとんど増やさずに2要素認証にできます（PC版・サーバー版）。
出典
- 黒金化成株式会社「ランサムウェア攻撃に伴う個人情報の漏えいまたはそのおそれについて（本人通知の代替措置）」（2026年10月28日）
- 黒金化成株式会社「当社サーバーへの不正アクセスに関するお知らせ（第2報）」（2025年10月31日）
- 黒金化成株式会社「当社サーバーへの不正アクセスに関するお知らせ」（2025年10月24日）
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年）
記事中の事実関係は、上記の公表内容（2026年11月12日時点で確認）に基づきます。
いまの運用をチェックしてみる
VPNの先で、PCや社内サーバーにパスワードだけで入れる状態が残っていないか。applippliの無料チェックでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。