「うちのような小さな会社は関係ない」とよく言われます。警察庁の統計を見ると、被害の報告は大企業より中小企業のほうが多く、入口もほぼ決まっています。入口が決まっているなら、確かめる場所も絞れます。
警察庁の2026年上半期の統計で被害の規模と侵入経路を整理し、10月に相次いだ被害もあわせて、中小企業が確認すべきことをまとめます。
2026年11月4日時点の情報です（警察庁の統計は2026年9月10日公表の令和8年上半期分。出典は2026年11月12日に再確認）。
2026年上半期のランサムウェア被害は123件うち79件が中小企業
まず、誰が被害を受けているのかを数字で見ます。
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年1〜6月の報告は123件。2020年下半期に半期ごとの集計を始めてから最多です。
| 規模 | 件数 | 割合 |
|---|---|---|
| 中小企業 | 79件 | 約64% |
| 大企業 | 31件 | 約25% |
| 団体等 | 13件 | 約11% |
業種も製造業（37件）、卸売・小売業（15件）、情報通信業・不動産業・医療福祉（各9件）、建設業（8件）と幅広く、特定の業種だけが狙われているわけではありません。
攻撃者は規模や業種を選んでいるのではなく、入りやすい入口を探しています。
侵入経路は4件に3件がVPN機器とリモートデスクトップ
次に、どこから入られたのかを見ます。同じ統計で侵入経路が分かった36件の内訳です。
| 侵入経路 | 2026年上半期 | 過去5年（2021〜2025年）合計 |
|---|---|---|
| VPN機器からの侵入 | 18件（50%） | 293件（約60%） |
| リモートデスクトップからの侵入 | 9件（25%） | 105件（約22%） |
| 不審メールやその添付ファイル | — | 24件（約5%） |
| その他 | 9件（25%） | 63件（約13%） |
※ 2026年上半期の内訳は、経路が不明・未回答のものを除いた36件。2026年上半期の統計表には「不審メール」の区分がありません。
ポイント
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
入口は違っても入った後はPC・サーバーへのログインで広がる
どちらの入口から入っても、その後の動きは同じです。統計の項目にはありませんが、社内のWi-Fiも同じ入口です。Wi-Fiルーターの脆弱性や、退職者・来訪者に知られたままの共有パスワードから社内のネットワークに入られても、その先は同じ流れになります。
入られた後に広がる流れ
- 1
社内のPC・サーバーにログイン
VPN・リモートデスクトップ・Wi-Fiの先
- 2
管理者のパスワードを探す
使い回しや保存された認証情報
- 3
次のPC・サーバーへログイン
繰り返して暗号化の範囲を広げる
2026年10月20日の米CISA・FBIなどによる「SafePay」の注意喚起でも、入った後は正規のアカウントでリモートデスクトップを使って広がると説明されています（SafePayランサムウェアの侵入手口）。国内の事例でも同じ流れが確認されています。
- フェース — VPN機器から夜間に侵入、社内のサーバーとPCが操作された（出典：フェースグループの公表）
- 大阪急性期・総合医療センター — 委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開（出典：同センターの調査報告書 概要版）
- 八王子学園 — リモートデスクトップでサーバーにログイン（出典：八王子学園の公表（第2報））
- デジタル庁GSS — VPN機器の脆弱性から侵入、保守運用担当者のアカウントでサーバー上のファイルにアクセス（出典：デジタル庁の公表）
- アスクル — 多要素認証のない委託先の管理者アカウントから侵入（出典：IT Leadersの報道）
VPNの多要素認証だけでは足りない理由
ログインの2要素認証は、リモートデスクトップからの侵入には入口から効き、VPN機器や不審メールからの侵入には広がる段階で効きます。VPN機器の脆弱性を突かれる入口そのものは止められません。経路別の整理は2要素認証が効く場面・効かない場面にまとめています。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
2026年10月も被害の公表が続いている
統計の後も、大きな被害の公表は続いています。
- 大阪公立大学 — 10月2日未明にシステム障害が発生。報道によればランサムウェアによる攻撃で、対面授業は10月2日から休講となり、9日に再開。その後、NECの再委託先が持つ正規のアカウントで入られたと公表（原因の解説。出典：共同通信配信の報道／NECのお知らせ）
- IDCFクラウド — 10月7日に一部システムへの不正アクセスを公表（出典：IDCフロンティアの公表）
ほかの事案は調査中で、侵入経路は公表されていません。
ポイント
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
入口と、その先のログインを順に確かめます。
- 社外からつなぐ仕組み（VPN・リモートデスクトップ）をすべて把握しているか。保守業者用に開けた経路が残っていないか（VPN脆弱性対策）
- VPN機器の更新が止まっていないか
- VPNの先のPC・サーバーのログインが、パスワードだけで通らないか（Windows OSログインの二要素認証）
- 複数のPC・サーバーで同じ管理者パスワードを使っていないか（ローカル管理者パスワードの管理）
- 夜間・休日のログインに気づける状態か（Windowsのログイン履歴の確認方法）
この確認を全PC・サーバーについて1台ずつ行うのは手間がかかります。全PC・サーバーのログイン記録と状態を1画面で見られれば、夜間・休日のログインはその画面で絞り込め、ランサムウェアの前兆は暗号化の前に担当者のLINEに届き、外出先からでもその場で止められます（アプリップリキー）。さらに、VPN・社内Wi-Fiの先のPC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。
同じ統計では、復旧費用が1,000万円以上だった例が21件あります（回答のあった35件中）。費用の内訳は不正アクセスの被害額で整理しています。
普段の管理が楽になると何が変わるか
上の確認を、年に一度の点検ではなく普段の管理に組み込めると、担当者の負担が変わります。PC・サーバーのOS・ブラウザ・Officeの更新漏れは、深刻な順に並んだ一覧で見られるので、どこから手を付けるか迷いません。夜間・休日は、異変があるときだけLINEに届くので、何もない日は見に行かずに安心して休めます。取引先や経営層から「うちは大丈夫か」と聞かれたときも、ログイン記録や更新状況の画面・CSVをそのまま見せて説明できます。
出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月10日公表。統計データ：ランサムウェア被害報告件数、被害企業・団体等の規模、業種、感染経路、復旧費用）
- CISA・FBIほか「#StopRansomware: SafePay Ransomware（AA26-293A）」（2026年10月20日）
- 熊本日日新聞（共同通信配信）「大阪公立大が対面授業再開 ランサム攻撃で障害続く」
- ScanNetSecurity「2026年10月のランサムウェア」
記事中の数値と事実関係は、上記の公表内容・報道（2026年10月26日時点で確認）に基づきます。割合は当社で算出しました。
いまの運用を棚卸ししてみる
VPNやリモートデスクトップの先にあるPC・サーバーのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。