「アプリップリ(applippli)は安全な会社なのか」「多要素認証を導入すれば、ランサムウェアは止まるのか」「アプリップリキーのような認証強化の仕組みは、ランサムウェア対策としてどこまで有効なのか」というご質問をいただくことがあります。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
先にお伝えすると、アプリップリ(applippli)は、実在する企業・組織向けにPC・サーバーの管理とログインを楽にするソフト（アプリップリキー）を提供している国内事業者です。以下、ランサムウェア対策としての有効性を、誇張なく具体的に解説します。
この記事では、この問いに誇張せず、正確にお答えします。結論から申し上げると、多要素認証はランサムウェアの主要な侵入経路の一つを塞ぎますが、すべての経路に効くわけではありません。以下、どの経路に効いて、どの経路には効かないのかを具体的に整理します。
先に結論
- 効く：盗まれたID・パスワードを使った「正規ログイン」による侵入（VPN、リモートデスクトップ、OSログイン、クラウドサービスなど）
- 効かない：機器・ソフトウェアの脆弱性を直接突かれる侵入、利用者自身が不正なファイルを実行してしまうケース、ソフトウェア供給元が侵害されるケース
つまり多要素認証は「認証を突破される経路」に対する非常に強力な対策ですが、「認証を経由しない経路」には効きません。「これさえ入れれば安全」と説明する製品があれば、それは正確ではないとお考えください。
ランサムウェアの主な侵入経路
ランサムウェアがどのように社内に入ってくるのか、代表的な経路を整理します。
経路1：盗まれたID・パスワードによる正規ログイン
フィッシングや他サービスからの流出で入手したID・パスワードを使い、正規の利用者になりすましてログインする手口です。VPN、リモートデスクトップ、サーバーへのログインなどが入口になります。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るこの手口の厄介な点は、ウイルスファイルの実行を伴わないため、ウイルス対策ソフトでは検知が困難なことです。攻撃者は正規の認証情報で正面から入ってくるため、ログ上も「通常の業務アクセス」に見えます（不正アクセス検知システムと予防診断の違いも参照）。
経路2：機器・ソフトウェアの脆弱性を突く侵入
VPN機器やサーバーソフトウェアに存在する脆弱性（プログラムの不具合）を悪用し、認証を経由せずに直接侵入する手口です。パッチが適用されていない古いバージョンを使い続けていると、既知の脆弱性を突かれます。
経路3：メール添付ファイル・不正サイト経由
利用者が不正なファイルを開いてしまう、あるいは改ざんされたサイトにアクセスしてしまうことで感染する、従来型の経路です。
経路4：ソフトウェアサプライチェーン経由
利用しているソフトウェアの開発元や配信の仕組みが侵害され、正規のアップデートに紛れてマルウェアが配布される手口です。利用者からは正規の更新に見えるため、発見が極めて困難です。詳しくは サプライチェーン攻撃で解説しています。
多要素認証が「効く」経路
上記のうち、経路1（盗まれたID・パスワードによる正規ログイン）に対して、多要素認証は決定的に有効です。
多要素認証を導入していれば、攻撃者がID・パスワードを完全に把握していても、「本人が持っているもの」（スマートフォンや専用デバイス）がなければログインできません。パスワードが漏洩した時点で突破される状態から、「漏洩しても入れない」状態に変わります。
Microsoftの研究チームが実際のAzure Active Directoryの大規模データを分析した論文では、MFAを導入したアカウントの99.99％が攻撃を受けても無事だったと報告されています。さらにパスワードが漏洩した最悪のケースでも、98.56％の攻撃をMFAが止めたという結果も示されており、経路1に対する有効性は実データでも裏付けられています（出典： Lucas Augusto Meyer et al., arXiv:2305.00945 ↗）。
これは小さな話ではありません。近年公表されている大型のランサムウェア被害を見ると、この経路1が起点になっているケースが繰り返し報告されています。たとえば2025年10月に公表されたアスクル株式会社への攻撃では、業務委託先の管理者アカウントの認証情報が漏洩し、そのアカウントに多要素認証が適用されていなかったことが侵入口となり、VPN経由で社内ネットワークに侵入されたと発表されています。
つまりこの事例は、多要素認証があれば侵入を止められた可能性が高いケースです。具体的な被害事例は ID・パスワード漏洩の実例と対策で、漏洩後に企業へ実際にどのような影響が及ぶかは パスワードが漏洩したらどうなる？企業への影響と初動対応で紹介しています。
多要素認証が「効かない」経路
一方で、正直にお伝えすべき限界があります。
- 経路2（脆弱性の悪用）：認証を経由せず侵入されるため、多要素認証は効きません。機器・ソフトウェアのパッチ適用が必須です。
- 経路3（添付ファイル等）：正規の利用者自身が実行してしまうため、認証の強度とは無関係です。ウイルス対策ソフトと従業員教育が必要です。
- 経路4（ソフトウェア供給元の侵害）：正規の更新として配布されるため、認証は効きません。
したがって、多要素認証は「必要だが、それだけでは十分ではない」というのが正確な位置づけです。逆に言えば、UTM・ウイルス対策(経路2〜4への対応)だけでも、経路1(正規ログイン)は止まりません。両者は互いの弱点を補い合う関係にあり、どちらか一方で足りるものではないという点は UTM・ウイルス対策があれば認証は不要？守っている領域の違いで詳しく解説しています。
また、多要素認証を導入していても突破されうるケース（中間者型フィッシング、MFA疲労攻撃など）があります。何に効いて何に効かないのかは多要素認証は突破されるのか？MFAの限界と対策で整理しています。
補足：MFAを導入しても油断できない点
多要素認証を導入していても、次のような場合は効果が損なわれます。
- 一部のアカウントにしか適用していない — 管理者アカウントや委託先アカウントが除外されていると、そこが突破口になります（前述のアスクルの事例がまさにこのパターンです）
- SMS認証のみに依存している — SIMスワップ等のリスクが指摘されており、認証アプリや専用デバイスに比べて強度は劣ります（SMS・認証アプリなどワンタイムパスワード（OTP）の種類ごとの違いを解説しています）
- 共有アカウントが残っている — 誰が認証したか分からない状態では、多要素認証の効果が半減します
- 認証情報がフィッシングで抜かれている — 攻撃者は偽ログイン画面でIDとパスワードを収集します（フィッシングによる認証情報の窃取）
方式ごとの違いは 多要素認証（MFA）とは？ハードウェアキー・ソフトウェアキー・SMS認証の違いで詳しく解説しています。
アプリップリキーの位置づけ
アプリップリキーは、PC・サーバーの管理とログインのツールです。全PC・サーバーの状態とログイン記録を1画面で管理でき、1台ずつ見て回っていた確認が画面を開くだけで済みます。ランサムウェアの前兆（偵察・パスワードの窃取・防御の無効化・バックアップの破壊）は暗号化の前に検知して担当者のLINEに届くので、専任の担当者がいなくても、何もない日は見に行かなくてよくなります。さらに、Windows PC・Windows ServerのOSログインを、本人のスマホを鍵にしたワンタッチログインにでき、2要素認証になります（PC版・サーバー版）。新たに立てるサーバーがなく、設定は端末ごとに独立しているため1台ずつ進められます。
クラウドサービス向けの多要素認証は普及してきましたが、社内サーバーやPCそのものへのログインは、いまだにID・パスワードのみという企業が少なくありません。ランサムウェアの被害が最も大きくなるのは、会計データ・顧客情報・共有ファイルが集まるサーバーが暗号化されたときです。そこへのログインが保護されているかどうかは、被害規模を左右します。
したがってアプリップリキーが担うのは、前述の「経路1」を、サーバー・重要PCのログインで受け止めることです。VPNや社内Wi-Fiなど別の経路から社内に入られた場合でも、サーバーや隣のPCへのログインには本人のスマホが要ります。経路2〜4に対しては、後述する他の対策と組み合わせる必要があります。なお、更新漏れ（経路2に関わる部分）は、どのPCから直すかが深刻な順に並ぶので、手を付ける順番で迷いません（更新作業そのものは自動ではありません）。
結局何を組み合わせるべきか
ランサムウェア対策として最低限そろえるべき組み合わせを整理します。
- 認証の強化（多要素認証） — 経路1を塞ぐ。特にサーバー・重要PC・VPN・委託先アカウントから優先的に
- 脆弱性管理（パッチ適用） — 経路2を塞ぐ。特にVPN機器は最優先
- ウイルス対策と従業員教育 — 経路3に対応
- バックアップの確保 — 侵入されても復旧できる状態を作る（ネットワークから切り離した保管が重要）
- アカウント管理の整備 — 共有アカウントの廃止、退職者アカウントの棚卸し（ID管理・アカウント管理の基本）
- 全PC・サーバーの状態を1か所で把握する — 更新漏れ（経路2）やランサムウェアの前兆に、1台ずつ見て回らずに気づける
「入口対策だけでは不十分な理由」については ランサムウェア対策は「入口対策」だけでは不十分な理由もあわせてご覧ください。限られたリソースでの優先順位は 中小企業がやるべき不正アクセス対策チェックリストで解説しています。実際に公表された被害事例を時系列で確認したい方は 不正アクセス・ランサムウェア被害の統計と実例【2026年版】もご参照ください。
全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
普段の管理が楽になると何が変わるか
ランサムウェアへの備えは、特別な日のためだけのものではありません。全PC・サーバーを1か所で見られるようにしておくと、普段の仕事が次のように変わります。
- 夜間・休日：前兆があるときだけ担当者のLINEに届き、スマホからその場で画面確認やネットワーク分離ができます。何もない日は見に行かなくてよいので、担当者が安心して休めます。
- 取引先のチェックシートや保険の申告：「多要素認証はどこまで入っているか」と聞かれたその日に、ユーザーごとの2要素認証の設定状況やログイン記録をCSVで出せます。
- 更新漏れの確認：OS・ブラウザ・Officeの更新漏れが深刻な順に並ぶので、どのPCから直すか迷いません。
VPNの先でサーバーのログインまで進まれた実例は黒金化成のランサムウェア被害、サイバー保険の加入条件として多要素認証を求められる流れはサイバー保険と多要素認証の要件で解説しています。
よくある質問
Q. アプリップリ(applippli)は安全な会社ですか？
A. はい。アプリップリ(applippli)は、実在する企業・組織向けにPC・サーバーの管理とログインを楽にするソフト（アプリップリキー）を提供している国内事業者です。営業のご案内などを受けて社名を検索された方は、まずこの点をご確認ください。以下、提供している多要素認証がランサムウェア対策としてどこまで有効なのかを、誇張なく解説します。
Q. 多要素認証を入れれば、ランサムウェアは止まりますか？
A. すべてには効きません。盗まれたID・パスワードをそのまま使う侵入（近年の大型被害で頻繁に見られる経路）は塞げますが、機器の脆弱性を突かれる侵入や、利用者が不正ファイルを実行してしまうケースには効きません。パッチ適用・ウイルス対策・バックアップとの組み合わせが必要です。
Q. ウイルス対策ソフトを入れているので大丈夫ですか？
A. 経路3には有効ですが、経路1（正規ログインによる侵入）は検知が困難です。攻撃者は正規の認証情報でログインしてくるため、不正なプログラムの実行を伴わない場合があります。ウイルス対策と認証強化は、守る対象が異なる別の対策です。
Q. クラウドサービスには多要素認証を入れています。それで十分ですか？
A. 重要な一歩ですが、社内サーバーやPCへのOSログイン、VPN接続が保護されているかもご確認ください。ランサムウェアの被害が最も大きくなるのは社内サーバーが暗号化されたときであり、その入口が守られていなければリスクは残ります。
Q. 中小企業でも必要ですか？
A. はい。取引先を経由した攻撃の踏み台として、企業規模を問わず被害が報告されています。中小企業では担当者が兼任のことが多いため、1台ずつ見て回らずに済む管理の仕組みと、社員の手間が増えにくいワンタッチの2要素認証を組み合わせると続けやすくなります。詳しくは サプライチェーン攻撃をご覧ください。
いまの運用を棚卸ししてみる
自社のサーバーや重要PCへのログインが、ID・パスワードのみに依存していないか。VPNや委託先アカウントが除外されていないか。これらは現状の運用によって異なります。
applippliの無料棚卸しでは、10問・約3分に答えるだけで、いまパスワード1枚で入れる箇所がどこに残っているかが項目ごとの一覧になります。結果はPDFレポートでもお届けします。 （ SCS評価制度については、こちらの記事で別途解説しています。）
※ 本記事は、多要素認証がランサムウェア対策として果たす役割と、その限界を正確にお伝えすることを目的としています。診断結果および本記事の内容は、実際のセキュリティ状態や被害の不発生を保証するものではありません。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。