米CISA・FBI・シークレットサービスなどは2026年10月20日、ランサムウェア「SafePay」の共同注意喚起（AA26-293A）を公表しました。SafePayは2024年8月以降、少なくとも600の組織に被害を与えたとされています。
米国の注意喚起ですが、手口は日本の中小企業にもそのまま当てはまります。侵入から拡大までの流れと、自社のどこで止められるかを整理します。
注意喚起から読み取れるSafePayの流れ
- 1
パスワードを手に入れる
流出した認証情報・総当たり・フィッシング
- 2
VPNや公開機器から入る
VPN接続の悪用、機器の脆弱性
- 3
正規のアカウントで社内に広がる
リモートデスクトップ・共有フォルダ経由でログイン
- 4
持ち出してから暗号化
バックアップも消して復旧を妨げる
注意喚起に書かれている侵入の手口
最初の入口は4つ。うち3つは、高度な攻撃ではありません。
- 流出した認証情報の利用と、パスワードの総当たり
- VPN接続の悪用（匿名化のためのVPNサービスのIPアドレスからの接続が確認されています）
- フィッシングで手に入れたアカウント
- VPN装置・ファイアウォールなど、インターネットに面した機器の既知の脆弱性
4つのうち3つは、パスワードを手に入れて正面から入る方法です。どこかで漏れたID・パスワードで普通にログインすることが、いまも主要な入口です。
入った後は「正規のアカウント」でリモートデスクトップを使う
中小企業にとって一番の要点は、入られた後の動き方です。
SafePayは社内に入った後、リモートデスクトップ（RDP）や共有フォルダ（SMB）を使い、正規のアカウントでログインして広がります。管理者権限を得るために認証情報を探し、アカウントを新しく作ることもあるとされています。
社内のログインがパスワードだけなら、攻撃者は社員と同じ方法でログインできます。機器から見れば正常なログインなので、怪しい通信として止まることもありません。
バックアップも狙われる
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
当局が最初に挙げた対策は多要素認証
最優先の対策は「ID・認証情報・アクセス管理の方針と多要素認証の導入」です。できる限りすべてのサービス、特にWebメール・VPN・重要なシステムのアカウントへの適用を求めています。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るそのほかの主な対策です。
- VPN・ファイアウォールなどインターネットに面した機器の更新（悪用が確認された脆弱性を優先）
- 管理者向けのツールと権限を、必要な人だけに絞る
- パスワードは15文字以上とし、定期的な変更は年1回を超えて求めない
- オフラインで、書き換えできないバックアップを持ち、復元を定期的に試す
- ネットワークの分割と、ログイン・通信の監視
中小企業の構成に当てはめると止められる場所はどこか
「VPNに多要素認証を入れたから大丈夫」とは言えない理由を、段階ごとに見ます。
VPNの多要素認証が働くのは2番目の段階だけです。VPN装置の脆弱性を突かれたり、社内のPCがフィッシングで乗っ取られたりすると、3番目の社内のログインは素通りになります。
| 段階 | よくある状態 | 止めるためにできること |
|---|---|---|
| パスワードを手に入れる | 同じパスワードを複数のサービスで使い回している | 使い回しをやめる。漏れても使えない仕組みにする |
| VPNから入る | VPNがID・パスワードだけ。機器の更新が止まっている | VPNの多要素認証と、機器の更新 |
| 社内のPC・サーバーに広がる | 社内のログインはパスワードだけ | PC・サーバーのログインにも2つ目の要素を加える |
国内でも同じ流れの事例が続いています。経路の統計は警察庁の統計で見るランサムウェアの侵入経路、VPNの先のログインの考え方はWindows OSログインの二要素認証で扱っています。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
「面倒になる」はいまは当てはまらない
PCログインの2要素認証が進まない一番の理由は「手間」です。
いまは、ログインのときに本人がスマホを1回タップするだけの方式もあります。社員の手間がほとんど増えないなら、PC・サーバーのログインを2要素認証にしない理由は少なくなります。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
どれも、設定画面や台帳を見るだけで確かめられます。
- VPN機器の型番と更新状況を把握しているか（VPN脆弱性対策）
- VPNの先のPC・サーバーのログインが、パスワードだけで通らないか（リモートデスクトップの2要素認証）
- リモートデスクトップで接続できるユーザーを絞っているか（接続できるユーザーを制限する手順）
- 夜間・休日のログインに気づける状態か（Windowsのログイン履歴の確認方法）
- バックアップが、同じネットワークから消せる場所にないか
普段の管理が楽になると何が変わるか
上の確認のうち、ログインの記録と異変の確認は、全PC・サーバーを1画面で管理すると1台ずつ見て回らずに済みます。夜間・休日のログインも、日時・利用者・接続元のPC名とIPアドレスで絞り込めます。ランサムウェアの前兆（偵察・パスワードの窃取・防御の無効化・バックアップの破壊）は、暗号化の前に検知して担当者のLINEに届き、外出先からでもその場でネットワークから切り離せます。何もない日は見に行かなくてよいので、担当者が安心して休めます（アプリップリキー）。
さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにでき、手間を増やさずに2要素認証にできます（PC版・サーバー版）。
出典
- CISA・FBIほか「#StopRansomware: SafePay Ransomware（AA26-293A）」（2026年10月20日）
記事中の事実関係は、上記の公表内容（2026年10月26日時点で確認）に基づきます。和訳と要約は当社によるものです。
いまの運用を棚卸ししてみる
VPNの先にあるPC・サーバーのログインがどう守られているか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。