警察庁・IPA・JIPDECの統計と、企業が公式に発表した主要インシデントを侵入経路別・時系列で整理した参照用データ集です。引用の際は本ページへのリンクをお願いいたします。
2026年11月10日時点の情報です（出典は2026年11月12日に再確認）。
公表事例に多い、侵入から被害拡大までの流れ
- 1
入口から入られる
VPN・外部公開サービス・委託先
- 2
正規のIDで入られる
盗まれたID・パスワード
- 3
PC・サーバーへ横展開
共通パスワード・RDP
- 4
暗号化・情報漏えい
業務停止が数週間に及ぶことも
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る自社に当てはめる1問
VPNや社内のWi-Fiなどでつないだあと、社内のPC・サーバーへのログインは、パスワードだけで入れますか？
「VPNやWi-Fiは最新か」ではなく、その先を問う質問です。
公的統計で見る実態
最新版（令和8年3月公表・対象＝令和7年）では、検挙された不正アクセス行為のうち「識別符号窃用型（ID・パスワードを悪用した手口）」が9割以上。認知件数は7,190件で、前年から1,832件（約34.2％）増えました。
出典：警察庁・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月12日公表） ↗IPAに届け出のあった令和7年のコンピュータ不正アクセスでは、被害の原因（89件）のうち「ID・パスワード管理の不備」が約33.7％（30件）で最も多いと報告されています。
出典：警察庁・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月12日公表）のうち「IPAに届出のあったコンピュータ不正アクセスの届出状況」 ↗JIPDECは2026年4月、アクセス権限の設定不備による誤公開の増加を受け、認証の強化の確認を呼びかけています。
出典：JIPDEC「【注意喚起】アクセス権限の設定不備による個人情報の誤公開が増加しています」（2026年4月14日） ↗自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
研究データで見る多要素認証（MFA）の効果
Microsoftの研究チームが、Azure Active Directoryの大規模データで分析した結果です。
99.99%
調査期間中、MFAを有効にしていたアカウントのうち侵害されなかった割合（99.99%超）
99.22%
MFA未使用と比較した、侵害されるリスクの減少幅
98.56%
パスワードが漏洩していたアカウントで、MFAにより侵害されるリスクが減った割合
2026年9〜10月：公表が相次ぎ公的機関が一斉に注意喚起
国内組織で不正アクセスによる漏えい等の公表が相次ぎ、10月7〜9日に個人情報保護委員会・JPCERT/CC・IPA・総務省が注意喚起を出しました。IPAは「外部公開しているアプリケーションやサービスの侵害、アカウントの侵害」が起点と見ています。
| 推奨 | 内容 | 機関 |
|---|---|---|
| 認証の強化 | 外部公開サービスのアカウントに多要素認証など | IPA |
| アカウントの棚卸し | 覚えのない・無効化したはずのアカウントを確認 | IPA |
| ログインの異常の確認 | 失敗件数・接続元・時間帯を平時と比べる | IPA |
| 権限を必要最小限に | アカウント付与の範囲を見直す。APIトークンは必要最小限の権限にし、不要なものは無効化 | IPA・JPCERT/CC |
注意喚起の中心と、社内への当てはめ
注意喚起の中心
- 社外に公開しているWebサービスやAPI
社内PC・サーバーにもそのまま当てはまる
- 誰のアカウントで、どこまで入れるかを絞る
- ログインに2つ目の要素を求める
10月後半も公表は続いています。中には、NECの委託先の事例のように、盗まれた正規アカウントで顧客のサーバーに入られ、ファイルを暗号化されたものもあります（下の年表）。
確かめ方は不正アクセスされたか調べる方法、費用は不正アクセスの被害額で整理しています。
出典： IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）／ JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、10月23日更新）／ 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）／ 総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について（注意喚起）」（2026年10月9日）
主要インシデント年表（侵入経路別）
多くが「経路1：盗まれたID・パスワードによる正規ログイン」を起点にしています。各事例は「報道された原因（入口）」と「被害が広がった場所」を分けて載せています。
報道の見出しと、被害の大きさを決めた場所は違う
報道で原因として書かれるもの
- VPN機器の脆弱性
- 委託先
- ランサムウェア
被害が広がった場所
- 社内のPC・サーバーへのログイン
- 盗まれた正規のアカウントで、パスワードだけで通った段階
株式会社マルニ ランサムウェア攻撃
- 報道された原因（入口）
- パスワードの漏洩、またはVPN機器の脆弱性
- 被害が広がった場所
- 複数のサーバー（ランサムウェアで暗号化）
パスワードの漏洩、またはVPN機器の脆弱性を悪用されたことによる不正アクセスが起点となり、複数のサーバーがランサムウェアにより暗号化される被害が発生したと報じられています。
出典：ScanNetSecurity ↗株式会社パルグループホールディングス 「PAL CLOSET」への不正ログイン
- 報道された原因（入口）
- 外部サービスから流出したID・パスワード
- 被害が広がった場所
- 通販サイトの会員アカウント（Webサービス）
外部サービスから流出したID・パスワードを使った「リスト型攻撃」により、約172万件のログイン試行のうち19万4,307件が成功。会員の氏名・住所・電話番号等が閲覧された可能性があると公表されました。
出典：株式会社パルグループホールディングス 公式発表 ↗アサヒグループホールディングス ランサムウェア攻撃
- 報道された原因（入口）
- 拠点のネットワーク機器
- 被害が広がった場所
- データセンターのサーバー（パスワードの弱さを突かれ管理者権限を奪取）
拠点のネットワーク機器を経由して社内ネットワークに侵入され、データセンターでパスワードの脆弱性を突かれて管理者権限を奪取されたことが原因と報告されています。ランサムウェアによりシステムが停止し、取引先・従業員情報約11万5,000件の漏えいが確認されました。
出典：アサヒグループホールディングス 公式発表 ↗アスクル株式会社 ランサムウェア攻撃
- 報道された原因（入口）
- 委託先の管理者アカウントの漏洩
- 被害が広がった場所
- VPNの先の社内ネットワーク（多要素認証なしのアカウント）
業務委託先が使用していた管理者アカウントの認証情報が漏洩し、多要素認証が適用されていなかったことが侵入口に。窃取したID・パスワードを使いVPN経由で社内ネットワークに侵入され、個人情報約74万件が流出したと公表されました。
出典：IT Leaders（アスクルの2025年12月12日の発表を報道） ↗KDDI株式会社 ISP事業者向けメールシステムへの不正アクセス
- 報道された原因（入口）
- 第三者製ソフトウェアの脆弱性
- 被害が広がった場所
- 流出したメールアドレス・パスワードが、他のサービスで試されるおそれ
システムで利用していた第三者製ソフトウェアの脆弱性を悪用され、メールアドレス・パスワードが最大1,422万件漏えいした可能性があると発表されました。大規模な認証情報流出は、他サービスでの不正ログイン（パスワードの使い回し）のリスクにも直結します。
出典：KDDI株式会社 報道発表資料 ↗デジタル庁 ガバメントソリューションサービス（GSS）への不正アクセス
- 報道された原因（入口）
- VPN機器の脆弱性
- 被害が広がった場所
- 保守担当者のアカウントで入られたサーバー上のファイル
第三者がVPN機器の脆弱性を利用してシステムに侵入し、保守運用担当者のアカウントを使ってサーバー上の大量のファイルにアクセスしていました。GSS利用機関の職員等の個人情報約24.6万件が漏えいした可能性があると2026年9月11日に公表されています。入口はVPNでも、被害が広がったのは社内のアカウントを使われた段階です。
出典：デジタル庁 公式発表 ↗株式会社両毛システムズ ランサムウェア攻撃
- 報道された原因（入口）
- VPNのアカウントの悪用
- 被害が広がった場所
- 社内ネットワークの一部サーバー
ネットワーク接続機器（VPN）のアカウントを悪用されて社内ネットワークに侵入され、一部サーバーに不正アクセスの痕跡が確認されました。漏えいのおそれがある情報には、取引先のお客さまの情報も含まれる可能性があるとされ、委託先1社の被害が委託元の情報にも及ぶおそれが生じました。
出典：株式会社両毛システムズ 公式発表 ↗株式会社日本経済新聞社 開発用クラウドサービスへの不正アクセス
- 報道された原因（入口）
- クラウドサービスの認証情報の窃取
- 被害が広がった場所
- 開発用クラウドサービス（正規の認証情報でそのまま）
システム開発に使っていたクラウドサービスの認証情報が何らかの手段で盗まれ、それを使って不正アクセスされました。約183万件（うち氏名などを含むものは約15万件）の漏えいを2026年10月16日に公表しています。脆弱性ではなく、正規の認証情報でそのまま入られた事例です。
出典：株式会社日本経済新聞社 公式発表 ↗日本電気株式会社（NEC）の委託先 顧客環境のサーバー暗号化
- 報道された原因（入口）
- 委託先へのサイバー攻撃
- 被害が広がった場所
- 盗まれた正規アカウントで入られた顧客環境のサーバー（暗号化）
システム開発・保守の委託先がサイバー攻撃を受け、盗まれた正規アカウントの認証情報で、委託先の端末から顧客環境に入られました。サーバー内のファイルが暗号化されて各種システムが使えなくなり、共有用クラウドストレージからは個人情報を含むファイルの漏えいも確認されたと2026年10月20日に公表されています。大阪公立大学も、委託先の正規アカウントを経由したランサムウェア被害を公表しました。
出典：日本電気株式会社 お知らせ ↗※ 上記は公表されている主要インシデントの一部です。分類は各社発表内容をもとにした当サイトの整理であり、各社の公式見解ではありません。
ポイント
ランサムウェア対策の基本、委託先経由はサプライチェーン攻撃で解説しています。
事例ごとの詳しい解説
| 事例 | 侵入経路と広がり方 |
|---|---|
| 八王子学園 | リモートデスクトップでサーバーにログイン（出典：八王子学園の公表） |
| サカタのタネ | リモートアクセス用サーバーを起点に管理者権限を取得された可能性（出典：サカタのタネの公表（最終報）） |
| アサヒ | ネットワーク機器から侵入、約10日間サーバーへログイン（出典：アサヒグループの公表） |
| アスクル | MFAのない委託先の管理者アカウントから侵入（出典：IT Leadersの報道） |
| 大阪急性期・総合医療センター | 給食委託先のVPNから侵入、全サーバー共通のWindowsパスワードで横展開（出典：同センターの調査報告書 概要版） |
| 岡山県精神科医療センター | 保守用SSL-VPNから侵入、全コンピューター同一の管理者パスワードで水平展開（出典：岡山県の公表資料） |
| オーミケンシ | 盗まれた認証情報でVPNから侵入、サーバー上のファイルが暗号化（出典：オーミケンシの公表（最終報）／ScanNetSecurityの報道） |
| 両毛システムズ | VPNアカウントの悪用で侵入、委託元の情報にも影響（出典：両毛システムズの公表） |
| フェース | VPN機器から夜間に侵入、社内のサーバーとPCが操作された（出典：フェースグループの公表） |
| 第一興商（委託先） | 委託先のPC1台の感染で約872万件が漏えいのおそれ（出典：第一興商の公表） |
侵入経路4分類と対策のマッピング
経路ごとに有効な対策が異なります。
| 経路 | 概要 | 有効な対策 |
|---|---|---|
| 経路1：正規ログイン | 盗まれたID・パスワードを使い、正規の利用者になりすましてログインする | 多要素認証（MFA） |
| 経路2：脆弱性の悪用 | VPN機器・サーバーソフトウェアの脆弱性を突かれ、認証を経由せず侵入される | パッチ適用・脆弱性管理 |
| 経路3：メール添付・不正サイト | 利用者が不正なファイルを開く、改ざんされたサイトにアクセスしてしまう | ウイルス対策・従業員教育 |
| 経路4：ソフトウェアサプライチェーン | 開発元・配信の仕組みが侵害され、正規の更新に紛れてマルウェアが配布される | 供給元の信頼性確認 |
詳しくは多要素認証はランサムウェアに有効か（経路別の効き方）、経路1の手口は不正アクセスの侵入経路と対策の優先順位・パスワードリスト攻撃・フィッシングで扱っています。
どの経路でも、普段からPC・サーバーのログイン記録がまとまっていれば、「いつ・どのPCに・誰が入ったか」を調べ回らずに確かめられます。全PC・サーバーのログイン記録と状態を1画面で見られ、ランサムウェアの前兆や連続失敗があるときだけLINEに届きます（アプリップリキー）。さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、経路1の盗まれたパスワードだけでは入れなくなります（PC版・サーバー版）。社員の操作はスマホでワンタッチなので、手間はほとんど増えません。
SCS評価制度との対応
SCS評価制度でもID・パスワード管理や認証強化が評価対象です。 SCS評価制度とは？【2026年最新】★3・★4の要求事項とID・パスワード関連項目をご覧ください。
全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
普段の管理が楽になると何が変わるか
年表の事例の多くは、あとから「いつ・どのアカウントで・どのサーバーに入られたか」を調べるのに時間がかかっています。普段から全PC・サーバーのログイン記録が1か所にまとまっていれば、この確認は画面で絞り込むだけで済みます。ログは10年間残るので、さかのぼって調べるときも迷いません。
異変があるときだけ担当者のLINEに届き、スマホからその場でネットワーク分離もできます。何もない日は見に行かなくてよいので、夜間や休日も担当者が安心して休めます。経営層や取引先への報告も、画面やCSVをそのまま見せれば説明できます。
よくある質問
Q. ランサムウェアの被害にあうと、実際どうなりますか？
A. 社内サーバーが暗号化され、会計データ・顧客情報・共有ファイルにアクセスできなくなり、業務が停止します。上記の年表の通り、ランサムウェアの被害は復旧までに数週間かかることも珍しくなく、取引先への影響・信用低下・調査対応コストも発生します。多くのケースで、盗まれたID・パスワードによる正規ログインが侵入の起点になっています。
Q. ランサムウェア被害の実例（事例）を知りたいです。
A. 上記「主要インシデント年表」で、公表された事例を侵入経路別に整理しています。アスクルの事例のように、多要素認証が適用されていなかったアカウントが侵入口になったと報じられた事例もあります。
Q. 不正アクセスの手口として最も多いのは何ですか？
A. 警察庁・総務省・経済産業省が公表している調査の最新版（令和8年3月公表・対象＝令和7年）では、検挙された不正アクセス行為のうち「識別符号窃用型」＝ID・パスワードを悪用した手口が9割以上を占めています。システムの脆弱性を突く手口よりも、正規の認証情報を使って正規の入口から入る手口のほうが圧倒的に多いということです。
Q. 中小企業も被害の対象になりますか？
A. なります。近年の攻撃は対象を選ばず、インターネットに露出している機器やアカウントを機械的に探して入れるところから侵入する形が主流です。加えて、取引先の大企業へ侵入するための踏み台として狙われるケースもあります。中小企業が優先すべき対策は 中小企業がやるべき不正アクセス対策チェックリストで整理しています。
Q. 被害に気づくまでにどのくらいかかりますか？
A. 盗まれた正規のID・パスワードによる侵入は、システムから見れば正常なログインと区別が付かないため、発覚までに時間がかかる傾向があります。取引先からの連絡で初めて判明するケースもあります。気づいた後の対応手順は パスワード漏洩したらどうなる？で解説しています。
いまの運用を棚卸ししてみる
上記のインシデントの多くは、多要素認証が適用されていれば、被害が広がる前に止められた可能性があるという共通点があります。applippliの無料棚卸しでは、10問・約3分に答えるだけで、自社のログイン運用でいま何をやっていて、何が手つかずのまま残っているかが項目ごとの一覧になります。
※ 本ページに掲載した情報は、各出典元が公表した時点の内容に基づきます。最新の状況は各出典元の発表をご確認ください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。