サイバー攻撃はどこから侵入するのか：主な侵入経路と自社で点検すべきポイント

サイバー攻撃は「侵入経路」で整理すると点検しやすい

サイバー攻撃の報道は個々の組織名とともに語られがちですが、攻撃者が組織に入り込む経路は限られています。公的機関や調査機関の統計では、インターネットに公開されたVPN機器やリモートデスクトップ、盗まれたIDとパスワード、修正されていない脆弱性、委託先やクラウドサービス、内部の人による持ち出しが繰り返し上位に現れます。本記事では特定の事案には触れず、攻撃の種類ごとに、仕組み、データ、点検項目を整理します。

IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）でも、組織向けの上位にはこれらの経路に関わる脅威が並びます。2025年に発生した事故や攻撃の状況からIPAが候補を選び、研究者や企業の実務担当者など約250名の選考会が審議・投票で決めたものです。

ランサムウェア：VPN機器とリモートデスクトップからの侵入

ランサムウェアは、端末やサーバのデータを暗号化して使えなくし、復号と引き換えに金銭を要求する不正プログラムです。近年は、データを盗んだうえで「支払わなければ公開する」と迫る二重恐喝が被害の多くを占めます。警察庁は代表的な流れを、未修正の脆弱性や漏えいした認証情報を悪用して侵入し、管理者権限の奪取やセキュリティの無効化を試みながら重要データやバックアップを探し、データを外部に送ってから暗号化する、と説明しています。

警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）によれば、2026年上半期のランサムウェア被害の報告件数は123件で、半期としては統計を取り始めた2020年下半期以降で最多でした。データを暗号化せずに盗んで対価を求める「ノーウェアランサム」も9件報告されています。警察庁は、インターネットに露出した箇所から遠隔操作で侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっているとしています。2025年の1年間でも、侵入経路の有効回答92件のうちVPN機器が61件、リモートデスクトップが19件で、不審メールやその添付ファイルは2件でした。2026年上半期の被害組織へのアンケートでは、復旧に総額1,000万円以上を要した組織が全体の6割を占め、1か月未満で復旧できた組織は5割弱にとどまります。

点検ポイント

• インターネットに公開した機器の台帳：VPN機器、リモートデスクトップ、ファイアウォールなどを洗い出し、機種、ファームウェアのバージョン、サポート終了予定日、管理者を記録します。金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」も、ネットワーク機器を含むハードウェア・ソフトウェアの台帳に、サポート期間とバージョン情報を含めるよう求めています。
• リモートアクセスの多要素認証：VPNやリモート接続のすべてのアカウントに多要素認証を設定し、使われていないアカウントや初期設定のパスワードを残さないようにします。同ガイドラインは、重要なシステムへのリモートアクセスに多要素認証を使うことを求めています。
• 隔離し、復元を試したバックアップ：組織内ネットワークから切り離した環境や改ざんできない仕組みにバックアップを保管し、実際に復元できるかを定期的に試します。同ガイドラインは、バックアップデータの隔離と保護、整合性の検証、復旧テストを規程に含めるよう求めています。
• ログの取得と保管：VPN機器、認証基盤、サーバのログを、改ざんされない場所に、調査に必要な期間保管します。警察庁の調査では、ログをすべて保全できていた被害組織は48件中10件でした。

盗まれた認証情報とフィッシング

フィッシングは、実在する組織を装ったメールやSMSで偽のウェブサイトに誘導し、IDやパスワード、カード番号などを入力させる手口です。盗まれた認証情報は、VPNやクラウドサービスへの不正ログインにも使われます。電話を使う手口も広がっており、警察庁によれば、2024年秋から企業に電話をかけてメールアドレスを聞き出し、フィッシングメールを送る「ボイスフィッシング」による法人口座の不正送金被害が急増しました。2026年5月には、電話を起点に遠隔操作ソフトをインストールさせ、偽サイトでインターネットバンキングのIDとパスワードを盗む新たな手口による被害も急増しました。

フィッシング対策協議会によれば、2026年上半期のフィッシング報告件数は約73万件（警察庁の資料による）、2026年8月だけで82,338件でした。8月の報告を分野別に見ると、EC系が約43.3%、クレジット・信販系が約29.0%、金融（銀行）系が約2.4%です。警察庁は、AI技術の発達で文章の自然さや偽装の精度が大幅に向上し、見抜きにくいフィッシングが増えていると指摘しています。

Verizonの「2026 Data Breach Investigations Report（DBIR）」では、侵入の起点（初期アクセス）に占める認証情報の悪用は13%で、首位の座を脆弱性の悪用に譲りました。それでもフィッシングは16%、作り話で相手を信用させて操作させるプリテキスティングは6%を占め、侵害の62%に人の要素が関わっていました。Microsoftの「Microsoft Digital Defense Report 2025」は、IDを狙う攻撃の97%超がパスワードを狙う攻撃であり、多要素認証（MFA）でIDを狙う攻撃の99%超を防げるとしています。一方で警察庁は、メール認証や多要素認証などの技術的な対策だけでは十分ではないとしています。

点検ポイント

• 多要素認証の適用範囲：社外から使えるすべてのシステム、特に管理者アカウント、VPN、メール、クラウドサービスに多要素認証が設定されているかを台帳で確認します。フィッシング対策協議会は、パスキーなどフィッシング耐性のある多要素認証への対応を検討するよう呼びかけています。
• 送信ドメイン認証：自社ドメインをかたるメールを受信側で判別できるよう、SPF、DKIM、DMARCを設定します。フィッシング対策協議会は、オンラインサービスを提供する事業者に、DMARCポリシーをreject（p=reject）に変更する計画を立てるよう求めています。
• 電話や遠隔操作の依頼への手順：取引先や金融機関を名乗る電話でメールアドレスや認証情報を求められた場合や、遠隔操作ソフトのインストールを求められた場合は、その場で応じず、既知の連絡先にかけ直して確認する手順を決めて周知します。
• 報告の仕組みと訓練：不審なメールを受け取った従業員がすぐに報告できる窓口を用意し、訓練では開封率だけでなく報告率も測ります。金融庁のガイドラインは、KPIの例として標的型メール訓練の報告率を挙げています。

修正されていない脆弱性：特にネットワークの境界にある機器

VPN機器やファイアウォールなど、組織のネットワークとインターネットの境界に置かれた機器は、外部から常に到達できます。こうした機器に脆弱性が見つかると、攻撃者はインターネット上で該当する機器を探し、修正プログラムが適用される前に侵入しようとします。警察庁がセンサーで検知した脆弱性探索行為等の不審なアクセスは、2026年上半期に1日・1IPアドレス当たり13,687件で、前年比50.7%増でした。

Verizonの2026年版DBIRでは、脆弱性の悪用が初期アクセスの31%を占め、最も多い侵入経路になりました。米国CISAの「既知の悪用された脆弱性（KEV）カタログ」に載った重大な脆弱性のうち、2025年に組織が完全に修正できたのは26%（前年38%）にとどまり、完全な修正までの期間の中央値は43日（前年32日）に延びています。金融・保険業でも、初期アクセスの最多は脆弱性の悪用（22%）で、フィッシング（20%）、認証情報の悪用（15%）が続きます。警察庁の調査では、2026年上半期のランサムウェア被害組織の有効回答29件中17件に未適用のセキュリティパッチがありました。

KEVカタログは、CISAが管理する「実際に悪用が確認された脆弱性」の一覧です。CVE番号が付いていること、実際に悪用されている信頼できる証拠があること、ベンダーの更新プログラムなど明確な対処方法があることの3つを満たすと掲載されます。CISAは、すべての組織に対してKEVカタログを確認し、掲載された脆弱性の修正を優先するよう強く推奨しており、脆弱性管理の優先順位付けの判断材料として使うよう勧めています。

CISAが2026年6月10日に出した拘束的運用指令BOD 26-04は、米国連邦政府の文民機関を対象に、KEVへの掲載の有無、資産がインターネットに公開されているか、攻撃を自動化できるか、技術的な影響の大きさに応じて、暦日で修正期限を定めています。期限は、CVEがKEVに追加された時点と、機関が自らの資産で脆弱性を特定した時点の早いほうから数えます。侵害の有無の確認（フォレンジック・トリアージ）を伴う区分の期限は3日で、次回の定期的な大規模更新や再構築の際に修正すればよい区分もあります。日本の組織に適用されるものではありませんが、露出と悪用の状況で期限を変える考え方は参考になります。

点検ポイント

• 脆弱性情報の入手：使っている製品のベンダー、JPCERT/CCなどの情報共有機関、KEVカタログを確認する担当者と頻度を決め、台帳と照合して影響を受ける機器をすぐに特定できるようにします。
• 深刻度と露出に応じた期限：インターネットに公開した機器で悪用が確認された脆弱性を最優先にするなど、区分ごとに適用期限を決め、期限内に適用できた割合を記録します。
• 例外の承認と代替策：すぐに適用できない場合は、経営陣等の承認、代替策（機能の停止、接続元の制限など）、再評価の期日を記録します。サポートが終了した機器には修正プログラムが提供されないため、台帳のサポート終了予定日から更新計画を立てます。CISAも、サポートが終了した境界機器のリスク低減を求める指令（BOD 26-02）を出しています。
• 修正後の侵害の確認：悪用が確認された脆弱性は、修正前に侵入されている可能性があります。修正とあわせて、見覚えのないアカウントや設定の変更がないかをログで確認します。

委託先・サプライチェーンとクラウドサービス

自社の防御が十分でも、システムの開発・保守を担う委託先、データを預けているクラウドサービス、業務で使うSaaSのどこかが侵入されれば、自社のデータや業務に被害が及びます。保守用のリモート接続や委託先のアカウントが、自社ネットワークへの入口になることもあります。

IPAの10大脅威2026では「サプライチェーンや委託先を狙った攻撃」が組織向けの2位で、8年連続で選ばれています。Verizonの2026年版DBIRでは、サードパーティが関与した侵害が前年から60%増え、侵害全体の48%に達しました（金融・保険業では34%）。同報告書によれば、サードパーティのクラウドアカウントで多要素認証が欠けている、または適切に設定されていない問題を完全に解消した組織は23%にとどまり、弱いパスワードと権限設定の誤りは、指摘の半数が解消されるまでに8か月近くかかっています。

個人情報保護委員会の令和7年度年次報告では、委員会に直接報告された漏えい等13,345件のうち、委託先で起きたものが1,292件（9.7%）ありました。原因が不正アクセスのものでは、報告者自身で起きたものが533件、委託先で起きたものが328件です。金融庁のガイドラインは、サプライチェーンに由来するサイバーインシデントで金融機関等が大きな影響を受ける事例が発生しているとして、サードパーティの台帳、取引開始前のデューデリジェンス、契約やSLAへの要件の明記、継続的なモニタリング、取引終了時の管理を「基本的な対応事項」に挙げ、対象はリスクベースで決めるよう求めています。

点検ポイント

• 委託先の台帳：委託先やクラウド事業者ごとに、提供する商品・サービスと機能、自社システムへのアクセスレベル、保持・処理する自社データの種類、機密性、保管場所を記録します（金融庁ガイドラインが示す管理項目の例）。部門が個別に契約したSaaSも含めます。
• 契約で定めること：役割分担と責任分界、監査権限、再委託の手続き、インシデント発生時の対応と報告、深刻な脆弱性が判明した場合の対応と報告、データの所在と廃棄、契約終了時の取決めを、重要度に応じて契約やSLAに明記します。
• 委託先からの接続：保守用のリモート接続や委託先のアカウントを一覧にし、多要素認証、接続できる時間と範囲の制限、使わなくなった接続の停止を確認します。
• クラウドの設定：管理者アカウントの多要素認証、外部への公開・共有の設定、権限の割り当てを定期的に確認します。第三者保証報告書（SOC 2など）や第三者認証も、確認の材料に使えます。

内部不正と過剰な権限

内部不正は、正規の権限を持つ従業員や委託先の担当者が、情報を持ち出したり不正に使ったりするものです。退職者のアカウントが残っている、業務に必要な範囲を超えた権限が与えられているといった状態は、内部不正を容易にするだけでなく、外部の攻撃者がアカウントを乗っ取ったときの被害も広げます。前述のとおり、ランサムウェアの攻撃者も侵入後に管理者権限の奪取を試みます。

IPAの10大脅威2026では「内部不正による情報漏えい等」が組織向けの7位で、11年連続で選ばれています。Verizonの2026年版DBIRでは、金融・保険業の侵害の12%に内部の者が関与していました。個人情報保護委員会の令和7年度年次報告では、内部不正を原因とする漏えい等は報告者自身で75件、委託先で7件で、誤交付（報告者自身で6,072件）や誤送付（同2,889件）のほうがはるかに多くなっています。権限と手順の管理は、不正と過失の両方を減らす対策です。金融庁のガイドラインも、認証・アクセス管理の基本的な対応事項として次のような点を挙げています。

点検ポイント

• 最小権限と職務の分離：アクセス権限を業務に必要な最小限に絞り、申請・承認・実行を同じ人が担わないようにします。
• 定期的なアクセスレビュー：アカウントの作成から削除までを管理し、異動者・退職者のアカウントと権限を定期的に棚卸しします。委託先によるアクセス権の利用も対象にします。
• 特権アカウントの管理：管理者権限の利用を厳しく制限し、多要素認証、操作のダブルチェック、利用時間の制限を設けます。
• 操作ログの確認：誰が何をしたかを特定できるようにログを記録し、イベントログや運用担当者の作業ログを定期的に、または必要に応じて確認します。

インシデント対応計画と演習

侵入をすべて防ぐことはできないため、侵入された後の動きを事前に決めておくことも点検の対象です。金融庁のガイドラインは、サイバー攻撃の種別ごとにインシデント対応計画とコンティンジェンシープラン（復旧計画を含む）を策定し、対応の優先順位、目標復旧時間、目標復旧水準を定めるよう求めています。あわせて、定期的な演習・訓練で計画の実効性を確かめること、経営陣、CISO等の責任者、業務部門の責任者が自ら演習に関与して結果を把握すること、必要に応じて外部委託先の参加も検討することを挙げています。警察庁も、サイバー攻撃を想定した業務継続計画（BCP）の策定と、被害発生時の速やかな警察への通報・相談を呼びかけています。

• 攻撃の種類ごとの手順：ランサムウェア、不正アクセスによる情報漏えい、DDoS攻撃など、種類ごとに初動、封じ込め、復旧、連絡の手順を決めます。
• 連絡先と役割：経営陣、システム部門、広報、法務、委託先の担当者の連絡先と役割を、社内システムが止まっても参照できる形で保管します。
• 報告と公表の判断：警察への通報・相談、監督官庁への報告、個人情報保護委員会への報告、顧客への連絡と公表を、誰がいつ判断するかを決めます。
• 演習：顧客に深刻な影響が出る現実的なシナリオで机上演習を行い、見つかった課題を計画の改訂につなげます。

個人データが漏えいしたときの報告義務

2022年4月1日に全面施行された改正個人情報保護法により、個人データの漏えい等（そのおそれを含む）が次の事態に当たる場合、事業者は個人情報保護委員会への報告と、本人への通知（通知が困難な場合を除く）を義務づけられています。委員会が2025年度（2025年4月～2026年3月）に処理した民間事業者からの報告は17,139件（前年度19,056件）で、類型別では要配慮個人情報を含むものが61.9%、不正の目的をもって行われたおそれがあるものが22.3%でした。1件当たりの人数は1,000人以下が93.6%で、5万人を超えるものは121件（0.7%）です。

報告は2段階です。個人情報保護委員会は、発覚日から3～5日以内に速報を、30日以内に確報を求めており、不正な目的で行われたおそれがある場合の確報は60日以内です。2025年10月1日以降は、ランサムウェア事案による漏えい等を共通様式で報告することもできます。なお、2026年7月17日に公布された改正個人情報保護法には、本人の権利利益の保護に欠けるおそれが少ない場合に本人への通知義務を緩和することが盛り込まれました。施行は原則として公布の日から2年を超えない範囲内で、それまでは現行の義務が適用されます。

点検ポイント

• 判断の手順：漏えい等のおそれを把握してから、報告対象かどうかを誰が判断し、どう3～5日以内の速報に間に合わせるかを手順書にします。
• 委託先からの連絡：委託先で漏えい等が起きた場合にすぐ連絡を受けられるよう、契約に報告の義務、期限、連絡先を定めます。
• ひな形の準備：委員会への報告項目、本人への通知文、問い合わせ窓口の案内のひな形を用意しておきます。
• 金融機関の場合：金融庁のガイドラインは、インシデント発生時には法令等に従い規制当局等に速やかに報告するよう求めています。個人情報保護委員会への報告と並行して進められるよう、窓口と担当を整理しておきます。

点検を続けるためのガバナンス

ここまでの点検項目は、一度確認して終わりではありません。担当者が決まり、期限が追跡され、実施の記録が残っていなければ、監査やインシデントの際に対応状況を説明できません。金融庁のガイドラインは、経営陣が少なくとも年2回、サイバーセキュリティに関するKPIとKRIの報告を担当部署等に求めることとし、KPIの例に脆弱性対応率や情報資産棚卸進捗率、KRIの例に未対応の脆弱性件数やインシデント件数を挙げています。規程と業務プロセスも、少なくとも年1回見直すこととされています。

1. 担当者を決める：機器の台帳、パッチ、バックアップ、委託先、アクセスレビュー、演習の点検項目ごとに、責任者と実施者を決めます。
2. 期限を追跡する：パッチの適用期限、アクセスレビューの周期、復元テストや演習の予定日を一つの一覧で管理し、期限を過ぎたものを経営陣への報告に含めます。
3. 証跡を残す：台帳の更新履歴、レビューの結果、復元テストと演習の記録、例外の承認記録を保管し、監査や当局、取引先からの照会にすぐ示せるようにします。
4. 例外を見直す：適用を見送ったパッチや残している権限などの例外には期日を付け、期日が来たら再評価します。
5. 結果を指標にする：多要素認証の適用率、期限内のパッチ適用率、復元テストの成功率などを定期的に報告し、改善を確かめます。