侵害が続く背景と、被害が大きくなる理由

2026年は、企業や大学、クラウド事業者でランサムウェア被害の公表が続きました。公表された事例を並べると、侵入の入口にも、被害が広がる理由にも共通点があります。

2026年に起きていること

警察庁が9月に公表した統計によると、2026年上半期のランサムウェア被害の報告は123件でした。半期の件数としては、統計を取り始めた2020年下半期以降で最も多い数字です。被害の約6割（79件）は中小企業で、業種別では製造業が約3割を占めています。

秋に入っても公表は続きました。10月には大阪公立大学で仮想化基盤のサーバー約500台が停止し、バックアップの多くも暗号化されたと報じられています。同じ月、IDCフロンティアの「IDCFクラウド」では利用者の仮想サーバーが停止・暗号化され、495の企業・自治体に影響が出ました。

IPAが1月に公表した「情報セキュリティ10大脅威 2026」でも、組織編の1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃です。この二つの順位は2023年から変わっていません。今年は3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。

警察庁の調査に回答した被害組織のうち、侵入経路がVPN機器だったのは36件中18件、リモートデスクトップは9件でした。どちらも、社外から社内につなぐために自分たちで用意した経路です。

委託先のアカウントも同じ構図です。大阪公立大学は、侵入が再委託先の正規アカウントによる不正アクセスだったとの報告を受けたと公表しています。正規のアカウントでログインされると、外から見て不審な点がほとんど残りません。

IDCFクラウドでは、クラウドポータルの認証システムに使われていたオープンソースソフトウェアの脆弱性が入口でした。攻撃者はそこから管理コンソールを経て仮想化基盤の管理者権限を取り、利用者の仮想サーバーを暗号化しています。ログインを守るはずの仕組みが、そのまま管理権限への入口になりました。

侵入を完全に防ぐことはできません。被害の大きさを決めるのは、入られたあとにどこまで届くかです。公表された事例では、次の条件が重なっていました。

最後の点は見落とされがちです。大阪公立大学の件では、在学生・卒業生ら少なくとも13万人分の情報が、流出したかどうかを調べる対象になりました。保存しているデータが多いほど、侵害されたときに確認し、通知しなければならない範囲も広がります。

ランサムウェア対策というと、製品の導入に目が向きがちです。けれども、設計の段階で減らせる被害も少なくありません。次の問いに、すぐ答えられるか確かめてみてください。

委託先に求められる水準も変わりつつあります。経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の★3・★4を、2026年度末ごろに始める方針を公表しました。取引先にも一定のセキュリティ水準を求める流れは、これから強まっていくはずです。

3と4は、データの持ち方の問題でもあります。持っていないデータは漏れないで、保存しない設計とオンラインに置かないバックアップについて書いています。

入口と、入られたあとの範囲を確かめる。

外から入れる経路の棚卸しや、バックアップとデータの持ち方の見直しについてご相談ください。