前回までは、クラウドや委託先の側で起きた漏えいの話でした。今回は、自社のネットワークに直接入り込まれる型、ランサムウェアの話です。「うちは小さいから狙われない」という言葉を、2026年上半期の数字と照らしてみます。

先に、要点を三つ

  1. 「小さいから狙われない」は、数字の上では通りません。 上半期の被害報告123件のうち、中小企業が79件で6割強を占めています。
  2. 入口は、だいたい決まっています。 回答があった36件のうち、VPN機器が18件、リモートデスクトップが9件。外から入れる装置が4分の3です。
  3. バックアップは「戻せるか」を試して初めて意味があります。 回答があった40件のうち、バックアップから復元できた組織は11件でした。

2026年上半期の数字

警察庁が9月に公表した資料によると、2026年上半期のランサムウェア被害報告は123件で、統計を取り始めてから半期として最多でした。規模別では中小企業79件、大企業31件、団体等13件。業種は製造業が約3割で、卸売・小売、情報通信、不動産と続きますが、それ以外の業種にも広がっています。

侵入経路の内訳は、回答のあった36件のうちVPN機器18件、リモートデスクトップ9件。メールの添付ファイルからの感染は、ここ数年で少なくなっています。外から社内のネットワークに入るための装置が、そのまま攻撃者の入口になっている、ということです。多くは、修正が出ているのに当てていない欠陥や、漏れたIDとパスワードが使われたとされています。

復旧の負担も重くなっています。調査と復旧に総額1,000万円以上かかった組織が6割、1か月以内に復旧できた組織は5割弱にとどまりました。そして、バックアップからの復元結果は、回答40件のうち復元できたのが11件、できなかったのが29件。バックアップを取っていなかったのではなく、取っていたのに戻せなかった組織が大半です。過去5年でみても、復元できた割合は2割程度で変わっていません。

病院で起きた二つの例

今年2月、ある大学病院で、ナースコールのシステムがランサムウェアに感染しました。侵入経路は、そのシステムの保守のために置かれていたVPN装置でした。電子カルテは無事で診療は続きましたが、ナースコールのサーバーに蓄積されていた患者約13万人分の基本情報と、職員・実習生約1,700人分の情報が漏れました。病院の本体ではなく、周辺のシステムの保守用の入口から、という点が示唆的です。職員の情報が含まれていたことも、労務の立場からは見逃せません。

もう一つは4月、ある公立病院で、監視の仕組みが異常な通信を検知し、サーバーを物理的に切り離したという報道です。電子カルテが止まり、外来や救急を制限して手書きの運用に切り替え、3日後に通常診療に戻ったとされています。漏えいや感染は確認されなかったと報じられました。早く気づいて早く切り離すと、被害の形がここまで違う、という例として読めます。

数字が示す三つの確認

  • 外から入れる装置を数える: VPN、リモートデスクトップ、保守用の遠隔接続。誰が、何のために、いつ入れたかを一覧にします。使っていないものは閉じ、残すものは修正の更新を誰が追うかを決めます。保守業者が置いた装置も、自社の入口です。
  • IDとパスワードの出口を一つにする: 辞めた人のアカウント、業者に渡したままのID、複数人で共有しているパスワード。この三つは、退職や契約終了の手続きに「消す」工程を入れるだけで減らせます。労務の手続きとセキュリティは、ここでつながっています。
  • バックアップは戻す練習をする: 取っているかではなく、戻せるかです。年に一度、実際のデータを別の場所に戻して開いてみる。それだけで、7割の側に入る確率は下がると考えられます。

次回からは、対策の話に入ります。前回の記事はこちら、第1回はこちらです。

ご相談は、当事務所の無料相談をご利用ください。

参考(一次情報)

  • 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月): https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf (件数・規模別・侵入経路・復旧費用・バックアップの数字は本文と統計編141・143・148ページの表から)
  • 大学病院の公式告知(第5報・2026年2月27日): https://www.nms.ac.jp/kosugi-h/news/_28850.html
  • 公立病院の件は報道(ITmedia NEWS 2026年4月24日)によるもので、病院の公式な公表は確認できていません。

※本記事は一般的な情報提供であり、個別の法的助言やセキュリティ診断ではありません。記載した事実は2026年10月29日時点の公表内容で、今後の調査により変わることがあります。