「VPN機器から侵入された」という被害の一報では、侵入と暗号化がひとつの出来事のように読めることがあります。
一方で、調査が完了したあとに公表される報告には、日付ごとの経過が書かれていることがあります。2026年7月に公表されたある国内製造業の調査報告では、VPNから侵入された日と、暗号化が実施された日が14日離れていました。
この記事では、その公表内容から確認できる事実だけを整理し、そのあとに、中小企業がリモートアクセスの「その先」で確認できることを、公的資料に沿って考えます。
この記事でわかること
- 公表事例から確認できる順序（VPNからの侵入 → アクティブディレクトリ → 暗号化）
- その公表から確認できないこと
- 侵入後の被害拡大について、公的資料が挙げている対策
公表事例から確認できること
対象は、国内の製造業1社が2026年7月21日に公表した調査報告です（同社は2026年5月7日に不正アクセス被害を先行公表しており、7月21日は外部専門機関による調査完了の報告にあたります）。以下は、その公表内容に事実として示されている部分です。社名は本文では扱いませんが、原文は記事末尾の「参考・出典」から確認できます。
- 2026年4月8日、第三者がVPNから社内ネットワークに侵入した
- その後、アクティブディレクトリ サーバにログインされ、その際に社員の認証情報が取得されたものと思われる（同社の表現）
- 社内ネットワークに対してスキャンが実行され、複数のサーバへログインされた
- 2026年4月22日、第三者が複数の機器（サーバ、パソコン）にログインし、暗号化を実施した
- 同日午前7時50分に不正アクセスを確認して直ちに全社ネットワークを遮断し、午前10時に緊急対策本部を設置した
- 4月22日に警察署へ、4月24日に個人情報保護委員会へ報告した
- 被害範囲は「サーバのほとんど、およびパソコン複数台」
- 情報漏えいについては、アクティブディレクトリ サーバ上のデータが外部へ転送されたと判断され、その他の機器に対する攻撃者の行動は暗号化のみであると特定された
- Microsoft365、Kintone、勘定系ほかのクラウドサービスは被害を受けておらず、メールも攻撃を受ける前から外部のメールサービスを利用していたため被害を受けていない
- これらのツールを活用して暫定運用を行い、基幹システムは暫定システムを復旧して5月18日から見積、受発注、生産、出荷を再開した
- 既存の社内ネットワークは4月22日以降すべて遮断しており、攻撃起点となったVPN装置も遮断している
公表された侵入日である4月8日と、暗号化が実施された4月22日は、日付にして14日離れています。それぞれの時刻までは公表されていないため、経過時間としての正確な長さは分かりません。
この公表から確認できないこと
- VPNからの侵入に何が使われたか（脆弱性・認証情報・設定不備のいずれか）
- 取得されたとみられる認証情報が、その後のログインに実際に使われたかどうか
- ドメイン全体の管理権限が奪われたかどうか（管理者権限の取得についての記載はありません）
- 4月8日から4月22日までのあいだ、同社が何を検知していたか・いなかったか
- クラウドサービスや外部メールが被害を受けなかった理由
- 社内ネットワーク上のどの機器へ、どの経路で到達できる構成だったか
つまり、この公表から言えるのは**「起きた順序」と「被害の及んだ範囲」まで**です。本記事は、そこから先を推測しません。以降は、公的資料に基づく一般的な話として読んでください。
ここからは一般論：侵入と暗号化のあいだ
上の事例で確認できたのは、暗号化が侵入の直後ではなく後段の行動だったという一点です。ランサムウェア攻撃が常にこの順序をたどるとはかぎりません。警察庁「ランサムウェア被害防止対策」も、データの暗号化のみならず、データを窃取したうえで「対価を支払わなければ当該データを公開する」などと要求する二重恐喝が被害の多くを占める、と説明しています。
ただし、侵入と暗号化のあいだに攻撃者の行動が挟まりうること自体は、公的にも説明されています。警察庁「ランサムウェア被害防止対策」は、攻撃者はネットワークに侵入すると内部を探索し、より多くのサーバ・端末を侵害しようと試みる、としています。そのうえでウイルス対策ソフト・EDR製品・ネットワーク監視製品などを挙げ、もし攻撃者に侵入されたとしても、ネットワーク内の不審な挙動を検知して遮断することで、暗号化や情報窃取等の深刻な被害を防ぐことが可能になると説明しています。
入口を抜かれた時点ですべてが決まるわけではない、という前提で対策を組む考え方が、公的にも示されているということです。
アクティブディレクトリという場所
上の事例で、VPNの次に触られたとして公表されているのがアクティブディレクトリ サーバである点は、自社を点検する切り口になります。
アクティブディレクトリ（AD）は、社内の認証をまとめて管理する仕組みです。ADを使っている会社では、ファイルサーバや業務システムのログインをADに寄せていることがあります。その構成では、ADで扱う認証情報が複数のシステムに関わることになります。
なお事例では「アクティブディレクトリ サーバ上のデータが外部へ転送された」と判断された、と公表されています。ただし、転送されたデータの種類や、ADが扱う認証情報が含まれていたかどうかまでは公表されていません。
ここで混同しないでおきたいのが、次の3つは別の段階だということです。
- ネットワーク上、そのサーバに到達できる
- 業務用のアカウントでログインできる
- 管理操作ができる（ドメイン管理者権限など）
リモートアクセスの設計で絞れるのは主に1番目です。2番目・3番目は、アカウント管理と権限設計の領域になります。警察庁も、アカウントに割り当てる権限やアクセス可能とする範囲を必要最小限にすることが、アカウントが侵害された場合の被害拡大の防止につながるとし、特に管理者権限は付与する対象を絞って管理を厳格に行う必要があるとしています。
自社に当てはめる問いは、こうなります。リモートアクセスで社内につないだあと、認証をまとめている場所まで到達できる利用者がどれだけいるか。 ADを使っていない会社であれば、同じ問いをファイルサーバや基幹システムに置き換えてください。用語の整理は用語集、接続後に広がる動きは横移動の項も参考になります。
「社内ネットワークが止まったら」を先に考えておく
上の事例では、社内ネットワークを4月22日以降すべて遮断したうえで、被害を受けなかったクラウドサービスと外部メールを活用して暫定運用を行った、と公表されています。なぜクラウド側が被害を受けなかったのかは公表されておらず、この公表内容から判断することはできません。 「社内にあるものは危険で、クラウドなら安全」と一般化できる材料ではありません。クラウドサービスも、認証情報が奪われれば被害を受けます。
それでも、自社に持ち帰れる問いはあります。
社内ネットワークを遮断したとき、手元に残る業務基盤は何か。それだけで、どの業務を何日続けられるか。
同じ問いは、バックアップにも当てはまります。警察庁「ランサムウェア被害防止対策」は、ランサムウェアによりバックアップデータも暗号化されてしまう事例が多数確認されているとして、バックアップはなるべくこまめに取得し、ネットワークから切り離してオフラインで保存するなど、暗号化されないように備えることを推奨しています。あわせて、サイバー攻撃を想定したBCP（業務継続計画）を準備し、被害を想定した訓練で実効性を高めることも挙げています。
中小企業のセルフチェック
自社に置き換えて点検してみてください。項目ごとに重大度は同じではありません。数を数えるより、当てはまった項目を1つずつ潰していくほうが確実です。
- リモートアクセスで接続したあと、ADサーバやファイルサーバへネットワーク上到達できる利用者を把握していない
- それらのサーバに業務用アカウントでログインできる範囲を決めていない
- 管理者権限を持つアカウントの棚卸しをしていない
- 接続ログを平常時に見る担当が決まっていない
- 侵入後の不審な挙動に気づく手立て（EDR・監視サービス等）を検討していない
- 委託先・保守業者用の接続アカウントを把握していない
- バックアップが、侵害された機器から書き換え・削除できる場所にしかない
- 社内サーバが止まったとき、続けられる業務を洗い出していない
- ネットワークを遮断する判断を、誰がいつ下すか決まっていない
- 警察への相談窓口を確認していない
- 個人情報の漏えい等が疑われた場合の、個人情報保護委員会への報告要否の判断手順を確認していない
- 復旧までにかかる日数の目安を答えられない
個人情報保護委員会への報告は、常に必要になるわけではなく、漏えい等の内容によって要否が変わります。判断の枠組みは同委員会の漏えい等が発生した場合の対応で公開されています。
打ち手は「入口」だけではない
対策は、効くところで分けて並べると全体像をつかみやすくなります。かかる手間や費用は、会社の規模・拠点数・既存構成・復旧目標によって大きく変わるため、ここでは負荷の目安は付けません。
| 打ち手 | 主に効くところ |
|---|---|
| VPN機器等の脆弱性を速やかに塞ぐ | 入口をふさぐ |
| 認証情報を適切に管理し、多要素認証やアクセス制限を組み合わせる | 入口をふさぐ |
| アカウントの権限とアクセス可能な範囲を必要最小限にする | 侵入後の広がりを抑える |
| EDR・ネットワーク監視等を導入し、適切に運用する | 侵入後に気づく |
| 各種ログを日頃から取得しておく | 侵入経路・侵害範囲の調査に効く |
| バックアップをこまめに取得し、ネットワークから切り離してオフラインで保存する | 復旧に備える |
| サイバー攻撃を想定したBCPを策定し、訓練で実効性を確かめる | 業務継続・復旧に備える |
上の表は、警察庁「ランサムウェア被害防止対策」が挙げている対策をもとに整理したものです。同資料は、セキュリティ製品について導入するだけでなく最新の状態に保ち適切に運用することが重要だとしています。誰がアラートを確認し、判断・対応するかを決めておかないと、検知を被害の抑制につなげられないおそれがあります。
どれから着手するかを自社だけで決めきれない場合は、インターネットに公開している機器の脆弱性と認証、管理者権限の棚卸し、実際に復元できるか試したバックアップの3点から、保守業者やセキュリティ事業者と一緒に確認するのが入口になります。
なお、入口側の対策として同資料が挙げているのは、VPN機器等の脆弱性を速やかに塞ぐこと、認証情報を適切に管理すること、そして多要素認証等の強固な認証手段の導入やIPアドレス等によるアクセス制限との組み合わせです。接続後の範囲を絞る対策は、これら入口側の対策を置き換えるものではなく、併用するものです。
関連するサービスについて
ForceLinkは、上の表のうち「アクセス可能な範囲を必要最小限にする」を、リモートアクセスの経路側で中小企業向けに実装した一例です。社内側の「ForceLink BOX」・企業ごとに分離されたクラウド中継・Windows専用クライアントを組み合わせ、接続後に社内LAN全体を開放せず、利用者ごとに許可した宛先だけへ接続を限定します。
対象は、あくまで「どこへ到達できるか」です。次のものは扱いません。
- 許可した宛先の先で起きること（許可先の端末を踏み台にした横移動、許可先サービス上での過剰な権限）
- サーバやAD自体の脆弱性・設定不備
- 端末が侵害されたあとの認証情報の窃取
- EDR・ログ監視・バックアップ・BCP
また、現時点で多要素認証（MFA）には未対応です。 認証情報が奪われた場合、その利用者に許可された範囲へは到達されうるため、宛先を絞る仕組みは認証を強くする対策の代わりにはなりません。MFAを必須要件とする場合や、入口側の認証強化を優先したい場合は、要件に合う構成を別途ご確認ください。
考え方の入口は中小企業のゼロトラスト入門、宛先の絞り方の具体はリモートアクセスの権限設計で整理しています。
まとめ：まず確認すべき3点
- リモートアクセスで接続したあと、認証をまとめている場所や重要なファイルサーバへ到達できる利用者を把握できているか
- 侵入後の不審な挙動に気づく手立てを、誰が・どのログや仕組みで担うか決まっているか
- 社内ネットワークを遮断したとき、どの業務を・何で・何日続けられるかを答えられるか
入口の対策は、もちろん要ります。そのうえで公表事例が示しているのは、侵入の日と暗号化の日が同じとはかぎらないということです。一般論として、侵入後に被害の拡大を抑えられるかどうかは、ふだんの設計と運用にも左右されます。
対策の全体像は中小企業のランサムウェア対策、被害に気づいた直後の動き方はサイバー攻撃に気づいた直後の初動、ログの残し方はリモートアクセスのログ管理入門で解説しています。方式の違いは比較ページ、費用は料金ページで確認できます。
参考・出典
- 精電舎電子工業株式会社「サイバー攻撃に関するお知らせ」（2026年7月21日） — 本記事が事実の根拠とした調査完了報告
- 警察庁「ランサムウェア被害防止対策」
- 個人情報保護委員会「漏えい等が発生した場合の対応」