情報漏洩の原因とは？被害事例から見る侵入経路と対策

情報漏洩のニュースを見ると、「社員がフィッシングメールを開いたのだろう」「VPNの脆弱性を突かれたのだろう」と考えがちです。しかし、公表された事例と公的な統計を確かめると、原因はそれほど単純ではありません。

入口を一つ塞いでも、侵入後に重要なシステムまで届く構成が残っていれば、別の入口から入られたときに被害が大きくなります。メールの誤送信や端末の紛失、内部不正による漏洩は扱いません。VPN・SaaS・委託先・公開システムの事例から、自社で確認すべきポイントを整理します。

国内のランサムウェア被害では、VPN機器とリモートデスクトップからの侵入が多く報告されています。2025年の警察庁調査で、感染経路に有効回答があった92件のうち、VPN機器からの侵入は66.3%、リモートデスクトップからの侵入は20.7%でした（図1）。2026年上半期は有効回答36件で、VPN機器50.0%、リモートデスクトップ25.0%、その他25.0%です。期間ごとの回答数は多くないため、割合の変化だけで増減の傾向や対策の効果は判断できません。

入口の守りにも課題が残ります。警察庁が無作為に抽出した企業・団体（回答588件）への調査では、VPN機器を利用している組織の52%が最新のパッチを適用しておらず、社外からの業務アクセスの認証が「ID・パスワードのみ」の組織は39.8%でした（図2）。

海外を含むデータ侵害では、Verizonの2026年の報告書で、最初の侵入手段が「脆弱性の悪用」だったものが31%となり、同報告書の19年の歴史で初めて、盗まれた認証情報の悪用を上回りました（図3）。対象はエラーと内部不正を除く約2万件で、主に2025年のデータです。認証情報の悪用（13%）の低下には集計方法の変更も影響しています。侵入後の段階まで含めると、認証情報の悪用は39%で最も多い手口です。

図4は、主な侵入口と、複数の入口で使われる手口を分けて示したものです。たとえばフィッシングで盗まれたID・パスワードは、VPNにもSaaSにも使われます。フィッシング対策やVPNの更新など、一つの対策だけを行っても、ほかの入口は残ります。

警察庁は2025年上半期の分析で、VPNやリモートデスクトップ用の機器から侵入された原因として、機器のID・パスワードが非常に安易だったことや、不要なアカウントが管理されずに残っていたことを挙げています。VPN機器からの侵入には、機器の脆弱性に加えて、認証の弱さによるものも含まれます（図5）。

「VPNは危険だから廃止する」という結論も早すぎます。VPNを別の仕組みに置き換えても、弱い認証や、接続後に社内全体へ届く構成が残れば、同じ問題が起きます。VPNを使い続けるか、アプリ単位で接続する方式へ移るかの判断は、ゼロトラストの原則と導入ロードマップで整理しています。

ここからは、公式に公表された4つの事例を見ます。4つの事例では、認証情報の窃取、委託先からの接続、公開システムの脆弱性など、侵入につながった要因と公表されている範囲が異なります。表1で概要を比べ、各社・調査機関の公表内容は次の節で確認します。

自社に同じ弱点がないかは、後半の14項目の簡易チェックで確認できます。

各事例は、各社や調査機関が公表した内容だけを基に、「公表されていること」「公表されていないこと」「この事例から学べること」に分けて記載します。公表されていない事実は推測で補いません。「この事例から学べること」は、公表内容を踏まえたMalakeとしての一般的な提案です。

2024年6月8日、KADOKAWAグループの複数のサーバーにアクセスできない障害が発生しました。同社の調査で、ニコニコを中心としたサービス群を標的に、グループのデータセンター内にあるドワンゴ専用ファイルサーバーなどが、ランサムウェアを含む大規模なサイバー攻撃を受けたことが確認されています。同年8月5日、同社は情報漏洩の調査結果と原因を公表しました。

2024年、クラウド型のデータ基盤であるSnowflakeを利用する複数の企業で、データが盗まれ、恐喝される事案が相次ぎました。調査にあたったMandiant（Google Cloud）は、攻撃者グループをUNC5537と名付け、2024年6月11日に調査結果を公表しています。

2023年11月27日、LINEヤフーは、第三者による不正アクセスを受け、ユーザー情報・取引先情報・従業者等に関する情報が漏えいしたと公表しました。2024年2月14日には、原因と再発防止策を公表しています。

2023年5月から6月にかけて、Progress Software社のファイル転送製品MOVEit Transferの脆弱性（CVE-2023-34362）が悪用され、多くの組織でデータが盗まれました。米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）とFBIの共同勧告は、公開情報をもとに、ランサムウェアグループCL0P（TA505）が2023年5月27日から悪用を始めたとしています。

侵入口とは別に、侵入後にどこまで届くかが被害の大きさを左右します。警察庁は、ランサムウェア攻撃の代表的な流れを次のように説明しています。攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備などを悪用してネットワークに侵入し、管理者権限の奪取やセキュリティの無効化を試みながら、重要なデータやバックアップを探します。データを持ち出した後に暗号化を実行し、復旧を妨げるため、バックアップも一緒に暗号化される場合が多いとしています。

図6は、内部の通信と権限が広く許可された構成の例です。このような構成では、VPNなどの入口を通過して管理者権限を奪われると、ファイルサーバやバックアップまで同じ権限で届くおそれがあります。実際の構成は企業ごとに異なるため、自社の環境でどこまで届くかを確認します。

警察庁が2025年にランサムウェアの被害に遭った企業・団体等に行ったアンケートでは、多くの組織がウイルス対策ソフト等とバックアップを用意していました（図7）。ウイルス対策ソフト等を導入していたのは119件中105件ですが、検出状況に回答した89件のうち64件は検出がありませんでした。バックアップを取得していたのは116件中105件ですが、復元結果に回答した99件のうち79件は復元できず、その理由（有効回答72件）は「バックアップの暗号化・消去」が48件で最も多くなっています。

製品やバックアップがあるかだけでは、被害を止められるかは判断できません。攻撃者が管理者権限を奪った場合に、検知の仕組みやバックアップまで同じ権限で止められたり消されたりしない構成かを確認します。

侵入を100%防ぐことはできません。そのため、認証情報が1つ盗まれても、公開しているシステムが1台侵害されても、それだけでは重大な事故にならない構成を目指します。図8は、利用者がアプリケーションに届くまでに確認を重ね、内部も用途ごとに分けた構成の例です。

この考え方の土台になるのが、ゼロトラストです。NISTのSP 800-207は、物理的な場所やネットワーク上の場所だけを理由に、端末や利用者のアカウントを暗黙に信頼しないことを前提としています。ゼロトラストは特定の製品を指す言葉ではなく、VPNをZTNA（アプリ単位で接続を許可する仕組み）の製品に置き換えれば完成するものでもありません。原則と段階的な進め方は、ゼロトラストの解説記事にまとめています。

どの層にも限界があります。MFAは、盗まれたパスワードだけでのログインを防ぐ効果の大きい対策ですが、MOVEitのような認証の手前で悪用される脆弱性には効きません。また、MFAでも、ワンタイムパスワードなど認証コードを入力する方式は、偽のサイトにコードを中継されると突破される場合があります。NISTのSP 800-63B-4も、認証コードを手入力する方式をフィッシング耐性のある方式とはみなしていません。パスキーなど、フィッシング耐性のある認証方式の検討も必要です。具体的な導入と運用は、管理者と従業員のランサムウェア対策で扱っています。

4つの事例と統計を踏まえ、自社で確認しておきたい項目を14にまとめました。確認できた項目にチェックを入れると、チェックが付いていない項目が「確認が必要な項目」として一覧になります。

チェックが付かない項目は、未実施とは限りません。担当者に聞かないと分からない項目も、確認が必要な項目として扱います。

簡易チェックの中には、自社だけでは判断しにくい項目があります。たとえば「クライアントPCから重要なサーバへ自由にアクセスできない」かどうかは、ネットワーク機器の設定、Active Directoryの権限、サーバ側の制限を合わせて確認しなければ分かりません。「バックアップが本番環境と異なる認証・権限で保護されている」かどうかも、バックアップ製品の画面だけでは判断できない場合があります。

企業のIT環境は、Microsoft 365やGoogle Workspace、Active DirectoryやEntra ID、VPN・ファイアウォール、クラウド、NASやファイルサーバ、各種SaaS、端末、拠点のネットワークと、組み合わせが企業ごとに異なります。EDRの導入やVPNの廃止といった個別の対策を決める前に、侵入口から侵入後に届く範囲までを順に確認し、優先順位を付けます。Malakeでは、特定の製品の販売を前提とせず、現状把握、リスク評価、優先順位付け、改善案の順で企業のIT環境を確認しています。

自社で対策を進める場合は、次の記事も参考になります。

• 管理者と従業員のランサムウェア対策：管理者と従業員が実施する具体的な対策
• ゼロトラストとは？NISTの7原則とCISA成熟度モデルで作る導入ロードマップ：設計原則と段階的な導入の判断
• SaaSアカウント管理の実務：棚卸し、SSO・SCIM、アカウントの運用
• セキュリティインシデントの初動対応計画：異常を検知したときの判断・連絡・記録を平時に準備する

PHPを利用するサイトの影響や保守先への確認は、PHPの脆弱性対応の進め方で整理しています。