第1章S=1:500S=1:100
侵入口
警察庁の令和7年統計。侵入経路が判明したランサムウェア被害92件のうち VPN 機器61件、リモートデスクトップ19件、不審メール2件。2022〜2025年に侵入口とされた機器344件のうち203件はパッチ未適用だった。
要旨
2025年、警察庁のアンケートで侵入経路を挙げた回答は92件。VPN 機器が61件、リモートデスクトップが19件で、不審メールは2件だった。
2021〜2025年の合計では485件中 VPN 機器が293件、メールは24件。侵入口になった機器の59.0%には未適用のセキュリティパッチがあった。
経路を挙げた回答は92件
この章の数字は、警察庁がランサムウェアの被害組織に侵入経路（感染経路）を尋ねた設問による。集計されるのは経路を挙げた回答だけで、「不明」と未回答は除かれる。
2025年の被害報告は226件、経路を挙げた回答は92件だった。この章の割合はすべて92件が分母だ。
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 2025年 | 件数 | % |
|---|---|---|
| 侵入経路を挙げた回答 | 92 | 40.7 |
| 経路の記載なし | 134 | 59.3 |
| 被害報告件数 | 226 | 100.0 |
1回答に経路は1つで、4区分を足すと92件になる。警察庁の表に区分の定義はない。このサイトでの呼び方は次のとおり。
| 警察庁の区分名 | このサイトでの呼び方 | 平面図の開口部 |
|---|---|---|
| VPN機器 | VPN 機器 | VPN の扉 |
| リモートデスクトップ | リモートデスクトップ | 窓 |
| その他 | その他 | 搬入口 |
| 不審メールやその添付ファイル | メール | 正面玄関 |
区分は入口になった機器を示す。漏れたパスワードでのログインも、機器の欠陥の悪用も「VPN機器」に入る。警察庁の英語版は手口として未修正の脆弱性、漏洩した認証情報、弱いパスワード、設定の誤りを挙げている。
出典: 警察庁 Threats in Cyberspace in 2025 And Police Efforts (pp.14–16)
VPN の扉から61件
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 侵入経路（図の開口部） | 件数 | % |
|---|---|---|
| VPN機器（VPN の扉） | 61 | 66.3 |
| リモートデスクトップ（窓） | 19 | 20.7 |
| その他（搬入口） | 10 | 10.9 |
| 不審メールやその添付ファイル（正面玄関） | 2 | 2.2 |
| 計（侵入経路が判明したもの） | 92 | 100.0 |
VPN 機器は、社員や支店、保守業者が社外から社内ネットワークにつなぐための機器だ。インターネットとの境目に置かれ、ファイアウォールの一機能として動くことも多い。
ログイン画面はインターネット上の誰にでも応答し、ログインが済むまで機器は社員と部外者を区別できない。ログイン前に動く部分に欠陥があれば、機器を見つけた誰もが使える。
平面図では外壁の扉として描いた。扉の先は受付の奥の廊下で、受付の前を通らずに入れる。2025年は92件中61件（66.3%）。製品と欠陥は第3章で扱う。
窓（リモートデスクトップ）から19件
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 侵入経路（図の開口部） | 件数 | % |
|---|---|---|
| VPN機器（VPN の扉） | 61 | 66.3 |
| リモートデスクトップ（窓） | 19 | 20.7 |
| その他（搬入口） | 10 | 10.9 |
| 不審メールやその添付ファイル（正面玄関） | 2 | 2.2 |
| 計（侵入経路が判明したもの） | 92 | 100.0 |
リモートデスクトップは、離れたコンピュータの画面を手元に映して操作する仕組みで、Windows では RDP（Remote Desktop Protocol）と呼ぶ。情報システム担当や保守業者がサーバの管理に使う。
本来は社内ネットワークで使う。ルータが外からの接続をサーバへ転送すると、インターネットから届くようになる。保守業者が VPN を通さずにつなぐ場合などだ。警察庁は2023年の報告でこうした事例を「強度の弱い認証情報等が設定されたリモートデスクトップサービス」と書いている。
平面図では窓として描いた。開けるとその部屋に直接入れる。2025年は92件中19件（20.7%）で、最多は2024年の100件中31件だった。
出典: 警察庁 令和５年におけるサイバー空間をめぐる脅威の情勢等について (pp.25–26 図表25)警察庁 令和６年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheet 資料編P46(3))
その他の経路は10件
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 侵入経路（図の開口部） | 件数 | % |
|---|---|---|
| VPN機器（VPN の扉） | 61 | 66.3 |
| リモートデスクトップ（窓） | 19 | 20.7 |
| その他（搬入口） | 10 | 10.9 |
| 不審メールやその添付ファイル（正面玄関） | 2 | 2.2 |
| 計（侵入経路が判明したもの） | 92 | 100.0 |
警察庁の表は「その他」の内訳を示していない。平面図では、中身を特定しない3つ目の出入口として搬入口を描いた。
2025年は92件中10件（10.9%）。5年間では485件中63件で、どの年もメールより多い。
正面玄関（メール）は2件
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 侵入経路（図の開口部） | 件数 | % |
|---|---|---|
| VPN機器（VPN の扉） | 61 | 66.3 |
| リモートデスクトップ（窓） | 19 | 20.7 |
| その他（搬入口） | 10 | 10.9 |
| 不審メールやその添付ファイル（正面玄関） | 2 | 2.2 |
| 計（侵入経路が判明したもの） | 92 | 100.0 |
メールは誰でも会社のアドレスに送れる。そのため社員に届く前にフィルタを通り、受け取る PC ではウイルス対策ソフトが動いている。平面図では、この検査を正面玄関の受付として描いた。
警察庁の区分名は「不審メールやその添付ファイル」。2025年は92件中2件（2.2%）だった。
5年間でメールは485件中24件
2021年から2025年まで、メールはどの年も4区分で最も少ない。
出典: 警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)
データ
| 侵入経路（2021〜2025年） | 件数 | % |
|---|---|---|
| VPN機器 | 293 | 60.4 |
| リモートデスクトップ | 105 | 21.6 |
| その他 | 63 | 13.0 |
| 不審メールやその添付ファイル | 24 | 4.9 |
| 計（侵入経路が判明したもの） | 485 | 100.0 |
VPN 機器とリモートデスクトップを合わせると398件になる。
表が記録するのは入口で、パスワードの出どころは記録しない。フィッシングメールで盗まれたパスワードで VPN にログインされた場合も、VPN 機器に数えられる。
2021年から毎年、VPN 機器が最多
出典: 警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)警察庁 令和４年におけるサイバー空間をめぐる脅威の情勢等について (p.5 図表6)警察庁 令和５年におけるサイバー空間をめぐる脅威の情勢等について (pp.25–26 図表25)警察庁 令和６年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheet 資料編P46(3))警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 年 | 有効回答 | VPN機器 | RDP | その他 | メール | VPN % |
|---|---|---|---|---|---|---|
| 2021年 | 76 | 41 | 15 | 15 | 5 | 53.9 |
| 2022年 | 102 | 63 | 19 | 11 | 9 | 61.8 |
| 2023年 | 115 | 73 | 21 | 15 | 6 | 63.5 |
| 2024年 | 100 | 55 | 31 | 12 | 2 | 55.0 |
| 2025年 | 92 | 61 | 19 | 10 | 2 | 66.3 |
| 2026年上半期 | 36 | 18 | 9 | 9 | 行なし | 50.0 |
VPN 機器の割合は53.9%（2021年）から66.3%（2025年）の間で、どの年も最多だ。2024年は割合が下がり、リモートデスクトップが31件に増えた。2つの合計の割合はその年も上がっている。
2026年上半期は回答が36件で、メールの行がない。VPN 機器は36件中18件（50.0%）。半期と通年では同じ年でも値が違い、警察庁のリーフレットでは2025年上半期の VPN 機器は62.2%、通年では66.3%だった。
2026年上半期の被害報告は123件で、半期として統計開始以来最多だった。
出典: 警察庁 サイバー攻撃の被害に係る企業・団体を対象としたアンケート調査結果及び対策 (p.1)警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)
被害226件のうち143件が中小企業
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 年 | 大企業 | 中小企業 | 団体等 | 報告件数 | 中小企業 % |
|---|---|---|---|---|---|
| 2022年 | 63 | 121 | 46 | 230 | 52.6 |
| 2023年 | 71 | 102 | 24 | 197 | 51.8 |
| 2024年 | 61 | 140 | 21 | 222 | 63.1 |
| 2025年 | 64 | 143 | 19 | 226 | 63.3 |
| 2026年上半期 | 31 | 79 | 13 | 123 | 64.2 |
2025年の被害報告226件のうち143件（63.3%）が中小企業だった。中小企業の割合は2022年と2023年には約半分で、2024年からは63%を超えている。
港精密は社員280人、本社と工場が1つずつの架空の会社で、この層を想定している。警察庁は侵入経路と企業規模を掛け合わせた集計を出していないので、中小企業のほうが VPN から入られやすいかはここからは言えない。
出典: 警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)
侵入口の機器344件のうち203件にパッチ未適用
出典: 警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)
データ
| 年 | 有効回答 | 未適用のパッチ有 | 最新のパッチを適用済み | 未適用 % |
|---|---|---|---|---|
| 2022年 | 100 | 65 | 35 | 65.0 |
| 2023年 | 86 | 52 | 34 | 60.5 |
| 2024年 | 87 | 46 | 41 | 52.9 |
| 2025年 | 71 | 40 | 31 | 56.3 |
| 2022〜2025年 | 344 | 203 | 141 | 59.0 |
| 2026年上半期 | 29 | 17 | 12 | 58.6 |
警察庁は侵入口になった機器のパッチ適用状況も尋ねている（「侵入経路とされる機器のセキュリティパッチの適用状況」）。2022〜2025年の回答344件のうち203件（59.0%）に未適用のパッチがあった。経路の区分ごとには分けられていない。
残り141件（41.0%）は最新のパッチが当たっていた。JPCERT/CC は、SSL-VPN 機器が脆弱だった時期に盗まれた認証情報がパッチ適用後も使えた事例を報告している。
出典: JPCERT/CC JPCERT/CC Incident Handling Report: July 1, 2024 - September 30, 2024 (p.14)
VPN 機器とリモートデスクトップの合計
出典: 警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データ
| 年 | 有効回答 | VPN機器 | RDP | 合計 | % |
|---|---|---|---|---|---|
| 2021年 | 76 | 41 | 15 | 56 | 73.7 |
| 2022年 | 102 | 63 | 19 | 82 | 80.4 |
| 2023年 | 115 | 73 | 21 | 94 | 81.7 |
| 2024年 | 100 | 55 | 31 | 86 | 86.0 |
| 2025年 | 92 | 61 | 19 | 80 | 87.0 |
2025年は2つを合わせて92件中80件（87.0%）で、2021年の73.7%から毎年上がっている。警察庁も2022年の報告で2つをまとめ、「テレワーク等に利用される機器等のぜい弱性や強度の弱い認証情報等を利用して侵入したと考えられるものが81％と大半を占めた」と書いている。
どちらも社外の人が社内で仕事をするための入口で、相手が誰か分かる前にインターネットからの接続を受け付ける。
出典: 警察庁 令和４年におけるサイバー空間をめぐる脅威の情勢等について (p.5 図表6)
技術者向けの詳細
海外の統計でも境界機器が主な標的になった
Verizon の Data Breach Investigations Report（DBIR）は世界の情報漏洩事案を集計している。データの集め方も区分も警察庁と違うので、割合は比べられない。
| 指標 | DBIR 2025 | DBIR 2026 |
|---|---|---|
| 初期侵入に占める脆弱性悪用 | 20% | 31%（初期侵入の手段として最多） |
| 脆弱性悪用の標的に占めるエッジ機器と VPN | 22%（前年版は3%） | サマリーに記載なし |
| 修正の状況 | エッジ機器の脆弱性: 完全に修正されたのは約54%、中央値32日 | CISA KEV 掲載の脆弱性: 完全に修正されたのは26%、完全な解消まで中央値43日 |
出典: Verizon 2025 Data Breach Investigations Report: Executive Summary (p.6)Verizon 2026 Data Breach Investigations Report: Executive Summary (p.9)
2025年版では、脆弱性悪用の標的に占めるエッジ機器と VPN が前年版の3%から22%に増えた。2026年版では脆弱性悪用が認証情報の悪用を抜き、初期侵入の手段で最多（31%）になった。攻撃での悪用が確認された脆弱性を集めた CISA の Known Exploited Vulnerabilities カタログの脆弱性は、2025年中に完全に修正されたのが26%だった。
警察庁の表から分かること
2025年の VPN 機器61件には、ATT&CK で別の技術にあたる手口が少なくとも2つ混ざっている。正規の認証情報で外部向けリモートサービスにログインする手口（T1133、T1078）と、インターネットに面した機器の欠陥を突く手口（T1190）だ。多要素認証は使い回されたパスワードを止めるが、ログイン前に働く欠陥には確認まで進まない。
| 知りたいこと | 警察庁の表から分かるか |
|---|---|
| どの開口部から入られたか | 分かる。4区分で、1回答につき1つ（令和7年 統計データ 統計編P124）。 |
| 盗まれたパスワードか、機器の欠陥か | 分からない。どちらも同じ「VPN機器」に入る。 |
| 製品、ベンダー、ファームウェアのバージョン | 分からない。 |
| 機器にパッチが当たっていたか | 別の表（統計編p153）で分かる。ただし経路の区分ごとではない。未適用のパッチがあっても、それが悪用された欠陥だったとは限らない。 |
| 「その他」の中身 | 分からない。 |
| 経路が不明だった事案 | 除かれている。2025年は被害報告226件に対し、経路を挙げた回答は92件。 |
JPCERT/CC のインシデント報告対応レポート（2024年7月〜9月）は、CVE-2023-27997 と CVE-2024-21762 が悪用された脆弱性に含まれると推定される SSL-VPN への侵入を報告している。一部は修正の適用前に盗まれた認証情報による侵入だった。警察庁の表では、これはパッチ適用済みの機器からの「VPN機器」1件になる。JPCERT/CC は、ファームウェア更新の前に侵入の痕跡を確認し、侵入を否定できなければアカウントのパスワード変更を検討するよう勧めている。
出典: JPCERT/CC JPCERT/CC Incident Handling Report: July 1, 2024 - September 30, 2024 (p.14)警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)警察庁 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編p139, p143, p148, p153)