「情報漏洩」と聞くと、怪しいメールの添付ファイルをうっかり開いてしまって……というイメージを持っている人がまだ多いかもしれません。ところが、警察庁やVerizonが公開している最新のレポートを読むと、攻撃者の“入口”はここ数年でかなり様変わりしています。今回は2025〜2026年に公開された統計をもとに、近年の情報漏洩・ランサムウェア攻撃の侵入経路を整理し、エンジニアが自分の持ち場で見直せるポイントまでまとめてみました。
侵入経路（初期アクセス）とは？まず攻撃の流れをざっくり押さえる
セキュリティの文脈でいう「侵入経路」は、攻撃者が組織のネットワークやシステムに最初の一歩を踏み入れる手段のことで、英語ではInitial Access（初期アクセス）と呼ばれます。情報漏洩というと“抜かれる瞬間”に目が行きがちですが、実際には入口、内部での横展開、持ち出しという段階を踏んでいるんですね。
警察庁の資料では、ランサムウェア攻撃の典型的な流れとして、未修正の脆弱性や漏えいした認証情報で侵入し、管理者権限の奪取やセキュリティの無効化を試みながら内部を探索、データをクラウドなどへアップロードして窃取した後に暗号化、最後に痕跡を消す……という順番が紹介されています。同資料では、データを窃取したうえで「払わなければ公開する」と迫る二重恐喝が被害の多くを占めるとも書かれています。すべての事例でデータが持ち出されるわけではありませんが、ランサムウェア被害は情報漏洩とセットで考えておいたほうが実態に近いです。
だからといって、入口さえ塞げば安心というわけではありません。侵入後の横展開や権限昇格を抑える多層防御も欠かせないのですが、「どこから入られているのか」を知ることは、対策の優先順位を決めるうえで一番コスパの良い出発点になります。今回の記事はそこにフォーカスしています。
統計で見る侵入経路ランキング【国内・海外の最新データ】
まずは数字から見ていきましょう。国内は警察庁の「サイバー空間をめぐる脅威の情勢等について」、海外はVerizonのDBIR（Data Breach Investigations Report）が代表的なデータソースです。どちらも定期的に更新されるので、ざっくり“今のトレンド”を掴むのにちょうどいいんですよ。
国内：警察庁の統計ではVPN機器とリモートデスクトップが圧倒的
警察庁の令和7年（2025年）版のまとめでは、ランサムウェアの被害報告件数は226件でした。このうち感染経路について回答が得られたものを見ると、VPN機器が約66%、リモートデスクトップが約21%と、この2つだけで9割近くを占めています。一方、不審メールやその添付ファイルは約2%しかありません。メール経由のイメージが強い人ほど、ちょっと意外な数字ではないでしょうか。
さらに2026年9月に公開された令和8年上半期版では、半期のランサムウェア被害報告件数が123件と、統計を取り始めてから最多を更新しました。インターネットに露出した箇所から遠隔で侵入する手口が多くを占め、標的型メールの添付ファイルによる感染は少なくなっている、と明記されています。被害組織へのアンケートでは、侵入経路はVPN機器が約5割とのこと。
ただし、この割合はあくまでアンケートに回答した組織の範囲での数字で、123件すべてを調べた結果ではありません。半期の数字なので、年間の傾向と完全に一致するとも限らない点は押さえておきたいところです。それでも「メール対策だけでは入口の半分以上を見逃しかねない」という傾向は、どの年の統計を見ても変わっていません。
海外：Verizon DBIR 2026では「脆弱性の悪用」がついに1位に
世界の傾向も見てみます。2026年5月に公開されたVerizonのDBIR 2026では、脆弱性の悪用がデータ侵害の侵入手段として31%を占め、盗まれた認証情報を上回って初めてトップになりました。海外メディアの報道によると、同じ集計でフィッシングは16%、認証情報の悪用は13%だったそうです。
ちなみに前年版のDBIR 2025では、既知の初期アクセス経路として認証情報の悪用が22%で首位、脆弱性の悪用は20%で2番手でした。同じ年には、取引先や委託先など第三者が関与した侵害の割合が30%と前年から倍増したことも話題になっています。
ただ、DBIRは年ごとに分析対象のデータセットが変わるので、「20%→31%」を単純な増加率として読むのは少し注意が必要です。とはいえ、脆弱性の悪用が主要な侵入手段の座についた、という大きな流れは読み取れると思います。
国内と海外では統計の取り方が違うので単純比較はできませんが、「インターネットに公開されている機器やサービスの穴を突かれる」という傾向は共通しています。ここからは、エンジニアとして特に押さえておきたい侵入経路を5つに分けて掘り下げていきます。
侵入経路①：VPN機器・境界装置の脆弱性
国内統計で断トツのVPN機器。テレワークの普及で一気に導入が進んだものの、「入れたまま放置」になっているケースが少なくないのが問題です。VPNやファイアウォールのような境界装置はインターネットに直接さらされているうえ、社内ネットワークへの“正規の玄関”なので、ここを突破されると内部からは正規ユーザーと見分けがつきにくいんですよ。
Verizonも、脆弱性悪用の増加はエッジデバイスやVPNを狙ったゼロデイ攻撃が中心だと指摘しています。警察庁の令和8年上半期版でも、脆弱性探索行為などの不審なアクセスは1日・1IPアドレスあたり1万3,687件と、前年から50.7%増えています。スキャンは「いつか来る」ものではなく、常時飛んできている前提で考えたほうがいいです。
加えて見落とされがちなのが、侵入時に抜かれた認証情報の再利用です。パッチを当てても、脆弱性を突かれた時点でアカウント情報が盗まれていれば、攻撃者は正規のIDとパスワードで再ログインできてしまいます。パッチ適用が遅れて侵害の疑いがある場合は、ログを調べたうえで関連する認証情報やセッションの無効化・更新までやる。これ、地味ですがかなり大事なポイントです。
侵入経路②：漏えいした認証情報とインフォスティーラー
2つ目は、どこかで盗まれたIDとパスワードがそのまま使われるパターンです。最近はブラウザに保存されたパスワードやセッションCookieをごっそり盗む「インフォスティーラー」と呼ばれるマルウェアが猛威を振るっていて、盗まれた情報は闇市場で売り買いされています。
DBIR 2026の分析では、事前に認証情報の漏えいがあったランサムウェア被害者の半数が、漏えいから95日以内に攻撃を受けていたそうです。初期アクセスブローカーと呼ばれる“入口を売る業者”から認証情報を買い、攻撃者は侵入後の作業に集中する……という分業化が進んでいるわけですね。攻撃側のほうがよっぽど業務効率化している気がします。（まったく笑えませんが）
開発者目線で怖いのは、私物PCや検証用の端末にインフォスティーラーが入り込み、そこに残っていたGitHubやクラウドのログインセッションが盗まれるケースです。多要素認証を入れていても、認証済みセッションのCookieを盗まれると、追加の認証なしにセッションを悪用されることがあります。パスキーはフィッシングに強い有力な選択肢ですが、端末そのものの侵害やログイン後のセッション窃取までは単独で防げません。セッションの失効・再認証、端末の保護、認証情報のローテーションを組み合わせるのが現実的です。
侵入経路③：サプライチェーン攻撃（npmパッケージ・委託先・SaaS）
3つ目はサプライチェーン、つまり自社ではなく“取引先や使っている部品”を経由した侵入です。IPAの「情報セキュリティ10大脅威 2026」でも、組織編の2位に「サプライチェーンや委託先を狙った攻撃」が入っています。ちなみに1位は「ランサム攻撃による被害」、3位には「AIの利用をめぐるサイバーリスク」が初めてランクインしました。なお、10大脅威は被害件数の集計ではなく、専門家などで構成される選考会が社会的影響を踏まえて決めるランキングです。
npmを襲った自己増殖型ワーム「Shai-Hulud」
フロントエンドエンジニアにとって一番身近なサプライチェーンといえばnpmでしょう。2025年9月に確認された「Shai-Hulud」は、メンテナーのアカウントを乗っ取り、インストール時に動く不正スクリプトをパッケージに仕込んで秘密情報を盗むワーム型の攻撃でした。盗んだnpmトークンを使って、そのメンテナーが管理する別のパッケージにも自分自身を仕込んで再公開していくという、なかなかエグい仕組みです。
同年11月には「Shai-Hulud 2.0」が確認されました。プレインストール段階で実行されるように変わったことで影響範囲が一気に広がり、数万規模のGitHubリポジトリに影響が出たとPalo Alto NetworksのUnit 42が報告しています。盗まれたクラウドのトークンやGitHubの認証情報が公開リポジトリにばらまかれるなど、被害がさらに次の被害を呼ぶ連鎖が起きました。
npm installした瞬間にコードが実行されうる、という前提を改めて意識させられる事件でした。lockfileどおりにインストールするnpm ciは、知らないうちに新しい（汚染された）バージョンが入り込むのを防ぐのに役立ちます。ただし、すでにlockfileに悪意あるバージョンが含まれていれば、それ自体は防げません。
ライフサイクルスクリプトを止める--ignore-scriptsも有効ですが、ネイティブモジュールのビルドなどインストール時の処理が必要なパッケージもあるので、影響を確認してから使うのが安全です。CIに渡すトークンの権限を最小にする、依存の更新をレビューに通す、といった基本動作と組み合わせてはじめて防御になります。
# lockfileどおりにインストール（依存を勝手に更新しない）
npm ci
# ライフサイクルスクリプトを実行しない（ビルドへの影響を確認したうえで）
npm ci --ignore-scripts
委託先・ファイル転送サービスなど“自社の外”の入口
サプライチェーンはOSSだけではありません。警察庁の令和8年上半期版では、官公庁で利用される大容量ファイル転送サービスのサーバへの不正アクセスや、業界団体のファイル転送サービスの脆弱性を突いた個人情報の漏えいなどが、主な事例として挙げられています。自社のシステムがどれだけ堅くても、データを預けた先が破られれば情報は漏れるんですね。
先ほどのDBIR 2025で第三者の関与が倍増していたのも、この流れの延長線上にあります。委託先にどんなデータを渡しているのか、使っているSaaSや外部サービスにどこまでの権限を与えているのかを棚卸ししておくのは、開発チームでもすぐに始められる立派なセキュリティ対策です。
侵入経路④：ソースコードや設定ファイルに埋まったシークレット
4つ目は、エンジニアにとって一番“自分ごと”かもしれません。APIキーやトークンをコードに直書きしてGitHubにpushしてしまう、いわゆるシークレット漏えいです。GitGuardianの「State of Secrets Sprawl 2026」によると、2025年の1年間に公開GitHubのコミットで検出された、新たにハードコードされたシークレットは約2,865万件。前年から34%増と、過去最大の伸びだったそうです。
中でも目立つのがAI関連です。AIサービスに紐づくシークレットは127万件を超え、前年比81%増。MCP（Model Context Protocol）関連の設定ファイルからも24,008件のユニークなシークレットが見つかり、そのうち2,117件は実際に有効だったとのこと。生成AIツールの設定ファイルにAPIキーをベタ書きして、そのままコミット……というのは、まさに今起きている事故なんですよね。
しかも同レポートでは、Claude Codeが関わったコミットのシークレット漏えい率が約3.2%と、人間だけのベースライン（約1.5%）の2倍程度だったという分析も出ています。（このブログ的にはなかなか耳が痛い……）とはいえ、AIが勝手に漏らしたというより、AIに任せて差分をよく見ずにコミットしてしまう人間側の問題と捉えるのが妥当だと思います。
さらに怖いのが、2022年に有効と確認されたシークレットの64%が、2026年1月の再検証時点でもまだ無効化されていなかったという点です。漏れたこと自体より、漏れたまま無効化されないことのほうが深刻なんですよ。気づいたら即ローテーション、これが鉄則です。
# .gitignore にローカルの秘密情報を追加しておく
.env
.env.*
!.env.example
なお、.env.exampleはリポジトリに含める前提のファイルなので、ダミー値だけを書いておき、実際のキーは絶対に入れないようにしましょう。うっかり本物の値を書いたままコミット、というのも意外とよくある事故です。
侵入経路⑤：人を狙う手口（フィッシング・ボイスフィッシング・AI悪用）
最後は「人」を狙う手口です。添付ファイル型の標的型メールは国内の統計上は減っていますが、フィッシングそのものがなくなったわけではありません。DBIR 2026でもフィッシングは初期アクセスの16%を占めていますし、警察庁によると令和8年上半期のフィッシング報告件数は約73万件にのぼります。
手口もどんどん巧妙になっています。警察庁の令和8年上半期版のコラムでは、2026年5月から、企業への電話を起点に遠隔操作ソフトをインストールさせ、偽サイトでネットバンキングのIDとパスワードを盗んで不正送金する手口の被害が急増したと紹介されています。普段使っている端末から送金させることで、金融機関の端末認証や不正取引の監視をすり抜ける狙いがあると考えられているそうです。
そしてAIです。DBIR 2026でVerizonとAnthropicが共同で分析した、LLMの支援を受けた初期アクセスの手法のうち、フィッシングが44%で最多だったとされています。フィッシング全体の44%がAI製という意味ではありませんが、攻撃側がAIを真っ先に使っているのがフィッシングだ、というのは押さえておきたいポイントです。日本語の不自然さで見抜く、という従来のやり方はもう通用しにくいでしょう。メールの文面を人が見極めるのではなく、送信ドメイン認証（DMARC）やパスキーのような“仕組み”で守る方向にシフトしていく必要がありそうです。
エンジニアが今日から見直したい対策チェックリスト
ここまでの侵入経路を踏まえて、エンジニアが自分の持ち場で見直せるポイントをまとめておきます。全部を一度にやるのは大変なので、まずは「自分が触っている範囲」から優先度をつけていくのがおすすめです。インフラ寄りの人と開発寄りの人で分けてみました。
インフラ・運用まわり
- VPN・ファイアウォールなど境界機器のファームウェアを最新に保ち、侵害や漏えいが疑われる場合はログを調べたうえで認証情報・セッションを無効化・更新する
- リモートデスクトップ（RDP）をインターネットに直接公開しない
- VPNや管理画面には多要素認証、可能ならパスキーを導入する
- 使っていない公開サーバや開きっぱなしのポートを棚卸しする
警察庁も、VPN機器などの脆弱性対策や認証情報の適切な管理に加えて、バックアップとログの取得、サイバー攻撃を想定した業務継続計画の策定を呼びかけています。特にログは、侵入されたあとに「どこから入られたか」を特定するためのほぼ唯一の手がかりになるので、保存期間も含めて一度確認しておきたいところです。
開発・コードまわり
npm ciとlockfileで依存を固定し、依存の更新はレビューを通す- CI/CDに渡すトークンは最小権限・短い有効期限にする
- pre-commitでのシークレットスキャンや、GitHubのシークレットスキャン（プッシュ保護）を有効にする
- AIエージェントやMCPの設定ファイルにキーを直書きせず、環境変数やシークレット管理サービスを使う
- 漏えいに気づいたら、履歴の削除より先にキーを無効化・ローテーションする
特に最後の項目は順番が大事です。慌ててgitの履歴を書き換えたくなりますが、すでにクローンやスキャンで拾われている可能性がある以上、まずはキーそのものを無効化するのが先。そのうえで、履歴の削除やそのキーで何にアクセスされたかの調査も、間を置かずに進めていきましょう。
まとめ
近年の情報漏洩の侵入経路をざっくりまとめると、「怪しいメールを開いてしまう」から、「インターネットに公開された機器やサービスの穴を突かれる」「盗まれた認証情報やシークレットで正面から入られる」へと主戦場が移っている、ということです。国内では被害組織へのアンケートでVPN機器が侵入経路の約半数、海外では脆弱性の悪用がついに1位になりました。
そして見逃せないのが、npmのサプライチェーン攻撃やGitHubへのシークレット流出のように、開発者の日々の作業そのものが侵入経路になっている点です。AIツールで開発スピードが上がった分、キーの直書きや差分の見落としといった“うっかり”も起きやすくなっています。便利になったぶん、確認の手間まで省いてしまわないようにしたいですね。
セキュリティは専任チームの仕事、と切り分けたくなる気持ちもわかりますが、依存パッケージの更新やトークンの管理は、コードを書いているエンジニアにしかできない対策です。まずは自分のリポジトリに秘密情報が残っていないか、使っているVPNや管理画面のパッチは当たっているか。そのあたりから点検してみてはいかがでしょうか。
【参考文献】
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
- 警察庁「サイバー空間をめぐる脅威の情勢等」（令和7年版ほか） https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
- 日本HP「ランサムウェアの感染経路は？事例と対策、感染時の対応を解説」 https://jp.ext.hp.com/techdevice/cybersecurity/security_sc40_06/
- IPA「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
- IPA「プレス発表『情報セキュリティ10大脅威 2026』を決定」 https://www.ipa.go.jp/pressrelease/2025/press20260129.html
- Help Net Security「Verizon DBIR: Vulnerability exploitation is the dominant initial access vector」 https://www.helpnetsecurity.com/2026/05/20/verizon-2026-dbir-findings/
- SC Media「Verizon DBIR 2026: Vulnerability exploits top initial access as patching coverage falls」 https://www.scworld.com/news/verizon-dbir-2026-vulnerability-exploits-top-initial-access-as-patching-coverage-falls
- Verizon「2026 Data Breach Investigations Report」 https://www.verizon.com/business/resources/reports/dbir/
- Verizon「Verizon’s 2025 Data Breach Investigations Report: Alarming surge in cyberattacks through third-parties」 https://www.verizon.com/about/node/928927
- Unit 42「『Shai-Hulud』ワームがサプライチェーン攻撃でnpmエコシステムを侵害」 https://unit42.paloaltonetworks.com/ja/npm-supply-chain-attack/
- CodeZine「GitHub、npmへのサプライチェーン攻撃『Shai-Hulud』の被害状況と対策計画を発表」 https://codezine.jp/article/detail/22896
- GitGuardian「The State of Secrets Sprawl Report 2026」（公式） https://gitguardian.com/state-of-secrets-sprawl-report-2026
- GitGuardian「The State of Secrets Sprawl 2026」（DEV Community） https://dev.to/gitguardian/the-state-of-secrets-sprawl-2026-ai-service-leaks-surge-81-and-29m-secrets-hit-public-github-2bgj
- The Hacker News「The State of Secrets Sprawl 2026」 https://thehackernews.com/2026/03/the-state-of-secrets-sprawl-2026-9.html
