ランサムウェアの感染経路と聞いて、何を思い浮かべますか。暗い部屋でフードをかぶった誰かが、黒い画面に緑の文字を流している映像。私も長らくそのイメージでした。
現実は違いました。2026年7月に公開された国際調査で、感染の入口として最も多いのは「システムの穴」ではなく「メールを開いた人」だと分かったんです。しかも、防御を突破された理由の第1位が「本物に見えたから」。
今回はこの調査結果をもとに、なぜ私たちは引っかかるのか、今日から何をすればいいのかを整理しました。セキュリティソフトを入れて安心している方ほど、読んでいってください。
先に結論
ランサムウェアの感染経路で最も多いのは、メールで人をだます「ソーシャルエンジニアリング詐欺」で34％。ソフトの脆弱性（20％）を上回ります。
つまり対策の主役は、セキュリティソフトの追加ではなく「本物に見えるメールを疑う習慣」と「オフラインのバックアップ」。この記事でその作り方まで書きます。
ランサムウェアの感染経路、1位は「脆弱性」ではなかった
まず調査の中身から。米セキュリティ企業Proofpointが2026年3月から4月にかけて、日本を含む12カ国のセキュリティ専門家953人に聞いた調査です。回答者の84％が、過去1年間にランサムウェア事案を経験していました。84％。もう「珍しい災難」ではなく、ほぼ順番待ちです。
一次情報
Proofpointの「2026 AI-Era Ransomware Report」（2026年7月22日発表）によると、最初の侵入経路はメール等で人をだます「ソーシャルエンジニアリング詐欺」が34％で最多。脆弱性の悪用（20％）、流出した認証情報の利用（18％）、リモートアクセスの侵害（15％）を上回りました。入口の内訳は不正リンクが47％、不正な添付ファイルが46％です。
数字を見て、少し拍子抜けしませんでしたか。ゼロデイ攻撃でも高度なハッキングでもなく、「リンクを押した」「添付を開いた」。私たちが毎日、何十回もやっている動作です。攻撃者は鍵をこじ開けるのをやめて、インターホンを押すようになった。そういうことです。
店長より
店頭でも「変なサイトは見ていないのに、なぜ」というご相談が本当に多いです。今は”怪しいサイト”より”普通に見えるメール”のほうが入口になっています。
なぜ引っかかる？ 突破理由の1位は「本物に見えた」
では、なぜ防げなかったのか。セキュリティ対策をかわされた理由として最も多かった回答は、「本物らしく見えたので従業員が疑わなかった」の40％。メールのセキュリティ機能で検知できなかった（33％）という技術側の敗因を、人間側の「見た目で信じた」が上回りました。
私はこれを勝手に「本物に見えた問題」と呼ぶことにしました。ウイルスの問題でも、ソフトの問題でもない。「本物に見えたら開く」という、私たち全員に最初から入っている初期設定の問題です。
日本のデータはさらに極端でした。不正な添付ファイル経由の被害が71％と、12カ国の中で突出。「不正なコンテンツに接触してしまった」を原因に挙げた回答も49％で、インドと並び最多です。届いた添付は開く。仕事だから開く。真面目さが、そのまま入口になっている構図です。
用語：ソーシャルエンジニアリング詐欺とは
ソーシャルエンジニアリング詐欺とは、システムの欠陥ではなく人の心理（信頼・焦り・習慣）を突いて、リンクのクリックや添付ファイルの開封、パスワードの入力といった行動を引き出す攻撃手法である。取引先・上司・有名企業をかたるメールが典型で、技術的な防御だけでは止めにくい。
厄介なのは、この「本物らしさ」がAIで量産できるようになったことです。同じ調査では、被害企業の65％が「AIによって攻撃の実効性が高まった」と回答しています。かつての詐欺メールには、不自然な日本語という分かりやすい目印がありました。あの目印が、消えつつあります。
……と、深刻な顔で語りましたが、要するに「攻撃側のメールが上手になった」という話です。だったらこちらは、上手なメールが来ても通用しない習慣を作ればいい。ここから先は実践編です。
今日からできる「疑う習慣」チェックリスト
特別なソフトも知識も要りません。メールを開く前の数秒で確認できることだけを並べました。
メールを開く前・開いた後の確認リスト
✓
送信元は表示名ではなく、アドレスのドメインまで確認する。正規ドメインと1文字違いのアドレスが定番の手口です。
✓
「至急」「アカウント停止」など焦らせる件名は、開く前に一呼吸置く。焦らせるのは行動を急がせたい側の都合です。
✓
メール内のリンクは押さず、ブックマークや公式アプリから直接アクセスして内容を確認する。
✓
予告のない添付や、見慣れない形式（.exe・二重拡張子など）は開かない。心当たりがあっても、別の手段で送り主に確認するのが確実です。
✓
大事なデータは週1回バックアップを取り、取ったら外して保管する（オフライン保管）。
最後のバックアップについてだけ、少し強めにお伝えします。
つなぎっぱなしの外付けHDDは、バックアップになりません
ランサムウェアは、接続中の外付けドライブや共有フォルダごと暗号化するケースが報告されています。その場合、バックアップも一緒に人質です。「取ったら外す」まで含めてバックアップだと考えてください。
「最悪、払えばいいでしょ」も通用しません。調査では被害企業の54％が身代金要求に応じましたが、支払った企業のうち37％が2度目の恐喝を受けています。払った相手は「払う客」としてリストに載るだけです。データが戻る保証もありません。
店長より
バックアップは「何を・どこに・どの頻度で」を決めるだけで一気に現実的になります。ご自分の使い方に合う形を知りたい方は、店頭でお気軽にどうぞ。
もし添付ファイルを開いてしまったら
ここからは、開いてしまった直後の動きです。順番が大事なので、上から順に実行してください。
1
ネットワークから切り離す
Wi-Fiをオフにし、LANケーブルを抜きます。他の機器への感染拡大やデータの外部送信を止めるのが最優先です。
2
別の端末からパスワードを変更する
感染が疑われるPCでは入力せず、スマホなど別の端末から、メール・ネットバンキングなど重要なアカウントの順に変更します。
3
セキュリティソフトでフルスキャンする
切り離した状態のままフルスキャンを実行します。検出・駆除できる場合があります。ただし脅迫メッセージが表示されている場合は、次のステップへ。
4
操作を止めて、専門家に相談する
暗号化が始まっている場合、再起動や初期化で状況が悪化したり、復旧の手がかりが消えることがあります。自己判断で進めず、現状のままご相談ください。
店長より
脅迫画面が出た状態での「とりあえず再起動」「とりあえず初期化」は、復旧の可能性を下げてしまうことがあります。慌てる気持ちは分かりますが、切り離したら一度手を止めてください。
よくある質問
Q
怪しいメールかどうかは、どこで見分ければいいですか？
A
送信元アドレスのドメイン・焦らせる件名・見慣れない添付ファイルの3点をまず確認してください。正規ドメインと微妙に違うアドレス、「至急」「アカウント停止」といった件名、.exeや二重拡張子の添付は代表的な注意サインです。少しでも違和感があれば、公式サイトへ直接アクセスするか電話で真偽を確認しましょう。
Q
添付ファイルを開いてしまいました。まず何をすべきですか？
A
まずWi-FiをオフにしLANケーブルを抜いて、PCをネットワークから切り離してください。被害の拡大を止めるのが最優先です。その後は別の端末からのパスワード変更とウイルススキャンを行いますが、脅迫メッセージが表示されている場合は操作を止めて専門家にご相談ください。
Q
バックアップがあれば、身代金を払わずに済みますか？
A
オフラインで保管したバックアップがあれば、支払わずにデータを復元できる可能性が高くなります。ただし、つなぎっぱなしの外付けHDDはランサムウェアに一緒に暗号化される場合が報告されているため、「取ったら外して保管する」運用が前提です。バックアップの取り方自体の見直しもおすすめします。
「本物に見えた問題」への答えは、結局これに尽きます。本物かどうかを、見た目で判断しない。見た目の信用が通用しなくなった時代に効くのは、確認の一手間だけです。伝えたいことは書きました。あとは、今日届くメールからです。
この記事を書いた人
ピシコ店長
苫小牧市のパソコン・スマホ修理店「ピシコ」店長。PC・スマホ修理歴16年。店頭での実際の修理事例をもとに、地域の方に役立つ情報を発信しています。
プロフィール詳細
その一通、開く前に3秒だけ。
不審なメールを開いてしまったかもしれない、パソコンの様子がおかしい、バックアップを見直したい。そんな時は一人で悩む前にご連絡ください。感染有無の確認からバックアップ体制づくりまでお手伝いします。
まずはご相談から
LINEは24時間受信・返信は月〜土 9:30〜19:00
