サイバー攻撃の侵入経路は業界で違う｜学校・病院・自治体・企業を比較

2026.08.25
サイト内検索

CYBERSECURITY GUIDE

サイバー攻撃の「最初の侵入口」は業界でどう違う？

学校・病院・自治体・企業を最新データで比較。むずかしい専門用語をできるだけ使わず、攻撃者がどこから入り、何を守るべきかをわかりやすく解説します。

｜ 読了目安：約10分

学 学校 教育クラウド・メール
医 病院 保守用VPN・委託先
公 自治体 公開サービス・境界機器
企 企業 VPN・RDP・認証情報
SCHOOL 学校は「クラウドと人」

多数のID、学習アプリ、メールが入口になりやすい。

HOSPITAL 病院は「保守用の通路」

医療機器を直すためのVPNや委託先接続に注意。

GOVERNMENT 自治体は「外側のシステム」

住民向けWebサービスや委託先が狙われる。

BUSINESS 企業は「業種で変わる」

日本のランサムウェアではVPNとRDPが中心。

サイバー攻撃の「最初の侵入口」とは？

サイバー攻撃のニュースを見ると、どの事件も同じように感じるかもしれません。しかし、攻撃者が最初に使う「ドア」は、組織によって違います。

最初の侵入口とは、攻撃者が最初にパソコン、サーバー、クラウドのアカウントなどへ入り込む方法のことです。専門用語では「初期侵入」や「Initial Access」と呼ばれます。

たとえば、偽メールでパスワードを盗む方法、更新されていない機器の弱点を使う方法、取引先のネットワークから入る方法があります。この記事では、攻撃者による侵入を扱います。メールの送り間違い、USBメモリの紛失、ホームページを一時的に見られなくするDDoS攻撃などは、別の問題なので集計から外しています。

学校・病院・自治体・企業の侵入経路を比較

世界の確認済み侵害2万件以上を分析した「Verizon 2026 Data Breach Investigations Report（DBIR）」では、次の違いが確認されています。

分野 弱点を悪用 フィッシング 盗まれたID・パスワード 委託先など第三者の関与
学校・教育 34% 22% 8% 40%
病院・医療 20% 14% 11% 32%
自治体・行政 40% 20% 8% 36%
全業種の平均 31% 16% 13% 48%

※DBIRは世界の事例を集めた調査で、日本だけの発生率ではありません。各数字は「わかっている侵入口」の割合で、その他・不明もあるため合計は100%になりません。「第三者の関与」はほかの項目と重なる別の指標です。

学校の侵入口：教育クラウドと多数のアカウント

01

「子どもが使うから狙われない」は間違い

学校では、公開Webシステムの弱点を使った侵入が34%、フィッシングが22%です。教育クラウドや学習アプリを使う人が増え、攻撃者が試せる入口も増えています。

偽のパスワード変更メール→ 教職員が入力→ 学校メールへ不正ログイン→ 共有ファイルを探す

学校で入口が増える理由

  • 児童生徒と教職員のIDが多い
  • 1人1台端末や学習アプリがある
  • 学校・教育委員会・業者で管理が分かれる
  • 長期休暇中に更新や監視が遅れやすい

学校が先に行う対策

  • 教職員と管理者に強い多要素認証を使う
  • 使っているクラウドとWebサービスを一覧にする
  • 卒業・転校・退職時にIDをすぐ止める
  • 教育サービス会社の安全対策も確認する

文部科学省も、学習用ツールやクラウド上のID・パスワードを安全に管理し、重要な情報を扱うクラウドでは多要素認証を使うよう求めています。学生のアカウントに強い権限がなくても、友人や教職員へ偽メールを広げる足場に使われるため注意が必要です。

病院の侵入口：保守用VPNと委託先の接続

02

病院には「業者用の勝手口」が多い

CT、検査装置、電子カルテなどは、別々のメーカーが遠隔で点検することがあります。そのため病院のネットワークには、保守用VPNやリモートデスクトップと呼ばれる外部接続が多く存在します。

半田病院 保守用VPN装置の弱点など
大阪急性期・総合医療センター 給食事業者のリモート接続
岡山県精神科医療センター 保守用VPN装置の弱点など
日本医科大学武蔵小杉病院 保守用VPN装置の弱点など
7〜47

厚生労働省の現地調査では、1つの医療機関に7～47か所の外部接続点が確認されました。台帳に載っていない機器や接続も見つかっています。

病院で起きやすい問題

  • 医療機器ごとに保守会社が違う
  • 止められない古い機器を使い続ける
  • 病院全体の接続図を誰も把握していない
  • 業者と共有するIDが残っている

病院が先に行う対策

  • すべての保守回線と接続機器を調べる
  • 業者ごとに専用IDと多要素認証を使う
  • 保守接続は必要な時間だけ許可する
  • 電子カルテと他システムの通信を分ける

VPNは通信を安全にする仕組みですが、VPN機器そのものが古かったり、盗まれたパスワードだけでログインできたりすれば、攻撃者用の入口になってしまいます。「VPNだから安全」ではありません。

自治体の侵入口：公開サービスと庁内ネットワークの外側

03

守られた中心部より「外側」が狙われる

自治体では、システムの弱点を使った侵入が40%で、4分野の中でも特に高い割合です。電子申請や住民向けサイトなど、インターネットへ公開するサービスが狙われます。

公開システムの弱点→ インターネット側へ侵入→ IDや接続情報を盗む→ 委託先データを探す

日本の自治体は、マイナンバーを扱うネットワーク、LGWANを使うネットワーク、インターネットを使うネットワークを分ける「三層の対策」を進めてきました。これは大切な防御ですが、危険がなくなるわけではありません。攻撃者の狙いが、クラウド、Webサービス、データの受け渡し部分、委託先へ移るからです。

自治体で狙われる場所

  • 電子申請・予約・住民向けWebサイト
  • メールやWeb会議を使う端末
  • 税・給付・印刷・健診などの委託先
  • クラウドと庁内をつなぐ部分

自治体が先に行う対策

  • インターネットに公開した機器を一覧にする
  • 危険な弱点は期限を決めて直す
  • 職員と委託先に多要素認証を使う
  • 委託先のログ保存や再委託条件を契約に入れる

自治体が直接攻撃されなくても、住民情報を預けた印刷会社やシステム会社が侵害されれば、自治体の情報が漏れる可能性があります。庁舎の中だけでなく、データを預けている先まで含めて守る必要があります。

企業の侵入口：業種差は大きいが、VPNとRDPに注意

04

「企業」をひとまとめにすると本当の危険を見失う

工場を持つ製造業、クラウド中心のIT企業、多数の店舗を持つ小売業では、入口が違います。ただし、日本の重大なランサムウェア被害では、VPNとリモートデスクトップ（RDP）が共通して目立ちます。

VPNとRDPを合わせると約87%です。一方で、不審メールは2%でした。ただし、これは「ランサムウェア感染が起きた組織」だけの調査です。メール詐欺、クラウドの乗っ取り、送金をだまし取る攻撃まで少ないという意味ではありません。

業種による違い

  • 製造業：工場の遠隔保守や取引先接続
  • 金融：メール、本人確認、認証情報
  • 小売：ECサイト、店舗システム、委託先
  • 中小企業：古いVPN、少人数での兼任管理

企業が先に行う対策

  • 不要なVPN・RDPをインターネットから閉じる
  • VPN機器を更新し、多要素認証を必須にする
  • 海外拠点・工場・子会社も同じ基準で調べる
  • 取引先に与えた権限を最小限にする

4分野に共通するサイバーセキュリティ対策

入口の形は違っても、攻撃者が狙うものは大きく4つに分けられます。

人 偽メールや電話で、パスワードや操作をだまし取る。
機器 古いVPNやサーバーの、直していない弱点を使う。
アプリ Webサービスやクラウドの設定ミスを探す。
つながり 委託先、取引先、保守会社を足場にする。

何から始めればよい？ 優先順位はこの6つ

  1. 外から接続できる機器とサービスを一覧にする。
    知らない機器は更新も監視もできません。まず「何があるか」を確認します。
  2. 特に危険な弱点を急いで直す。
    VPN、ファイアウォール、公開Webサーバーなど、外から触れる機器を優先します。
  3. 多要素認証を使う。
    パスワードだけで入れないようにします。管理者、教職員、職員、保守業者から始めます。
  4. 委託先の接続と権限を減らす。
    必要な人が、必要な時間だけ、必要なシステムへ入れるようにします。
  5. ネットワークを分け、ログを残す。
    侵入されても全体へ広がりにくくし、「いつ、誰が、どこへ入ったか」を調べられるようにします。
  6. オフラインバックアップと復旧訓練を行う。
    バックアップは作るだけでなく、攻撃者から切り離し、実際に戻せるか試します。

サイバー攻撃の侵入経路についてよくある質問

現在、最も多いサイバー攻撃の侵入口は何ですか？

すべての侵害を世界規模で見ると、2026年の調査ではソフトウェアの弱点を使う方法が31%で最多です。日本のランサムウェア被害に限ると、VPN機器とリモートデスクトップが合わせて約87%でした。調査対象によって答えが変わります。

VPNを使っていれば安全ですか？

安全とは限りません。VPNは通信を守る仕組みですが、VPN機器が古い、パスワードが弱い、多要素認証がない場合は侵入口になります。機器の更新と認証の強化が必要です。

学校では児童生徒のアカウントも危険ですか？

はい。強い管理権限がなくても、同級生や先生へ偽メールを送る、共有ファイルを見る、ほかのサービスへ同じパスワードを試すなどの足場にされる可能性があります。

病院では、なぜ保守用の接続が問題になるのですか？

病院には多くの医療機器があり、メーカーや保守会社が遠隔点検する接続も増えます。病院側がすべての接続を把握していないと、古い機器や不要なIDが残り、攻撃者に利用されやすくなります。

自治体はネットワークを分離しているので安心ですか？

分離は被害を広げないために有効ですが、それだけでは不十分です。住民向けWebサービス、クラウド、メール、委託先など、分離された中心部の外側にも重要なデータと接続があります。

最初に行うべき対策を1つ選ぶなら何ですか？

外部から接続できる機器、Webサービス、クラウド、委託先接続を一覧にすることです。何が公開されているかわからなければ、弱点の修正や多要素認証の設定漏れを見つけられません。

調査に使用した主な資料

本記事は公表資料をもとに、一般読者向けに言葉を置き換えて整理したものです。統計は調査方法や対象地域が異なるため、単純な発生件数の予測には使えません。

まとめ：守るべき「ドア」は組織ごとに違う

学校は多数のIDと教育クラウド、病院は保守用VPN、自治体は公開サービスと委託先、企業はVPN・RDP・認証情報が主な入口です。共通する第一歩は、外部から入れる場所をすべて見つけ、古い機器・弱い認証・不要な接続を減らすことです。攻撃を完全にゼロにはできなくても、入口を減らし、侵入後に広がらない仕組みを作れば、被害は大きく抑えられます。

コメント