リモートデスクトップの不正アクセスを防ぐには｜ランサムウェアの入口になる理由と、自社が公開していないか確かめる方法

01この記事でわかること（3行まとめ）

• リモートデスクトップは、ランサムウェアの主な入口の一つです。警察庁の統計では、令和3年から令和7年の5年間に被害組織が答えた感染経路485件のうち、105件がリモートデスクトップからでした。VPN機器（293件）に次ぐ多さです。
• まず、自社が外から入れる状態になっていないかを確かめる。パソコンのリモートデスクトップの設定、ルーターの「ポート転送」、保守の会社が使う接続を順に確認します。
• インターネットに直接出さない。Microsoft は、PC をインターネットに開くことは勧めないとし、VPN を使うよう案内しています。そのうえで、ネットワークレベル認証（NLA）、多要素認証、アカウントのロック、Windows の更新を重ねます。

この記事は、これから守りを固めるための内容です。すでにファイルが開けない、脅迫文が出ているときは、ランサムウェアに感染したら最初の1時間でやることを先に読んでください。

02そもそもリモートデスクトップ（RDP）って何？（1分でわかる）

リモートデスクトップは、離れた場所から、別のパソコンやサーバーの画面を呼び出して操作できる Windows の機能です。やり取りの決まりを「RDP（Remote Desktop Protocol）」と呼びます。Microsoft によると、つながると、デスクの前に座っているかのように、そのパソコンのすべてのアプリ、ファイル、ネットワークの資源を使えます。

たとえるなら、会社の裏口の鍵を、通りに面したところに付けておくようなものです。社員が家から入るには便利ですが、通りを歩く誰もがその扉を見つけられ、鍵を試せます。鍵（ID とパスワード）が弱かったり、どこかで盗まれていたりすれば、そのまま入られてしまいます。

Microsoft によると、受け手（ホスト）になれるのは Windows の Professional、Enterprise、Education と Windows Server です。Windows の Home は、接続する側としては使えますが、受け手にはなれません。この記事に出てくる言葉は、次の意味です。

関係する言葉は、用語集の「総当たり攻撃」と「VPN」にもまとめています。

03なぜ「インターネットに直接出す」と危ないのか

社外からリモートデスクトップを使う方法として、Microsoft は「ルーターでポート転送を有効にする」と「VPN を使う」の2つを紹介しています。ポート転送は、ルーターの公開されたアドレスの窓口を、社内のパソコンの窓口に結びつける設定です。ただし Microsoft は、この方法について「PC をインターネットに開いていますが、これはお勧めしません」と警告し、VPN を使うことを推奨しています。VPN でつなぐなら、パソコンをインターネットに開く必要はないとしています。

直接出すと危ない理由は、公的機関の説明から次の3つにまとめられます。

• 誰でも鍵を試せる。警察庁は、認証情報の漏えいや簡単なパスワードのせいで、ネットワーク機器やリモート・デスクトップ・サービスの認証を突破されて侵入される事例が多数確認されているとしています。
• 探されている。JPCERT/CC は2019年12月の注意喚起で、リモートデスクトップサービスを狙ったスキャン活動（インターネット上で入口を探す動き）を継続的に観測していると書いています。
• 弱点を突かれることがある。2019年5月には、認証されていない遠隔の攻撃者が RDP で細工したリクエストを送り、任意のコードを実行できるおそれのある脆弱性（CVE-2019-0708）が公表され、のちに悪用も確認されています（JPCERT/CC）。

JPCERT/CC は2017年の注意喚起で、遠隔から管理するためにサーバーやパソコンに直接インターネットのアドレス（グローバル IP アドレス）を割り当てている場合などに、マルウエアに感染したり、不正に使われたりする報告を複数受けているとしていました。「とりあえず外からつながればいい」と作った設定ほど、見直されずに残りやすい点に注意してください。

04ランサムウェアの入口になる流れ（公的機関の説明）

警察庁の「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」は、近年はインターネットに露出した箇所から攻撃者が遠隔操作でネットワークの内部に侵入する手口が多くを占め、メールの添付ファイルによる感染は少なくなっていると書いています。そのうえで、代表的な流れを次のように説明しています。

1. 侵入：未修正の脆弱性や漏えいした認証情報などを悪用して、組織のネットワークに入る。
2. 権限を広げる：管理者権限の奪取や、セキュリティの無効化を試みる。
3. 中を探る：内部を調べて、重要なデータやバックアップを探す。
4. 盗む：データをクラウドなどにアップロードして盗む。
5. 暗号化して脅す：ランサムウェアを動かして暗号化し、脅迫文を残して身代金を求める。

リモートデスクトップは、この1番目の「侵入」に使われます。JPCERT/CC の「侵入型ランサムウェア攻撃を受けたら読むFAQ」は、代表的な侵入手口の一つに「リモートアクセスの出入口を経由した侵入」を挙げ、攻撃者が外から接続するための出入口を調べ、総当たり攻撃や不正に販売されている認証情報などを使って認証を突破すると説明しています。IPA の「情報セキュリティ10大脅威 2026」も、盗んだ認証情報による不正アクセスや、意図せず外部に公開されているポート（リモートデスクトップなど）を悪用した不正アクセスで侵入し、ランサムウェアに感染させる手口を挙げています。

リモートデスクトップは、入られたあとに社内で広がるときにも使われます。JPCERT/CC の FAQ は、被害が出た拠点からリモートデスクトップなどで自拠点に接続できる場合、侵害が及ぶ可能性があるとしています。入口だけでなく、社内のパソコン同士の接続も絞っておくことが大切です。

05数字で見る：ランサムウェアの侵入経路（警察庁の統計）

警察庁は、ランサムウェアの被害にあった組織へのアンケートで、感染経路を集計しています。2026年9月に公表された統計データ（令和8年上半期分）から、リモートデスクトップの件数を抜き出しました。

合計は、不明・未回答を除いた件数です。5年間（令和3〜7年）の合計では、485件のうちリモートデスクトップが105件、VPN機器が293件、不審なメールやその添付ファイルが24件でした。IPA は同じ統計をもとに、VPN機器とリモートデスクトップを合わせると2022年から2025年まで毎年8割を超え、2025年は87.0％だったとしています。

この数字から言えるのは、ランサムウェアの入口の大半が「外から社内へつなぐための仕組み」だということです。VPN機器そのものの弱点と対策は、VPN機器を狙った攻撃の記事にまとめています。統計全体は、警察庁の令和8年上半期の統計のニュースで紹介しています。

06公表されている被害の例（IPAの届出事例）

IPA に届けられた事例をまとめた「コンピュータウイルス・不正アクセスの届出事例［2023年上半期（1月〜6月）］」には、リモートデスクトップが関わったとみられる例が載っています。どれも、届け出た組織が推測している原因です。

• 検証用のサーバーから広がった例（企業）：バックアップ管理用のサーバーに脅迫文が残されていた。検証用のサーバーが外部からのリモートデスクトップ接続を許可していて、多数のログイン失敗の記録があったことから、総当たり攻撃で認証を突破されたと推測。さらにそのサーバーを踏み台に、弱いパスワードのバックアップサーバーなどへ不正なリモートデスクトップ接続をされ、被害が広がったとみている。
• 医療機関の例：電子カルテのサーバーとの通信が切れ、NAS のファイルが暗号化されていた。被害を受けたサーバーが外部からリモートデスクトップ接続できる状態だったことから、総当たり攻撃などで認証を突破された、または VPN 装置の脆弱性を悪用されたと推測。オフラインのバックアップから復旧した。
• 社内で広がった例（企業）：数十台のサーバーや NAS が暗号化された。社内のネットワークでリモートデスクトップのアクセスが許可されていたことと、弱いパスワードの機器があったことから、総当たり攻撃などで認証を突破されたと推測している。

共通しているのは、「外から入れる状態」「弱いパスワード」「社内で自由に行き来できる状態」の重なりです。一つでも減らせば、被害は小さくなります。

07自社が公開していないか確認する方法

• パソコンの設定：リモートデスクトップが「オン」になっているパソコンやサーバーを洗い出す
• ルーター・UTMの設定：外からの通信を社内のパソコンに回す「ポート転送」がないか見る
• 直接つながっている機器：インターネットのアドレスが直接割り当てられたパソコンやサーバーがないか
• 保守の会社・クラウド：外部の会社が使う接続や、クラウドの仮想マシンの公開設定を聞く

1. パソコンのリモートデスクトップの設定

Windows 11 では「スタート」→「設定」→「システム」→「リモート デスクトップ」で、オンかオフかが分かります。Microsoft は、リモートデスクトップを有効にするとパソコンのポートが開き、ローカルネットワーク上の機器から接続できるようになると説明しています。使っていないなら、オフにします。オンのままにするなら、同じ画面の「リモート デスクトップ ユーザー」で、接続できる人を確かめます（Administrators グループのメンバーは、指定しなくても接続できます）。

2. ルーター・UTM のポート転送

ルーターや UTM（ファイアウォールなどをまとめた機器）の管理画面で、「ポート転送」「ポートフォワーディング」「静的 IP マスカレード」などの名前の設定を開き、社内のパソコンやサーバーに通信を回す設定がないか見ます。Microsoft によると、リモートデスクトップが使う既定のポートは 3389 ですが、別の番号に変えて転送していることもあります。番号にかかわらず、社内の機器に回している設定は、何のためのものか一つずつ確かめてください。画面の見方はメーカーごとに違うので、分からなければ機器を入れた会社に聞きます。

3. インターネットのアドレスが直接付いた機器

JPCERT/CC は、パソコンやサーバーに割り当てられた IP アドレスを確かめ、意図せずインターネットからアクセスできる状態になっていないか確認するよう呼びかけています。特に、通信カードやモデムを使っていて、意図せずグローバル IP アドレスが割り当てられている場合に注意が必要だとしています。

4. 保守の会社とクラウド

JPCERT/CC の FAQ は、侵入手口の一つにシステム運用保守の会社の回線を経由した侵入を挙げています。保守の会社に「うちの機器に、外からどうやって接続していますか」と聞き、リモートデスクトップを直接開けていないかを確かめてください。クラウドに置いたサーバー（仮想マシン）も、管理画面で外からの接続を許していないか確認します。

自社で確かめきれないときは、外から見て開いている入口を調べる脆弱性診断を頼む方法もあります。JPCERT/CC は、外からアクセスできるサービスと、その機器・ソフト・バージョン・管理責任者を把握できる体制をつくるよう勧めています。

公開していたと分かったら、まず閉じます。そのうえで、ログイン失敗が大量に記録されていないかなど、入られた跡がないかを専門の会社に調べてもらってください。

08対策1：インターネットに直接公開しない（VPN・ゲートウェイ経由）

• ポート転送をやめる。使っていない転送設定は消します。
• 社外から使うなら、VPN などの内側に置く。Microsoft は VPN を推奨しています。
• どうしても残すなら、接続元を絞る。決まった場所の IP アドレスからだけ受け付けます。

Microsoft は、VPN でつなげば、リモートデスクトップは同じネットワークの一部のように動き、パソコンをインターネットに開く必要はないとしています。Windows Server を使う会社なら、「リモート デスクトップ ゲートウェイ（RD ゲートウェイ）」という仕組みもあります。Microsoft によると、インターネット経由で暗号化された接続を提供し、VPN がなくても社外から社内の資源に安全につなげる役割です。IPA の10大脅威の解説書は、ZTNA（ゼロトラスト型のネットワークアクセス）などの、セキュリティに強いリモートワーク環境を採用することも対策に挙げています。

どうしてもポート転送を残す場合について、Microsoft は、多くのルーターでは転送を使える接続元の IP アドレスやネットワークを決められるとしています。職場からだけつなぐなら、職場のアドレスだけを許せば、インターネット全体に開かずに済みます。警察庁も、多要素認証などの強い認証と、IP アドレスなどによるアクセス制限を組み合わせるよう求めています。ただし、これは「直接公開しない」の代わりにはなりません。

VPN やゼロトラスト型のサービスは、図鑑の法人VPN・リモートアクセスとゼロトラスト・SASEで比べられます。VPN を入れたら、その機器自体の更新も必要です（VPN機器を狙った攻撃の記事）。

09対策2：ネットワークレベル認証（NLA）と多要素認証

• NLA を有効にする。画面を出す前に本人確認をします。
• 多要素認証を入れる。パスワードが盗まれても、それだけでは入れないようにします。

Microsoft は、ネットワークレベル認証を有効にすると、リモートのセッションが始まる前にユーザーが認証を受ける必要があり、不正アクセスのリスクが下がるとして、ほとんどの環境で有効にするよう勧めています。古い機器から接続するために一時的に無効にした場合は、元に戻してください。IPA の10大脅威の解説書も、RDP を使うときはネットワークレベル認証を行うよう書いています。

多要素認証は、パスワードのほかにスマホのアプリなどでも本人を確かめる仕組みです。警察庁は、多要素認証などの強い認証手段を積極的に取り入れるよう求めています。リモートデスクトップそのものに多要素認証を付けるのは手間がかかるので、多要素認証に対応した VPN、RD ゲートウェイ、ゼロトラスト型のサービスの内側に置き、入口で確かめる形にすると進めやすくなります。くわしくは用語集「多要素認証」へ。

10対策3：アカウントのロックとパスワード、権限

• ログインの失敗が続いたらロックする。総当たり攻撃を効きにくくします。
• パスワードを長く、使い回さない。初期パスワードや簡単な文字列は使いません。
• 接続できる人と権限を最小にする。管理者の権限は特に絞ります。

Windows の「アカウント ロックアウトのしきい値」は、ログインに何回失敗したらアカウントをロックするかを決める設定です。Microsoft は、失敗できる回数を制限すれば、総当たり攻撃の効果をほぼなくせるとし、Windows のセキュリティの基準（セキュリティ ベースライン）は10回を推奨していると書いています。一方で、犯人がわざと失敗を重ねて社員のアカウントを使えなくする「サービス妨害」に使われるおそれもあるため、ロックを解除する手順を決めておくことが必要だとしています。設定の場所は「コンピューターの構成」→「Windows の設定」→「セキュリティの設定」→「アカウント ポリシー」→「アカウント ロックアウトのポリシー」です。Windows Server のドメインで管理している会社は、保守の会社に相談して決めてください。

パスワードについて、警察庁は、初期パスワードや「password」「qwerty」「12345678」のような簡単な文字列を避け、文字数が多く推測されにくいもの、ほかのサービスで使っていないものにするよう求めています。覚えきれないときはパスワード管理を使います。

権限も絞ります。警察庁は、攻撃者はネットワークに入ると内部を探ってさらに多くのサーバーや端末を乗っ取ろうとするため、アカウントの権限や接続できる範囲を必要最小限にすることが被害の拡大を防ぐとしています。IPA の届出事例のように、1台から社内のサーバーへリモートデスクトップで次々に入られないよう、リモートデスクトップで接続できる人と機器を最小限にしてください。

11対策4：Windowsの更新とサポート切れ

• Windows Update を止めない。セキュリティ更新プログラムは早めに適用します。
• サポートが切れた Windows を外につながない。更新が届かないため、弱点が残ります。

前に触れた CVE-2019-0708 について、JPCERT/CC は、Microsoft Update や Windows Update などでセキュリティ更新プログラムを適用することで対策できるとしていました。対象は Windows 7 や Windows Server 2008 R2 などの古い Windows で、すでにサポートが終わっていた Windows XP と Windows Server 2003 向けにも更新プログラムが出されました。それだけ危険な弱点だったということです。

Microsoft は、ランサムウェア対策として、ソフトウェアを最新の状態とサポート対象の状態に保つこと、サポートされていない OS や古いプロトコルを分離・無効化・廃止することを挙げています。IPA の10大脅威の解説書も、サポート切れやメンテナンスができない機器を使わないよう書いています。工場や医療機器など、どうしても古い Windows が残る場合は、インターネットからも社内の他の機器からも切り離し、保守の会社と扱いを決めてください。

侵入に気づくための備えとして、EDR（法人向けウイルス対策）や、UTM・ファイアウォールも検討できます。警察庁は、侵入やその前兆を検知して対処するために、ウイルス対策ソフトや EDR、ネットワーク監視製品の導入が有効だとしています。

12困ったときの相談先

中小企業がまとめて相談できる窓口としては、サイバーセキュリティお助け隊サービスもあります。

13よくある質問