公開された調査報告書を読むと、被害の規模や業種は違っても、同じような弱点が繰り返し指摘されています。①外部との接続機器（VPNなど）の脆弱性の放置、②管理者権限の管理の甘さ、③バックアップまで暗号化された、④事故時の体制が決まっていなかった、の4つです。
1. 入口の機器が古いままだった
病院のランサムウェア被害の報告書などでは、VPN機器の既知の脆弱性が修正されていなかったことが侵入の原因として指摘されています。「保守はベンダー任せ」「誰が更新するのか決まっていなかった」という責任のあいまいさが背景にあることも少なくありません（VPN機器の守り方）。
2. 侵入後、簡単に広がった
共通の管理者パスワード、全員が強い権限を持つ設定、端末同士が自由に通信できるネットワークなど、攻撃者が横に移動しやすい環境が被害を大きくしています（Active Directoryの保護、ネットワークの分割）。
3. バックアップも暗号化された
バックアップが同じネットワーク上にあり、同じ管理者権限で消せたため、一緒に暗号化された例が多くあります（3-2-1ルール）。
4. 誰が決めるか決まっていなかった
復旧の優先順位、取引先への連絡、公表の判断などがその場の話し合いになり、時間を失った例も報告されています（対応計画）。
報告書は最良の教材：被害を受けた組織が公開した報告書は、同じ失敗を防ぐための貴重な資料です。自社の状況と照らし合わせて読むことをおすすめします。