ランサムウェア対策の実務｜組織を守る多層防御の進め方と感染時の初動

企業の事業継続を脅かすランサムウェアへの対策は、今やIT部門だけでなく全社で取り組むべき経営課題です。脅威が巧妙化する中で、どこから手をつければ良いか、網羅的な対策の構築に悩む担当者も少なくありません。この記事では、ランサムウェアの被害を防ぐため、技術的・管理的・人的な側面から多層的に防御する体系的な手法を、インシデント発生時の初期対応フローまで含めて解説します。

ランサムウェア攻撃の現状

ランサムウェアとは何か

ランサムウェアとは、「Ransom (身代金)」と「Software (ソフトウェア)」を組み合わせた造語で、感染したコンピュータのファイルを暗号化したり、システムをロックしたりして使用不能にし、元に戻すことと引き換えに金銭を要求する悪意のあるソフトウェアです。攻撃を受けると、企業の基幹システムや重要データが利用できなくなり、事業停止という深刻な事態に陥ります。

近年、その手口は巧妙化・悪質化しています。単にデータを暗号化するだけでなく、事前に窃取した機密情報を公開すると脅迫する二重脅迫（ダブルエクストーション）が主流となっています。さらに、標的のシステムに過大な負荷をかけるDDoS攻撃や、取引先への脅迫連絡などを組み合わせた多重脅迫へと進化しています。

企業法務やリスク管理の観点では、これは単なるシステム障害ではなく、情報漏洩による損害賠償、行政指導、社会的信用の失墜などを引き起こす複合的な経営リスクです。攻撃者は長期間ネットワークに潜伏してシステムの管理者権限を奪い、最も効果的なタイミングで攻撃を実行するため、被害発覚時にはすでに深刻な状況に陥っていることが少なくありません。身代金を支払ってもデータが復旧する保証はなく、反社会的勢力への資金提供とみなされる法的・倫理的リスクも伴います。したがって、感染を防ぐ「予防」と、感染時の被害を最小化する「事後対応」の両面からの包括的な対策が不可欠です。

主な感染経路と攻撃手口

ランサムウェアの主な感染経路は多岐にわたりますが、特に注意すべき侵入経路は以下の通りです。

一度ネットワーク内部に侵入した攻撃者は、正規の管理ツールなどを悪用して監視の目を逃れながら、システム全体の管理者権限の奪取を目指します。この潜伏期間中に、機密情報が保管されているサーバーやバックアップデータを特定し、最終的に一斉にデータを暗号化するとともに、窃取した情報を人質に脅迫を開始します。

近年では、ランサムウェア攻撃用のツールやノウハウをサービスとして提供する「Ransomware as a Service (RaaS)」というビジネスモデルが確立されており、高度な技術を持たない犯罪者でも容易に攻撃を仕掛けられるようになっています。このような状況では、単一のセキュリティ対策で侵入を完全に防ぐことは極めて困難です。

近年の攻撃動向と企業リスク

近年のランサムウェア攻撃は、不特定多数を狙う「ばらまき型」から、特定の企業や組織を入念に調査して狙う「標的型攻撃」へと移行が進み、標的型攻撃が主流となっています。攻撃者は企業の事業内容や財務状況を調べ上げた上で、事業停止が致命的な損害につながる企業を標的とし、高額な身代金を要求します。

大企業だけでなく、サプライチェーンを構成する中堅・中小企業も主要なターゲットとなっており、規模や業種を問わず全ての組織が深刻な脅威にさらされています。ランサムウェア攻撃が企業に与えるリスクは、金銭的なものに留まりません。

特に、改正個人情報保護法では、情報漏洩のおそれがある事案について、監督官庁への速やかな報告と本人への通知が義務付けられています。初動対応の遅れや不適切な情報開示は、これらのリスクをさらに増幅させる要因となります。ランサムウェア攻撃はIT部門だけの問題ではなく、全社で取り組むべき経営の最重要課題として認識し、経営層の主導で対策を講じることが不可欠です。

対策の基本となる多層防御

多層防御の考え方とは

多層防御とは、単一のセキュリティ対策に依存するのではなく、複数の異なる防御層を幾重にも設けることで、いずれか一つの対策が突破されても、次の層で脅威を検知・阻止するというセキュリティ戦略です。従来の、社内と社外の境界に壁を設ける「境界型防御」は、クラウド利用やテレワークの普及によりその有効性が低下しています。

現代のサイバー攻撃対策は、「侵入を100%防ぐことは不可能である」という前提に立つ必要があります。そこで重要になるのが、侵入を防ぐ対策に加え、万が一侵入された場合に被害の拡大を食い止め、情報の外部流出を防ぐための多層的なアプローチです。この戦略は、ネットワークの入口から内部、そしてデータの出口に至るまで、複数の防御壁を配置することで、システム全体の安全性を高めます。

多層防御を構築することで、不正アクセスの兆候を複数のポイントで検知できるようになり、インシデントの早期発見と迅速な対応が可能になります。また、法的な観点からも、合理的かつ重層的な安全管理措置を講じていることは、万が一の際に善管注意義務を果たしていたことの証明となり、経営責任を軽減する上でも重要な意味を持ちます。

「入口・内部・出口」対策の概要

多層防御は、攻撃のフェーズに応じて「入口対策」「内部対策」「出口対策」の三層で構成され、これらが連携することで効果を発揮します。

入口対策は、マルウェアや不正アクセスが組織のネットワークに侵入するのを防ぐ第一の壁です。しかし、巧妙な攻撃はここをすり抜ける可能性があります。

そこで重要になるのが内部対策です。万が一侵入を許した場合でも、ネットワークを適切に分割しておくことで攻撃者が内部を自由に移動（横展開）するのを防ぎ、端末の不審な挙動を監視して被害の拡大を食い止めます。

そして最後の砦が出口対策です。攻撃者が窃取した情報を外部のサーバーに送信しようとする動きを検知し、情報の流出をブロックします。これら三つの対策を組み合わせることで、堅牢な防御体制を構築することができます。

【技術的対策】システムによる防御

脆弱性管理とパッチ適用

脆弱性管理とパッチ適用は、システムの技術的防御における最も基本的かつ重要な対策です。攻撃者の多くは、OSやソフトウェア、ネットワーク機器に存在する既知のセキュリティ上の欠陥（脆弱性）を悪用して侵入します。

ソフトウェア開発元から提供される修正プログラム（パッチ）を迅速かつ継続的に適用する体制を整えることが不可欠です。脆弱性を放置することは、攻撃者に侵入の扉を開けていることと同義です。効果的な脆弱性管理は、以下の手順で進めます。

特にVPN機器など、外部からのアクセス経路となるシステムの脆弱性は最優先で対応する必要があります。パッチ適用がすぐに困難な場合は、ネットワークからの隔離やアクセス制限といった代替的な回避策を講じ、リスクを最小化する運用が求められます。

セキュリティ製品の適切な導入

巧妙化するサイバー攻撃からシステムを守るには、適切なセキュリティ製品の導入が不可欠です。従来のパターンファイル照合型のウイルス対策ソフトだけでは、未知のマルウェアや高度な攻撃を防ぎきれません。

近年では、PCやサーバーなどエンドポイントでの不審な挙動を検知し、対応を支援する「EDR (Endpoint Detection and Response)」の導入が極めて有効です。EDRは、マルウェアの侵入後の活動を監視し、ランサムウェア特有のファイル暗号化などの異常な振る舞いを検知すると、自動的にその端末をネットワークから隔離し、被害の拡大を防ぎます。

製品を選定する際は、機能だけでなく自社のシステム環境や運用体制との適合性を考慮することが重要です。導入後は、製品が発するアラートを分析し、脅威に適切に対処できる専門人材の確保や、外部の監視サービス（MDR）の活用も有効な選択肢となります。セキュリティポリシーや脅威動向の変化に合わせて設定を定期的に見直し、最適化を図る継続的な運用が、製品の効果を持続させる鍵となります。

認証強化とアクセス制御

認証強化とアクセス制御は、攻撃者による正規ユーザーへのなりすましを防ぎ、被害拡大を抑えるための重要な技術的対策です。IDとパスワードのみに依存した認証は、パスワードリスト攻撃などによって容易に突破される危険性があります。

これを防ぐためには、知識情報（パスワード）、所持情報（スマートフォン、ICカード）、生体情報（指紋、顔）のうち、二つ以上を組み合わせる「多要素認証 (MFA)」の導入が必須です。特に、システムの管理者アカウントや、社外からアクセスするVPNなどには、多要素認証を必ず適用すべきです。

さらに、アクセス制御においては、「最小権限の原則」を徹底します。これは、従業員やシステムアカウントに対し、業務上必要最小限の権限のみを付与するという考え方です。これにより、万が一アカウントが乗っ取られた場合でも、被害を限定的な範囲に抑えることができます。退職や異動に伴う不要なアカウントの即時削除や、定期的な権限の棚卸しを行い、実態に即したアクセス管理を維持することが不可欠です。

ネットワークの監視と分離

ネットワークの監視と分離は、侵入した攻撃者の活動を早期に発見し、被害の影響範囲を限定するための決定的な対策です。攻撃者は、一度侵入するとネットワーク内を横展開し、最終的にシステム全体を掌握しようとします。

この横展開を阻止するために非常に有効なのが、ネットワークを部署やシステムの重要度に応じて細かく分割する「ネットワークセグメンテーション」です。例えば、一般業務で利用するネットワークと、基幹システムやバックアップシステムが存在するネットワークを分離し、その間の通信を厳格に制限します。これにより、仮に一つのセグメントで感染が発生しても、被害が他の重要なセグメントへ波及するのを防ぐことができます。

これと並行して、ネットワーク上の通信を常時監視する仕組みを構築します。各種機器のログを一元的に収集・分析し、通常とは異なる不審な通信や、攻撃指令サーバーとの通信を早期に検知します。ログの改ざんや削除を防ぐため、ログデータは専用のサーバーに転送し、厳重に保護する必要があります。ネットワークの分離と監視を組み合わせることで、組織の中枢システムを効果的に守ることが可能になります。

【管理的対策】組織としての防御

セキュリティポリシーの策定

セキュリティポリシーは、組織全体で統一された情報セキュリティ対策を推進するための基本方針や行動基準を明文化したものです。これは、組織としての防御態勢を築くための根幹となる管理的対策です。ポリシーがなければ、対応が場当たり的になり、組織全体のセキュリティレベルにばらつきが生じてしまいます。

ポリシー策定の第一歩は、自社が保有する情報資産を洗い出し、その重要度と潜在的なリスクを評価するリスクアセスメントです。その結果に基づき、守るべき情報と、そのための具体的なルール（パスワード管理、外部サービスの利用基準など）を定めます。

策定したポリシーは、全従業員に周知徹底し、日々の業務で遵守されることが何よりも重要です。入社時研修や定期的な教育を通じてその内容を浸透させ、違反した場合の規定も明確にすることで実効性を担保します。IT環境や脅威は常に変化するため、ポリシーも定期的に見直し、継続的に改善していくことが、組織の防御力を維持・向上させる鍵となります。

実効性のあるバックアップ戦略

実効性のあるバックアップ戦略は、ランサムウェア攻撃を受けた際に、身代金を支払うことなく事業を復旧させるための最後の砦です。しかし、近年の攻撃者はバックアップデータ自体も破壊しようとするため、単にデータをコピーしているだけでは不十分です。

確実な復旧を実現するためには、以下の原則に基づいた厳格なバックアップ体制を構築する必要があります。

また、事業の重要度に応じて、いつまでに復旧するか（目標復旧時間：RTO）、どの時点のデータに戻すか（目標復旧時点：RPO）を明確に定める必要があります。そして最も重要なのは、定期的にバックアップからシステムを実際に復元する復元テストを実施し、手順の有効性を確認することです。これにより、机上の空論ではない、真に実効性のある復旧能力を担保できます。

インシデント対応計画の準備

インシデント対応計画（Incident Response Plan）とは、サイバー攻撃が発生した際に、組織がパニックに陥ることなく、冷静かつ迅速に対応するための手順をあらかじめ定めた行動計画です。攻撃を100%防ぐことができない以上、発生を前提とした準備が不可欠です。

計画には、以下の要素を具体的に盛り込む必要があります。

この計画は、作成するだけでなく、実際のインシデントを想定した机上演習や実践的な訓練を定期的に実施することで、初めて実効性のあるものとなります。訓練を通じて課題を洗い出し、計画を継続的に改善していくことが、組織の危機対応能力を高めます。

サプライチェーンのリスク管理

サプライチェーンのリスク管理とは、自社のセキュリティ対策だけでなく、取引先や業務委託先といった外部パートナーを経由したサイバー攻撃のリスクに備えることです。近年、セキュリティ対策が手薄な関連会社を踏み台にして、本来の標的である大企業へ侵入するサプライチェーン攻撃が急増しています。

自社の事業継続を守るためには、取引先を含めたサプライチェーン全体でのセキュリティレベル向上が不可欠です。具体的な対策としては、まず業務委託契約を締結する際に、自社と同水準のセキュリティ対策を求める条項を盛り込みます。これには、脆弱性管理の徹底やインシデント発生時の報告義務などが含まれます。

さらに、契約後も定期的に委託先の対策状況をアンケートや監査によって確認し、実態を把握する仕組みが必要です。もし対策に不備が見つかれば、具体的な改善を求め、応じられない場合は取引の見直しも検討する厳格な姿勢が求められます。調達、法務、情報システムの各部門が連携し、取引先との信頼関係のもとで、強固なセキュリティ網を構築していく継続的な取り組みが重要です。

サイバー保険の活用と留意点

サイバー保険は、ランサムウェア攻撃などのインシデント発生時に生じる経済的損失を補填し、企業の財務的ダメージを軽減する有効なリスク移転手段です。主に、原因調査やシステム復旧にかかる費用、情報漏洩に伴う損害賠償金、弁護士への法律相談費用などが補償の対象となります。

ただし、サイバー保険の活用にあたっては、以下の点に留意する必要があります。

サイバー保険はあくまでも、自社で講じるべきセキュリティ対策を補完する最後の砦と位置づけ、戦略的に活用することが求められます。

【人的対策】従業員と築く防御

定期的なセキュリティ教育

組織のセキュリティにおいて、最大の弱点は「人」の脆弱性であると言われます。どれほど高度なシステムを導入しても、従業員一人の不注意な行動が、攻撃者に侵入の糸口を与えてしまいます。そのため、全従業員のセキュリティ意識と知識を向上させる定期的な教育が、防御の根幹をなす人的対策となります。

効果的な教育のためには、単にルールを教えるだけでなく、最新の攻撃手口や実際の被害事例を紹介し、リスクを「自分事」として捉えさせる工夫が重要です。教育すべき内容は多岐にわたります。

教育は一度きりで終わらせず、新入社員研修や年に数回の定期研修、オンライン学習などを組み合わせ、継続的に実施することが知識の定着に繋がります。不審な点があればすぐに報告できる組織文化を醸成することが、インシデントの早期発見にも繋がり、組織全体の防御力を高めます。

標的型メール攻撃訓練の実施

標的型メール攻撃訓練は、ランサムウェアの主要な感染経路である悪意のあるメールへの対応能力を、実践的に高めるための非常に効果的な人的対策です。座学だけでは身につかない「怪しいメールを見抜く力」と「正しい報告行動」を、疑似体験を通じて従業員に習得させます。

訓練は以下の流れで実施します。

重要なのは、訓練で失敗した従業員を非難するのではなく、誰もが陥る可能性があるリスクとして共有し、組織全体の学びの機会とすることです。シナリオを変えながら定期的に訓練を繰り返すことで、従業員の間に健全な警戒心を根付かせ、マルウェアの侵入を水際で防ぐ防波堤を築きます。

内部不正リスクへの備え

外部からの攻撃だけでなく、従業員や元従業員、業務委託先の関係者など、正当な権限を持つ内部の人間による意図的な不正行為への備えも重要です。内部不正は、通常のセキュリティ監視をすり抜けて行われることが多く、発覚した際には甚大な被害をもたらします。

このリスクに対応するには、技術的な対策と、不正を起こさせない組織風土の醸成という両面からのアプローチが不可欠です。

技術的な監視と、従業員との信頼関係のバランスを取りながら、組織全体で不正を許さない毅然とした文化を築くことが、情報資産を守るための強固な基盤となります。

感染時の初期対応フロー

感染端末のネットワーク隔離

ランサムウェアの感染を検知、またはその疑いがある場合に、最初に行うべき最も重要な初動対応は、感染端末を直ちにネットワークから隔離することです。これにより、被害が他の端末やサーバーへ拡大するのを物理的に遮断します。

この初動の成否が、被害の規模を大きく左右します。全ての従業員がこの手順を理解し、緊急時に迷わず実行できるよう、平時から周知徹底しておくことが極めて重要です。

関係各所への報告と連携

端末の隔離を終えたら、直ちに社内のルールに従って関係各所へ報告し、組織的な対応を開始します。パニックにならず、客観的な事実を正確に伝えることが重要です。

報告は、まず直属の上司および情報システム部門やセキュリティ担当部署（CSIRTなど）へ行います。報告を受けた担当部署は、状況を評価し、速やかに経営層へエスカレーションします。ランサムウェア被害は事業継続を揺るがす経営マターであり、早期に経営層が事態を把握し、全社的な対応方針を決定する必要があります。

同時に、法務・コンプライアンス部門と連携し、個人情報保護法などに基づく監督官庁への報告義務の有無を確認します。また、顧客や取引先に影響が及ぶ可能性がある場合は、広報部門と連携して対外的なコミュニケーションの準備も開始します。各部門が迅速に情報を共有し、連携して動く体制をあらかじめ構築しておくことが、混乱を最小限に抑える鍵となります。

専門家・専門機関への相談

ランサムウェア攻撃は非常に高度化しており、自社の担当者だけでの完全な対応は困難な場合がほとんどです。社内への報告と並行して、速やかに外部の専門家や専門機関に相談し、支援を要請することが賢明な判断です。

外部の専門知識を早期に導入することで、客観的な視点から的確な対応をとることができ、事態の早期収束に繋がります。

被害範囲の特定と証拠保全

インシデント対応において、被害の全体像を正確に把握する「被害範囲の特定」と、原因究明や法的対応の根拠となるデータを確保する「証拠保全」は、並行して進めるべき極めて重要なプロセスです。

被害範囲の特定では、どの端末やサーバーが感染したか、どのデータが暗号化されたかに加え、機密情報や個人情報が外部に漏洩していないかを最優先で調査します。通信ログなどを解析し、外部への不審なデータ送信の有無を確認します。

証拠保全では、感染端末のメモリ情報やハードディスクの完全なコピー（イメージ）、各種サーバーやネットワーク機器のログなど、攻撃の痕跡を示すあらゆるデジタルデータを、改ざん・破壊されないよう専門家の指導のもとで安全に確保します。これらの証拠は、攻撃手口を解明し、有効な再発防止策を講じるための基礎となるだけでなく、警察への被害届提出や監督官庁への報告においても不可欠なものです。初期対応の混乱の中で証拠を失うと、その後の対応が全て後手に回る危険性があります。

経営判断を仰ぐ際の報告と情報整理

ランサムウェアインシデントの対応では、事業継続や対外公表など、企業の存続に関わる重大な経営判断が求められます。現場の担当者は、専門家と連携して調査した結果を整理し、経営層が的確な意思決定を下せるよう、客観的かつ簡潔に報告する必要があります。

情報が不完全な段階でも、「現時点で判明していること」「不明なこと」「調査中のこと」を明確に区別して報告することが重要です。これらの情報に基づき、経営層は、身代金要求への対応方針、事業復旧の優先順位、顧客や社会への情報開示のタイミングといった、最終的な意思決定を行います。

よくある質問

感染したらまず何をすべきですか？

直ちに感染した端末をネットワークから隔離してください。 LANケーブルを抜く、またはWi-Fiをオフにします。そして、絶対に電源は切らないでください。 証拠保全のため、そのままの状態で速やかに社内の情報システム部門やセキュリティ担当者に報告し、指示を仰いでください。

身代金は支払うべきでしょうか？

原則として支払うべきではありません。 支払ってもデータが復旧する保証はなく、むしろ「支払いに応じる企業」としてさらなる攻撃の標的になるリスクが高まります。また、犯罪組織への資金提供となり、法的な責任を問われる可能性もあります。専門家と相談の上、バックアップからの復旧を目指すべきです。

バックアップがあれば万全ですか？

いいえ、バックアップがあるだけでは万全とは言えません。 近年の攻撃者はバックアップデータも同時に破壊しようとします。対策として、バックアップデータの一つはネットワークから完全に切り離されたオフライン環境で保管し、定期的にそのバックアップからシステムを復元できるかテストすることが不可欠です。

スマホやタブレットも感染しますか？

はい、感染する可能性があります。 不正なアプリのインストール、フィッシングサイトへのアクセス、公衆Wi-Fiの不適切な利用などが原因で、モバイル端末もランサムウェアに感染し、画面がロックされたりデータが暗号化されたりする事例が報告されています。OSやアプリを常に最新の状態に保つなど、基本的な対策が重要です。

無料の復号ツールはありますか？

一部のランサムウェアについては、無料の復号ツールが存在します。 「No More Ransom」プロジェクトのように、法執行機関とセキュリティ企業が協力してツールを公開している場合があります。ただし、全てのランサムウェアに対応しているわけではないため、まずは専門家に相談し、感染したランサムウェアの種類を特定した上で、ツールの利用可否を確認するのが賢明です。

警察に相談するメリットは何ですか？

警察への相談には複数のメリットがあります。まず、ランサムウェア被害は重大な犯罪であり、通報は企業の社会的責務です。その上で、警察が持つ最新の攻撃グループに関する情報や技術的な助言を得られる可能性があります。また、捜査の過程で復号の鍵が発見されたり、警察が開発した復号ツールが提供されたりして、データの復旧に繋がるケースもあります。

まとめ：ランサムウェア対策の全体像と組織で実践すべき防御戦略

ランサムウェア攻撃は標的型攻撃が主流となり、AIの悪用も懸念されるなど、すべての企業にとって深刻な経営リスクです。本記事で解説したように、有効な対策は「侵入は防ぎきれない」という前提に立ち、技術・管理・人的側面からなる多層防御を構築し、予防と事後対応の両面から備えることが不可欠です。まずは自社のセキュリティポリシーやバックアップ戦略、インシデント対応計画が実効性のあるものかを確認し、課題を洗い出すことから始めましょう。多くの企業で対応方針が具体的に定まっていない現状を踏まえ、自社のみでの対応が困難な場合は、速やかに外部の専門家へ相談することが重要です。本稿で示した内容は一般的な指針であり、具体的な対策は組織の状況に応じて専門家と共に検討する必要があります。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ