ランサムウェア対策｜企業の被害事例から学ぶ予防策と感染後の対処法

ランサムウェアによる事業停止や情報漏洩のリスクは、今やあらゆる企業にとって無視できない経営課題となっています。攻撃手口は巧妙化しており、単にデータが使えなくなるだけでなく、機密情報を暴露される「二重恐喝」によって企業の信用が根底から揺らぐ可能性があります。自社の事業を守るためには、その脅威を正しく理解し、現実的な対策を講じることが不可欠です。この記事では、ランサムウェアの基本的な仕組みから具体的な攻撃手口、企業が講じるべき予防策と感染時の初動対応までを網羅的に解説します。

ランサムウェアとは何か

データを人質にする基本的な仕組み

ランサムウェアとは、企業のサーバーやパソコンに保存されているデータを暗号化して使用不能にし、そのデータを元に戻す（復号する）ことと引き換えに金銭（身代金）を要求する悪意のあるプログラム（マルウェア）です。サイバー犯罪者は金銭的利益を目的としており、企業の事業継続に不可欠なデータを人質に取ることが、最も効率的に身代金を得る手段の一つだと考えているとされます。攻撃者は社内ネットワークに侵入後、ファイルサーバーや従業員の端末内のデータを次々と暗号化します。暗号化されたファイルは正規の復号鍵がなければ開けず、企業の業務は即座に停止してしまいます。その後、感染した端末の画面には身代金の支払いを要求する脅迫文が表示され、企業のデジタル資産を盾に経営判断を迫ることになります。

二重恐喝など攻撃の巧妙化

近年のランサムウェア攻撃は、単にデータを暗号化するだけでなく、事前に窃取した情報の公開をちらつかせる「二重恐喝（Double Extortion）」へと巧妙化しています。バックアップからの復旧を前提とする企業が増え、暗号化だけでは身代金支払いに応じてもらえなくなったためです。攻撃者はシステムを暗号化する前にネットワーク内部に長期間潜伏し、顧客情報や技術データといった機密情報を外部サーバーへ転送します。企業が身代金の支払いを拒否すると、攻撃者は盗み出したデータを暴露サイト（リークサイト）で公開すると脅迫します。さらに、被害企業の取引先や顧客に直接連絡して圧力をかける「多重恐喝」に発展するケースもあり、データのバックアップだけでは事業と信用を守りきれない状況になっています。

主な攻撃手口と感染経路

VPN機器の脆弱性を悪用した侵入

現在、ランサムウェアの最も主要な侵入経路の一つとして、社外から社内ネットワークへ安全に接続するためのVPN（Virtual Private Network）機器の脆弱性を悪用する手口があります。テレワークの普及でVPN利用が急増した一方、機器のソフトウェア（ファームウェア）が更新されず、セキュリティ上の欠陥が放置されているケースが多いためです。攻撃者は、脆弱性が残るVPN機器をインターネット上から自動で探し出し、認証を突破して社内ネットワークに侵入します。一度侵入を許すと、そこを足がかりにネットワーク全体へと被害が拡大します。企業は自社が利用するVPN機器の情報を正確に把握し、メーカーから提供される修正プログラムを迅速に適用する体制が不可欠です。

リモートデスクトップからの侵入

VPN機器と並んで多用される侵入経路が、遠隔地のパソコンを操作するリモートデスクトップ（RDP）機能への不正アクセスです。特に、インターネットに直接公開されているRDPは、攻撃者にとって格好の標的となります。単純なパスワードが設定されていたり、退職者のアカウントが削除されずに残っていたりすると、攻撃者はパスワードの総当たり攻撃（ブルートフォース攻撃）などで容易に認証を突破してしまいます。正規の利用者になりすまして社内端末にアクセスした攻撃者は、その端末を踏み台として権限の昇格を試み、ランサムウェアをネットワーク全体に展開します。RDPを利用する際は、安易にインターネットへ公開せず、接続元IPアドレスの制限や多要素認証の導入、複雑なパスワードの設定を徹底することが重要です。

フィッシングメールによる感染

従業員の心理的な隙を突くフィッシングメールも、依然としてランサムウェアの主要な感染経路です。技術的な防御が強固でも、人間の注意不足や焦りを利用されることで、攻撃の糸口を与えてしまうためです。攻撃者は取引先からの請求書や社内システムからの警告通知などを装った巧妙なメールを送りつけ、受信者に添付ファイルの開封やリンクのクリックを促します。添付されたWordやExcelファイルのマクロを実行させたり、リンク先から不正なプログラムをダウンロードさせたりすることで端末をマルウェアに感染させ、そこからランサムウェアを拡散させます。正規のメールへの返信を装うなど手口は高度化しており、技術的な対策と並行して、従業員一人ひとりの警戒心を高める継続的な教育が欠かせません。

ランサムウェアによる被害

事業停止による直接的損失

ランサムウェア感染が引き起こす最も深刻な被害は、基幹システムが停止することによる事業活動の停止と、それに伴う莫大な経済的損失です。現代の企業活動は、生産管理、受発注、物流、会計などあらゆる業務がITシステムに依存しており、データが暗号化されることでビジネスプロセス全体が麻痺します。製造業では工場の稼働が停止し、小売業では店舗営業が不可能になるなど、復旧までの期間、売上は完全に失われます。復旧には数週間から数ヶ月を要することも珍しくなく、その間の売上機会の損失は数億円規模に達する可能性もあります。事業停止中も人件費や賃料などの固定費は発生し続けるため、企業の財務状況は急速に悪化します。

情報漏洩による信用の失墜

二重恐喝型ランサムウェアによって機密情報や個人情報が漏洩することは、企業の社会的な信用を根底から揺るがす事態につながります。顧客や取引先から預かった情報を保護できない企業と見なされ、ブランドイメージが著しく毀損するためです。攻撃者によって個人情報や取引情報、技術データなどがダークウェブ上の暴露サイトで公開されると、企業は被害者であると同時に情報流出の加害者としての責任を問われます。顧客対応や損害賠償請求に追われるだけでなく、取引関係の見直しや契約打ち切りに発展するリスクもあります。一度失われた信頼の回復は極めて困難となる可能性があります。情報漏洩は事業停止以上に長期的なダメージを企業に与えます。

高額な復旧コストの発生

ランサムウェア被害から事業を正常な状態に戻すまでには、身代金を支払わなかったとしても、経営を圧迫するほどの高額な復旧コストが発生します。復旧作業は単にバックアップからデータを戻すだけでなく、専門的な知見を要する多岐にわたる対応が必要だからです。

これらの費用総額は、数千万円から数億円規模に達する事例も少なくありません。

見落とされがちな間接的被害と二次的リスク

直接的な金銭被害以外にも、数値化しにくい間接的な被害や、事件後に長期化する二次的リスクが企業の経営体力を奪います。

これらの隠れたコストも考慮すると、ランサムウェアがもたらす損害の全体像はさらに深刻になります。

企業が講じるべき予防策

認証情報の管理と多要素認証の導入

不正侵入を防ぐための基本かつ極めて重要な対策が、ID・パスワードといった認証情報の厳格な管理と、多要素認証（MFA）の導入です。パスワードのみの認証は、漏洩や使い回しによって容易に突破される危険性があります。VPNやリモートデスクトップ、クラウドサービスなど、外部からアクセス可能なすべてのシステムに多要素認証を必須化することが推奨されます。多要素認証は、パスワード（知識情報）に加えて、スマートフォンアプリの通知（所持情報）や指紋認証（生体情報）などを組み合わせることで、万が一パスワードが盗まれても不正ログインを防ぐ効果が期待できます。これは、比較的低コストで導入でき、非常に高い防御効果が期待できる対策です。

アクセス権限の最小化

万が一ネットワーク内部への侵入を許した場合に被害の拡大を防ぐためには、「最小権限の原則」を徹底することが不可欠です。これは、従業員やシステムに業務上必要最小限のアクセス権限しか与えないという考え方です。攻撃者は侵入後、より高い権限を持つアカウントを乗っ取って被害を広げようとします。一般の従業員には業務に関係のない重要データへのアクセスを許可せず、システム管理者のような特権アカウントは日常業務では使用しない運用を徹底します。また、ネットワークを部門ごとなどに分割（セグメント化）し、仮に一部が感染しても他の領域へ被害が及ばないように制御することも有効です。これにより、攻撃者がネットワーク内を自由に動き回ることを困難にします。

定期的なバックアップの取得と検証

データが暗号化された場合の最後の砦となるのが、安全に隔離されたバックアップです。ただし、バックアップデータが常に社内ネットワークに接続されていると、本番データと一緒に暗号化されてしまうため意味がありません。バックアップは、「3-2-1ルール」（3つのコピーを、2種類の異なる媒体で保管し、そのうち1つはオフラインの遠隔地で保管する）に則って取得することが推奨されます。特に、ネットワークから物理的または論理的に完全に切り離した場所に保管することが重要です。また、バックアップは取得するだけでなく、実際にそのデータからシステムを復旧できるかを確認する復元テストを定期的に実施し、いざという時に確実に機能する状態を維持しなければなりません。

従業員へのセキュリティ教育の実施

技術的な対策をすり抜ける巧妙な攻撃から組織を守るためには、全従業員を対象とした継続的なセキュリティ教育が不可欠です。攻撃者はシステムの脆弱性だけでなく、人間の心理的な隙を突いてくるため、従業員一人ひとりが「防御の最前線」であるという意識を持つ必要があります。最新の攻撃手口や被害事例を紹介する研修のほか、実際のフィッシングメールを模した訓練メールを送信し、不審なメールの見分け方や誤って開封してしまった際の報告手順を体得させることが有効です。セキュリティポリシーを周知徹底し、不審な兆候を迅速に報告できる組織文化を醸成することが、技術的対策と並んで強固な防御壁となります。

対策の優先順位付けと費用対効果の考え方

セキュリティ対策にはコストがかかるため、限られた予算内で最大の効果を得るには、リスクに基づいた優先順位付けが必要です。すべての情報資産に最高レベルの対策を施すことは非現実的です。まずは、停止した場合に事業の根幹を揺るがすシステムや、漏洩した場合に最も損害が大きい重要データを特定します。そして、それらの重要資産を守るための対策（多要素認証、バックアップの隔離など）に優先的に投資します。リスク評価を客観的に行い、経営層の理解を得ながら、費用対効果の高い計画を立てて段階的に対策を強化していくことが、現実的かつ効果的なアプローチです。

感染時の初動対応フロー

感染端末のネットワーク隔離

ランサムウェアの感染が疑われる場合、被害拡大を防ぐために最も優先すべきは、感染が疑われる端末をネットワークから即座に隔離することです。ランサムウェアはネットワークを通じて他の端末やサーバーへ拡散するため、初動の速さが被害の規模を決定づけます。ファイルが開けない、脅迫文が表示されるといった報告を受けたら、IT担当者は直ちに対象端末のLANケーブルを抜き、Wi-Fi接続を切断してください。この際、後の原因調査（デジタルフォレンジック）で重要な証拠となるメモリ情報が失われるのを防ぐため、端末の電源を切らず、スリープ状態にもしないことが鉄則です。状況によっては、システム全体の被害を防ぐため、事業部門間のネットワークやインターネット接続を一時的に全面的に遮断する決断も必要になります。

関係各所への報告・情報共有

端末の隔離と並行して、あらかじめ定めた手順に従い、組織内外の関係各所へ迅速に報告し、情報を共有します。パニックに陥らず、組織として一体となって対応するためには、正確な情報共有が不可欠です。現場担当者は、セキュリティ担当部署および経営層へ速やかに第一報を入れ、対策本部を立ち上げます。同時に、自社だけでの対応が難しいと判断した場合は、契約している外部のセキュリティ専門企業に支援を要請します。また、個人情報漏洩の可能性がある場合は、個人情報保護法に基づく報告義務も念頭に置き、法務部門と連携を図ります。警察のサイバー犯罪相談窓口への通報も、犯罪捜査への協力や公的支援を得るために重要なプロセスです。

被害範囲の特定と原因調査

初動対応が完了したら、セキュリティ専門家の支援を受けながら、被害の全体像と感染経路を特定する調査に移行します。根本原因を特定して対処しないままシステムを復旧させると、攻撃者に再び侵入され、被害が再発する危険性が高いためです。ネットワーク機器やサーバーのアクセスログを解析し、どの端末から感染が始まり、どのデータが暗号化・窃取されたのかを特定します。VPN機器の脆弱性や不正アクセスされたアカウントなど、攻撃の侵入口を突き止め、攻撃者がネットワーク内に設置した可能性のあるバックドア（再侵入の裏口）が残っていないかを徹底的に調査します。この調査結果が、安全なシステム復旧計画の土台となります。

対外的な情報開示と関係者への説明責任

被害状況がある程度判明した段階で、顧客、取引先、株主といったステークホルダーに対し、透明性を持って情報を開示し、説明責任を果たすことが求められます。情報開示の遅れや隠蔽は、憶測や不信感を呼び、かえって風評被害を拡大させます。自社のウェブサイトなどで、攻撃を受けた事実、現在のシステム障害の状況、そして個人情報や機密情報の流出の有無について、判明している客観的な事実を公表します。特に個人情報が流出した可能性がある顧客に対しては、個別にお詫びと注意喚起を行い、専用の問い合わせ窓口を設けるなどの対応が必要です。誠実かつ迅速なコミュニケーションが、失われた信頼を回復するための第一歩となります。

国内の被害事例から学ぶ

製造業：サプライチェーンを揺るがす事例

国内の大手製造業では、自社だけでなく、取引先である部品供給会社など、セキュリティ対策が手薄な関連会社が攻撃の足がかりとされる事例が発生しています。サプライチェーンはシステム的に密接に連携しているため、一社の脆弱性が全体の弱点となり得ます。ある大手自動車メーカーの事例では、部品を納入する取引先がランサムウェア攻撃を受けました。被害の拡大を防ぐため、このメーカーは国内全工場の稼働を一時的に停止せざるを得なくなり、数万台規模の生産遅延と莫大な経済的損失が生じました。この事例は、自社だけでなく、取引先を含めたサプライチェーン全体でセキュリティ水準を高めていく必要性を示しています。

医療機関：地域医療を脅かす事例

電子カルテシステムなど、人命に直結する情報を扱う医療機関もランサムウェアの標的となっており、その被害は地域医療の崩壊という深刻な事態を引き起こします。ある地方の中核病院では、VPN機器の脆弱性を突かれて院内ネットワークに侵入され、電子カルテや会計システムが完全に暗号化されました。これにより、新規患者の受け入れや救急対応が不能となり、通常診療の再開までに約2ヶ月を要しました。復旧費用も数億円規模に上り、医療という社会インフラがサイバー攻撃によっていかに脆弱であるかが浮き彫りになりました。この事例は、いかなる組織も攻撃の例外ではないことを示唆しています。

よくある質問

ランサムウェアの身代金は支払うべきですか？

公的機関は身代金を支払わないよう勧告しており、いかなる場合でも支払うべきではないとされています。 支払いに応じることは、反社会的な犯罪組織に資金を提供し、さらなる犯罪を助長するおそれがあります。また、身代金を支払ってもデータが復旧される保証はなく、支払った後に追加で金銭を要求される事例も報告されています。さらに、「支払いに応じる企業」として攻撃者のリストに載り、将来的に再び標的にされるリスクが高まる可能性があります。警察庁などの公的機関も支払わないよう勧告しており、バックアップからの復旧など、正当な手段での解決を目指すべきです。

データのバックアップさえ取っていれば安全ですか？

いいえ、バックアップだけでは万全とは限りません。 近年の「二重恐喝型」ランサムウェアは、データを暗号化する前に機密情報を盗み出します。そのため、たとえバックアップからシステムを復旧できたとしても、攻撃者は「盗んだ情報を公開する」と脅迫してくるため、情報漏洩のリスクは残る可能性があります。また、ネットワークに常時接続されているバックアップは、本番データと一緒に暗号化される可能性があります。バックアップはネットワークから隔離して保管するとともに、侵入そのものを防ぐ多層的な防御策を講じる必要があります。

警察に被害を相談するメリットは何ですか？

ランサムウェア被害はサイバー犯罪であり、警察に相談・通報することで、企業は以下のような実務的なメリットを得られることがあります。

サイバー保険はランサムウェア被害に対応していますか？

多くのサイバー保険は、ランサムウェア被害によって発生する事後対応費用を補償の対象としており、企業の財務的リスクを軽減する有効な手段の一つです。ただし、犯罪を助長する観点から、身代金そのものは補償の対象外となることが一般的です。

ただし、保険に加入するには一定レベルのセキュリティ対策を実施していることが条件となるため、自社の対策を見直す良い機会にもなります。

従業員向けのセキュリティ教育で強調すべき点は？

従業員教育では、技術的な知識よりも、日々の業務における具体的な行動に焦点を当てて強調することが重要です。

従業員一人ひとりが「自分も標的になりうる」という当事者意識を持つことが、組織全体の防御力を高める鍵の一つとなります。

まとめ：ランサムウェアの脅威を正しく理解し、事業継続のための対策を

本記事で解説したように、ランサムウェア攻撃はデータを暗号化するだけでなく、事前に窃取した情報を暴露する「二重恐喝」が主流となっており、事業継続に深刻な影響を及ぼします。特にVPN機器やリモートデスクトップの脆弱性が侵入経路として悪用されるケースが多く、ひとたび被害に遭えば復旧には多大な時間とコストを要します。対策の基本は、侵入を防ぐ多要素認証の導入、被害拡大を防ぐアクセス権限の最小化、そして復旧の最後の砦となるオフラインでのバックアップ取得という多層的な防御体制を築くことです。まずは自社のシステム構成や情報資産を棚卸し、どこにリスクが潜んでいるかを確認し、優先順位を付けて対策に着手することが求められます。ランサムウェア対策はIT担当者だけの問題ではなく、経営層が主導すべき重要な経営課題です。万が一の事態に備え、この記事を参考に専門家とも相談しながら、自社の防御体制を構築してください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ