ランサムウェア対策の優先順位と初動対応

ランサムウェア対策について、攻撃が増えていることは理解していても「現状の打ち手で足りるのか」「どこから優先して整備すべきか」を判断しづらい場面が多いはずです。実際に、2021年7月の調査では日本で「過去1年以内に被害にあった」との回答が53%とされ、被害は特定業種・規模に限られない前提での備えが求められます。対策が後手になると、IT停止だけでなく、契約対応・資金繰り・説明責任（報告や通知を含む）の負荷が同時に立ち上がり、事業継続とレピュテーションの毀損が連鎖しがちです。以下では、ランサムウェア対策の判断材料としてリスク構造・攻撃手口・優先すべき実務対応を示します。

ランサムウェアのリスク

企業被害が広がる背景を押さえる

ランサムウェアは、企業の情報資産と事業継続を同時に脅かす経営リスクとして扱う必要があります。実際、イヴァンティが2021年7月に公開した「コロナ禍におけるサイバー攻撃に関する実態調査」では、「過去1年以内に自社がランサムウェア被害にあった」と回答した日本の割合が53%であり、また「組織を狙ったランサムウェア攻撃が増加していると思うか」という問いに対し、日本では100%が「増加している」と回答しています。

被害が広がる背景として、攻撃ツールやノウハウが分業・サービス化され、攻撃者が技術力に依存せず実行できる環境が整ってきた点が挙げられます。さらに、侵入後は暗号化だけでなく情報窃取・脅迫を組み合わせるため、被害は「ITの停止」にとどまらず、契約・信用・資金繰りに波及します。

事業継続と法的責任を整理する

ランサムウェアは、業務停止による売上影響だけでなく、個人情報・取引先情報・営業秘密等の漏えいを伴うことで、法務・広報・監督当局対応まで含む複合リスクになります。個人データの「漏えい、滅失、毀損」（漏えい等）が一定条件を満たす場合、事業者は個人情報保護委員会への報告と本人通知が義務となります（個人情報保護法第26条）。

また、同法のガイドライン（個人情報保護法ガイドライン（通則編）3-5-2 など）では、漏えい等またはそのおそれのある事案に応じて、必要な措置を講じることが求められており、初動の遅れや事実関係の取り違えは、後の説明責任・信頼毀損を増幅させます。

自社が先に守るべき資産を止められない業務基準で棚卸しする

ランサムウェア対策の優先順位は、ツール選定より前に、止められない業務（重要業務）と、それを支える情報資産・システムの対応関係を棚卸しして決めます。攻撃は「侵入→探索→権限奪取→持ち出し→暗号化」の順で進むため、全復旧を目標にすると間に合いません。先に「何を最優先で復旧するか」を決め、復旧の現実性（人・手順・代替機）まで落とし込みます。

ランサムウェア攻撃の手口

暗号化と二重恐喝の流れを知る

標的型ランサムウェアでは、暗号化の前段階で攻撃者が組織内で活動し、ファイル暗号化以外の被害（情報窃取、権限奪取、横展開）を生じさせます。典型的には、侵入後にネットワーク探索を行い、重要サーバやバックアップ構成を把握し、データを外部へ持ち出した上で暗号化・脅迫に移行します。

また、情報窃取のフェーズでは、転送量を減らすためにファイルを圧縮して送出したり、クラウドストレージの自動同期を悪用したりします。圧縮にはWinRAR等が利用されることがあり、同期ツールとしてMEGASyncやFileZilla等が悪用される例が示されています。

さらに暗号化は、OS全体を暗号化すると要求表示や起動自体に支障が出るため、Word/Excel、PDF、JPEG、CAD等の特定の業務データを狙って暗号化するようプログラムされるケースがある点も実務上重要です。

侵入経路と最近の攻撃傾向をみる

侵入経路は複数ありますが、実務上の対策優先度が高いのは、外部公開面（VPN、RDP、Web、メール）です。参照資料では、VPNデバイスの脆弱性悪用例として、FortiGateのSSL-VPNの脆弱性（CVE-2018-13379）を突き、平文のID・パスワードを取得して侵入する流れが示されています。侵入後は、スキャナー（例：アドバンスドポートスキャナー）で探索し、Mimikatz等でドメイン管理者権限の奪取を狙い、Cobalt StrikeやPowerShell等でランサムウェアを展開する、といった段階的な攻撃に発展します。

また、メール経由の感染例として、2016年ごろから拡大したLockyでは、7zで圧縮された添付にVBScript（vbs）を入れ、実行やリンククリックでダウンロードさせる例が示されています。RDPについても、窃取資格情報やブルートフォース（総当たり）で侵入し、PsExec等で横展開する流れが説明されています。

被害事例と教訓を自社に置き換える

被害分析では、暗号化の有無に目を奪われず、侵入起点・権限奪取・横展開・持ち出しがどこで成立したかを自社の環境に置き換えることが重要です。参照資料でも、VPN脆弱性悪用から認証情報を平文取得し侵入する例、Webサービスの脆弱性悪用からAD掌握しGPOで一斉配布する例が示されており、共通点は「侵入後にドメイン管理者等の強い権限を取られると被害が全社に波及する」点です。

予防のセキュリティ設計

ゼロトラストとポリシーを設計する

ゼロトラストは「社内は安全」という前提を置かず、アクセスを都度検証する設計思想です。参照資料でも、VPN装置等にパッチ適用をしていても、攻撃者が従業員と同じ正規手段で侵入する可能性があるため、知識情報（ユーザー名・パスワード）だけに依存せず多要素認証（MFA）を導入すべきとされています。

特に、ドメイン管理者権限の悪用は被害拡大の中心要因になりやすく、管理者アカウントの保護は技術論というより権限制御のルール設計です。

ネットワークとVPNの脆弱性を塞ぐ

境界機器（VPN等）は、侵入の初手として悪用されやすく、脆弱性管理と認証強化が投資対効果の高い領域です。参照資料では、FortiGateのSSL-VPN脆弱性（CVE-2018-13379）を突いて平文のID・パスワードを取得し、VPN経由で侵入する例が示されています。ここから内部探索、Mimikatz等で権限奪取、Cobalt StrikeやPowerShellで実行、という流れに発展するため、入口を塞げないと内部対策だけでは追いつきません。

EDR・MDR・SOCを内製と外部委託のどちらで選ぶかを決める

侵入を100%防ぐことは難しく、参照資料でも、ゼロデイ攻撃やパッチ適用前の攻撃があり得るため「完璧はない」「攻撃を受ける前提で日ごろから準備」する必要がある、とされています。この前提に立つと、EDR（端末の挙動監視）とSOC（監視・分析運用）を組み合わせ、侵入後の挙動（探索、権限奪取、横展開）を早期に検知・封じ込める方針が現実的です。

また、参照資料では「VPN機器を用いて社内環境にアクセスできる状況」は本丸への直通ルートになり得るため、サーバへのEDR & SOC導入は必須として対策するのが望ましいと明記されています。

感染を防ぐ技術対策

端末とメールの防御を組み合わせる

メールは古典的かつ依然有効な侵入経路であり、参照資料のLockyの例では、請求書を装ったメールで7z圧縮の添付ファイルにVBScript（vbs）を入れ、実行やリンククリックでランサムウェアをダウンロードさせる流れが示されています。入口対策としては、添付・URLの無害化に加え、送信ドメイン詐称対策（SPF/DKIM/DMARC等）も含めたメール運用の整備が論点になります。

同時に、端末側では「すり抜け」を前提に、検知と封じ込め（隔離）まで含めて設計します。参照資料では、ウイルス対策ソフトは基本である一方、初期設定で検知ファイルを「駆除（削除）」すると調査が困難になるため、必要に応じて「隔離」の考え方を検討する旨が述べられています。

バックアップと復旧訓練を整える

バックアップは、参照資料でも「バックアップが最も有効」とされ、バックアップから復旧できれば身代金を検討する必要性自体を下げられます。一方で、バックアップの取り方に問題があるとバックアップも暗号化され、復旧できない事態が起こります。具体例として、バックアップを被害端末上に作成している場合や、ファイル共有フォルダーに保存している場合は、暗号化に巻き込まれ得るとされています。

このため、バックアップはネットワーク的に分離した場所に作成する考え方が重要で、例として外付けハードディスクや磁気テープ、クラウドサービスが挙げられています。また、参照資料では、平時にバックアップ取得状況を確認し、年に1回など定期的にバックアップからの復旧試験を実施することが理想とされています。

バックアップが使えない会社はどこでつまずくかを復元手順ごとに点検する

バックアップが存在しても、インシデント時点で「使える状態」とは限りません。参照資料では、運用設計書上はバックアップ実施になっていても、環境変化（システムアップデート等）で不具合が起き、被害時点では数年前のバックアップしか残っていなかったケースが実際にあるとされています。

また、攻撃者はバックアップを見つけて破壊するように動くため、復旧局面ではバックアップの有無確認だけでなく、バックアップ保存先サーバ等の機器をネットワークから切り離すなど、被害拡大防止も同時に必要です。さらに、参照資料では、バックアップデータ内にランサムウェア関連プログラムが混入している可能性があるため、利用開始前に存在確認を行う注意点も示されています。

体制整備と外部連携

教育とBCP訓練を定着させる

技術対策を講じても、参照資料が指摘するとおり、ゼロデイ攻撃やパッチ適用前の攻撃が起こり得るため、侵入を前提にBCP（事業継続計画）と訓練を整備する必要があります。BCPは本来、自然災害や事故の際に損害を最小限にして事業を継続するための計画であり、ランサムウェアを含むサイバー攻撃もBCPに組み込むべきとされています。

また、参照資料では、被害時の対応方針、特に被害コンピューターの保全方法とバックアップからの復旧方法を決め、実際に保全・復旧できるかを実践で確認し、作業手順書を作ることが推奨されています。

委託先を含むサプライチェーンを点検する

攻撃者は、自社が堅牢でも、より侵入しやすい委託先・関係会社を起点に侵入を狙います。参照資料にも、攻撃者は侵入後にネットワーク探索や権限奪取を進め、重要サーバへ到達する前提の動きが示されており、サプライチェーン経由で社内に到達されると被害が全社化しやすい点に注意が必要です。

経営・情シス・法務・広報が初動24時間で誰に何を共有するか決めておく

初動24時間は、封じ込めと説明責任の両方が同時進行になります。個人データの漏えい等が一定条件を満たす場合、個人情報保護委員会への報告と本人通知が義務となるため（個人情報保護法第26条）、法務は技術事実（何が・いつ・どこまで）を早期に受け取れる体制が必要です。

感染時の対応と判断

感染疑い時の初動対応を時系列で確認する

感染兆候が出た際は、封じ込めと証拠保全を両立させます。参照資料でも、被害コンピューターの保全方法をBCPに組み込み、実際に保全できるか訓練で確認することが推奨されています。

通報先と復号手段を見極める

外部通報・報告は「技術相談」と「法令対応」を切り分けて設計します。個人データの漏えい等が一定条件を満たす場合、個人情報保護委員会への報告と本人通知が義務となります（個人情報保護法第26条）。その判断の前提となるのは、侵入・持ち出しの有無、対象データ、影響範囲などの技術的事実です。

復号については、出所不明ツールは二次感染の危険があるため、公式プロジェクト等で公開されているツールの有無を確認するに留め、適用可否は専門家の検証を経る必要があります。

身代金対応と投資優先度を判断する

身代金対応は、復旧可能性（バックアップ・代替運用）と、二次被害（再攻撃・情報公開）を踏まえた経営判断になります。参照資料では、バックアップから復旧できることが最も有効であり、復旧できれば身代金を検討する必要もなくなる、とされています。一方で、攻撃者はバックアップを見つけて破壊するように動くため、平時から分離保管・復旧試験ができていない組織は交渉以前に「復旧手段がない」状態に陥りがちです。

よくある質問

ランサムウェア対策は中小企業でも必須ですか？

必須です。イヴァンティの2021年7月調査では、日本で「過去1年以内にランサムウェア被害にあった」と回答した割合が53%であり、規模にかかわらず被害が現実化していることが示唆されます。また同調査では、日本の回答者の100%が「組織を狙ったランサムウェア攻撃が増加している」と回答しており、経営として「いつ被害に遭ってもおかしくない」前提で、入口対策と復旧可能性（バックアップ・BCP）を整備する必要があります。

既にセキュリティソフトがあっても対策は必要ですか？

必要です。参照資料でも、攻撃者は正規の方法でアクセスしてくるため、VPN装置等にパッチを適用していても侵入を許す可能性があり、知識情報（ユーザー名・パスワード）のみではなく多要素認証を導入すべきとされています。加えて、侵入後は探索・権限奪取（例：Mimikatz）・横展開（例：GPO、PsExec）・実行（例：PowerShell、Cobalt Strike）と段階的に進むため、ウイルス対策ソフト単体ではなく、権限設計、監視（EDR/SOC）、バックアップ分離と復旧試験を組み合わせた多層防御が前提になります。

身代金を支払うと復号できますか？

確実性はありません。参照資料が示す実務観点では、そもそも「バックアップから復旧できるのがベスト」であり、復旧できれば身代金を検討する必要性が下がります。また攻撃者は、バックアップを見つけて破壊するように動くため、身代金の前に「復旧手段を確保できているか」を平時から作っておくことが、事業継続上の優先課題になります。

ランサムウェアへの対応で次にすべきこと

ランサムウェアは、暗号化だけでなく情報窃取・横展開を伴うため、入口対策と復旧可能性、初動体制を一体として設計することが判断の軸になります。特に、外部公開面（VPN等）の脆弱性管理とMFA、バックアップの分離保管と年1回などの復旧試験、初動24時間の情報共有（経営・情シス・法務・広報）の事前合意が、被害最小化に直結します。法務面では、漏えい等が一定条件を満たす場合に個人情報保護委員会への報告と本人通知が義務となるため（個人情報保護法第26条）、技術事実を迅速に集められる体制が前提です。次のアクションとして、重要業務と情報資産の棚卸しから着手し、VPN・ID管理・バックアップ・監視運用（EDR/SOC）を「どこまでを自社で回し、どこを外部に委ねるか」まで含めて決めていくことが現実的です。個別の環境や漏えい等該当性の判断は状況により異なるため、必要に応じて専門家と連携して進めてください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ