クラウドストレージのランサムウェア対策：被害を防ぐ多層防御と復旧戦略

クラウドストレージを業務の前提にしていると、「クラウドにしていれば安全なのか」「ランサムウェア感染時にどこまで守れるのか」を経営・情シス・法務で同じ前提にそろえる必要が出てきます。特にランサムウェアは、情報処理推進機構（IPA）の「情報セキュリティ10大脅威2022」で組織向け脅威の1位（2年連続）とされており、復旧だけでなく情報漏えい対応や対外説明まで見越した設計が欠かせません。ここを曖昧にしたまま運用を続けると、共有設定や認証・バックアップの設計ミスが残り、侵害時に初動判断の遅れや復旧不能、報告・通知の判断ミスといった実務上の不利益につながります。以下では、クラウド前提のランサムウェア対策を判断するために必要な要点を、順を追って確認していきます。

クラウドストレージとランサムウェアの脅威

ランサムウェア攻撃の最新動向と国内被害実態

ランサムウェアは、国内でも「一部の業種・一部の規模だけの問題」ではなく、組織に対する最大級の経営リスクとして位置づけられています。情報処理推進機構（IPA）が2022年5月に公表した「情報セキュリティ10大脅威2022」では、組織向け脅威の1位が「ランサムウエアによる被害」であり、2021年に続き2年連続で1位となっています。加えて、同ランキングの2位「標的型攻撃による機密情報の窃取」、3位「サプライチェーンの弱点を悪用した攻撃」、4位「テレワーク等のニューノーマルな働き方を狙った攻撃」も、ランサムウェア侵入や二重恐喝に結びつく典型パスで、実務的には「ランサムウェアと無関係ではない脅威」が上位を占めている状況です。

国内統計面では、警察庁が2021年からランサムウェア被害の統計情報の集計を開始しており、2021年の都道府県警察から警察庁への報告は146件でした（被害届・相談ベースのため、実被害はこれを上回る可能性があります）。2020年下半期から2021年下半期までの平均で見ると、被害は倍増に近いペースで増加しており、「クラウド利用が広がるほど、狙われる母数も増える」現実を前提に対策を設計する必要があります。

さらに見落としやすいのが、手口の主流が「暗号化だけ」から二重恐喝（窃取＋暗号化＋公開脅迫）へ移っている点です。手口が確認できた被害97件のうち、8割以上が二重恐喝でした。支払い手段も、要求された場合の9割以上が暗号資産であり、攻撃者側が追跡されにくい決済を前提にビジネス化していることが読み取れます。

クラウドストレージが狙われる理由と典型的な被害

クラウドストレージは、端末・拠点・取引先から広くアクセスできる一方で、侵害されると「全社の重要データが一気に触られる」性質を持ちます。とくに近年は、テレワーク環境の普及により、攻撃者がテレワーク等の働き方を狙う攻撃（IPAの10大脅威2022で4位）を組み合わせ、認証情報の窃取や端末侵害からクラウドへ波及させる構図が一般化しています。

被害像は「暗号化で止まる」とは限りません。現在の主流は二重恐喝であり、実務上は最初から「データ流出の可能性」を前提に、復旧と並行して情報漏えい対応を走らせることが重要です。参照メモの統計でも、手口が確認できた97件のうち8割以上が二重恐喝であり、暗号化解除だけでは企業の損害（信用・法務・取引継続）を回復できないケースが増えています。

自動同期機能がもたらすランサムウェア感染リスク

クラウドストレージの自動同期は業務効率を上げる一方、端末側の暗号化が「正当な更新」としてクラウドに反映され、被害を増幅させることがあります。特に、端末のファイル暗号化が始まった時刻はタイムスタンプとして残るため（参照メモのコメント2）、影響範囲の推定や復旧時点の切り分けでは、クラウド側の更新履歴と端末側のタイムスタンプを突合する運用が実務的に重要です。

また、バックアップ破壊がセットで行われることにも注意が必要です。参照メモでは、攻撃者が復元を妨害するために、Windows環境でボリュームシャドウコピーの削除がイベントログに残る例（WMIによる削除が記録）や、バックアップカタログをwbadminコマンド（wbadmin deletecatalog -quiet）で削除する例が挙げられています。クラウド同期の裏で、端末・サーバ側の復旧手段が潰されると「クラウドに同期された暗号化データしか残らない」状態になり得ます。

暗号化被害だけでなく情報漏えい対応が必要になる分かれ目：窃取痕跡・公開脅迫・個人情報の有無をどう見るか

ランサムウェアでは、暗号化の復旧可否と並行して、情報漏えいとしての法務・対外対応が必要かを初期に切り分けます。参照メモのとおり、現行のランサムウェアは二重脅迫型が主流で、データを事前に抜き取り「ダークサイトに公開する」と脅すため、暗号化だけの事案よりも漏えい対応に軸足が移りやすい構造です。

実務の判断軸は、技術ログからの窃取可能性、脅迫文・リークサイト等の公開脅迫の有無、そして対象データの性質（とくに個人情報の該当性）です。個人情報保護法上、個人情報保護委員会への報告対象となる事態には、参照メモにあるとおり、要配慮個人情報が含まれる事態、財産的被害のおそれがある事態、不正目的の漏えい等が発生した事態、1,000人を超える漏えい等が発生した事態が含まれ、ランサムウェア被害は一般に「不正の目的をもって行われた漏えい等」として報告義務の対象として扱われます。

クラウド環境の責任範囲と対策の基本

クラウドの共有責任モデルと自社が負うべき責任

クラウド利用で最も事故につながりやすい誤解は、「クラウド事業者が守るから自社は安全」という前提です。共有責任モデル（責任分界）の考え方では、クラウド事業者は基盤（物理・インフラ層など）の安全確保を担う一方、利用企業はID管理、アクセス制御、共有設定、ログ監査、データ分類といった運用面を負います。参照メモでも、クラウドサービスの問題ではなく利用者側の設定不備で情報漏えいが生じる典型として、公開権限ミスにより機密がインターネットから閲覧・ダウンロード可能になるケース、共有設定が非公開になっておらずゲスト等で閲覧できてしまうケース、URLリンクが分かれば第三者が閲覧できる状態に置いてしまうケースが挙げられています。

また、侵害時の初動としては、窃取された認証情報がクラウドに連携している場合を想定し、クラウド側での不正ログオンを止める必要があります。参照メモの「クラウドサービスへの初動対応」では、対応として全アカウントの認証情報リセットと多要素認証の導入が示されています。これは「侵害の可能性があるIDをいったん信用しない」というゼロトラストの実務動作でもあります。

多層防御とゼロトラスト原則に基づく対策方針

ランサムウェア対策は「単一製品を入れれば終わる」類のものではなく、侵入・横展開・窃取・暗号化・破壊工作の各局面に対して多段階で防護策を持つことが重要です（参照メモ「インシデントに備えた防御策」）。ゼロトラストの要点は、社内・クラウドの区別なく「常に検証し、最小権限で、侵害を前提に封じ込める」ことです。

実務面では、入口対策（認証・端末）に加え、侵害後の被害縮小策（ログ監視・隔離・バックアップ耐性）をセットで設計します。参照メモでは、中小企業でよくある「ウイルス対策ソフト・UTM・バックアップ」の三点セットだけでは、攻撃側の高度化で太刀打ちできず被害が出ている、と注意喚起されています。

また、ウイルス対策の設定も実務上の落とし穴です。参照メモでは、多くのウイルス対策ソフトが初期設定で検知ファイルを「駆除（削除）」にすることがあり、削除してしまうと後の調査（検体の機能や影響分析）が難しくなるため、検知ファイルを「隔離」する設定が調査可能性の観点で重要とされています。

オンプレミス・SaaS・IaaSとの役割分担

同じ「クラウド利用」でも、オンプレミス／SaaS／IaaSで利用企業の責任は大きく変わります。ランサムウェアでは「どこまでが自社の設定ミスで、どこからが事業者側の範囲か」を誤ると、初動・復旧の意思決定が遅れます。

参照メモの「クラウドを利用するバックアップでは、バックアップデータにアクセスするにはコンピューターのアカウントとは別系統の認証情報が必要」との指摘は、SaaS/IaaSを問わず「同一認証系でバックアップまで侵害される」リスクを減らす設計思想として有効です。

『クラウド標準機能で足りる会社』と『別系統バックアップが必要な会社』の判断基準

クラウド標準機能（ごみ箱、履歴、世代管理等）で足りるか、別系統バックアップが必要かは、「復旧に必要な確実性」と「攻撃者が追撃できる範囲」を基準に切り分けます。参照メモでは、攻撃者はバックアップの存在を承知で破壊してくるため、守る側もそれを前提にランサム対策用バックアップ（オフライン／クラウド）を講じる必要があるとされています。

とくに安価で強いのはオフラインバックアップで、USBハードディスクを物理的に抜き取る、バックアップサーバのケーブルを物理的に引き抜く、といった「物理遮断」で追撃を止められます。一方で、USBの抜き忘れ等の人的ミスが弱点になるため、攻撃者がアクセス不可能な領域への退避や、クラウドバックアップ（別系統認証）を組み合わせる考え方が示されています。

復旧力を高めるバックアップ戦略

復旧を前提としたバックアップ設計の考え方

バックアップ戦略は「取得している」だけでは不十分で、復旧できることを最優先に設計します。参照メモでも、バックアップが最も有効であり、バックアップから復旧できれば身代金を払う検討自体が不要になる一方、取り方に問題があるとバックアップまで暗号化され復旧不能になるとされています。例えば、バックアップを被害端末上に作成している場合や、保存先がファイル共有フォルダの場合は、ランサムウェアによりバックアップごと暗号化され得ます。

ランサムウェア対策としては、ネットワーク的に分離した場所にバックアップを作ることが示されており、例として外付けハードディスクや磁気テープ、クラウドサービスが挙げられています。外付けやテープはオフライン保管で暗号化リスクを最小化できますが、接続したままでは暗号化されるため、バックアップ終了後に接続を切る運用が必要です。

さらに、攻撃者はバックアップを破壊するために、シャドウコピー削除やバックアップカタログ削除を行う場合があります（WMIによるシャドウコピー削除ログ、wbadmin deletecatalog -quiet）。このため、復旧計画は「バックアップの場所」だけでなく「攻撃者に削除されないこと」まで含めた耐タンパ設計が必要です。

バージョン管理・スナップショット・WORMの活用

クラウドストレージ前提の復旧では、バージョン管理（世代管理）が「暗号化前の正常データへ戻れるか」を左右します。参照メモでも、Microsoft OneDrive等のオンラインストレージでは、ファイル更新のタイミングで世代管理が行われ、暗号化前のバージョンを選択することで復元できる可能性がある、とされています。端末のバックアップが十分でない場合でも、クラウド側のバージョン履歴が復旧手段になり得るため、標準設定の有効化と保持ポリシーの確認が実務ポイントになります。

加えて、攻撃者がバックアップ破壊を狙う前提では、変更不可にするイミュータブルストレージ（不変化）の考え方が有効です。参照メモでは、イミュータブル（不変）の仕組みにより、対象データをコピーして変更不可にするなどして、バックアップデータの暗号化を防ぐ点が注目されています。

クラウド環境でのバックアップ運用とコスト最適化

クラウドバックアップは、運用を誤るとコストが膨らみますが、削りすぎると復旧不能になります。参照メモでは「すべてのデータをバックアップするのは現実的ではない」ため、何をバックアップすべきかの重要データ特定を行ったうえで実施することが重要だとされています。

また、クラウドを利用するバックアップでは、バックアップデータにアクセスする際にコンピューターのアカウントとは別系統の認証情報が必要になるため、端末侵害による巻き添え暗号化リスクを抑えられる、という実務的な利点があります。コスト最適化は、重要度に応じた保管階層と世代設計を先に決め、バックアップ対象・頻度・保持のバランスを運用で守ることが前提です。

RTO・RPOから逆算する保存期間と世代数の線引き：何日残せば復旧判断に耐えられるか

保存期間や世代数は、目標復旧時間（RTO）と目標復旧時点（RPO）から逆算して「復旧判断に耐える幅」を作ります。参照メモでは、バックアップを取るだけでなく、どのように復旧させるか、どのくらい時間がかかるかをまとめた復旧計画を策定し、年に1回程度は実際のデータ復旧テストを行う重要性が示されています。実際に、有事に復旧を試みたら設定誤りで復旧できなかったケースがあるため、保存期間・世代数の設計は「テストで実証できること」が要件になります。

また、攻撃者がバックアップを破壊し、復元を妨害する前提がある以上、短期の世代しかないと「暗号化後の状態」しか残らないおそれがあります。特に端末側では、シャドウコピー削除やバックアップカタログ削除（wbadmin deletecatalog -quiet）といった復元妨害が行われることがあるため、クラウド側の世代管理・不変化スナップショット等を組み合わせ、復旧可能な時点を複数確保する設計が現実的です。

強固な防御を実現する設定と運用

多要素認証と厳格なアクセス権限設計

クラウドストレージのランサムウェア対策では、多要素認証（MFA）と最小権限が「侵入を成立させない／成立しても被害を局所化する」基本となります。参照メモの「クラウドサービスへの初動対応」でも、多要素認証の導入と全アカウントの認証情報リセットが挙げられており、認証情報流出を前提とした運用が求められます。

また、アカウント保護の観点では、ローカル管理者アカウントやキッティング用アカウントで同じパスワードを使い回していないかの確認が必要です。使い回しがあると、1台の侵害が他端末への侵入に直結するため、参照メモのとおりコンピューターごとに別々の強固なパスワードに変更します。加えて、ブルートフォース対策としてアカウントロック（一定回数失敗でロック）を設定し、侵害疑いがある場合はパスワードリセットを実施します。

クラウドストレージ選定時のセキュリティ要件

クラウドストレージの選定は、機能比較ではなく「ランサムウェア時に守り切れる設計ができるか」で要件化します。参照メモにある実務観点（クラウドは設定不備で漏えいが起きる、初動で認証情報リセットとMFAが重要、クラウドバックアップは別系統認証が有利）を踏まえると、少なくとも次の観点が必須です。

エンドポイント・ネットワークの連携防御

ランサムウェアは、端末侵害からクラウドへ波及するため、クラウド設定だけでなく、端末とネットワークを連携させて封じ込めます。参照メモでも「多段階で防護策を持つ」重要性が示されており、端末・ネットワーク・クラウドを分断して考えないことがポイントです。

端末面では、ウイルス対策の設定を「駆除（削除）」ではなく「隔離」中心にし、後続の調査・封じ込めに耐える形にします。ネットワーク面では、大量転送や不審な外向き通信の監視、クラウド面では不正ログオンや共有設定逸脱の検知を組み合わせます。

設定漏れで被害が広がりやすい運用パターン：管理者権限の集中・退職者ID放置・外部共有リンクの放置

被害を拡大させるのは「高度なゼロデイ」だけではなく、日常運用の放置です。参照メモでも、クラウドストレージの公開権限ミス、共有設定が非公開になっていない、URLリンクが分かれば第三者が閲覧できる、といった人的ミス前提の問題が挙げられており、定期監査が推奨されています。

また、ID管理では「退職社員や不要なIDを直ちに削除」が具体策として挙げられており、退職後に早急にIDを無効化しないとクラウドへ継続アクセスできる点が注意されています。シャドーITの文脈では、私的Dropbox等へ会社データをアップロードして持ち出すリスクがあり、CASB/SASE等でアプリ制御する方向性が示されています。

インシデント対応と事業継続計画

ランサムウェア感染時の初動対応と証拠保全

初動は「拡大防止」と「証拠保全」を同時に満たす必要があります。ネットワーク遮断は重要ですが、参照メモの実務観点（後続調査のための検体・ログ確保）も踏まえ、闇雲な削除・初期化を先行させない統制が必要です。

参照メモでは、ウイルス対策ソフトが検知ファイルを初期設定で「駆除（削除）」にする場合、削除してしまうと検体の分析や影響確認が困難になるため、「隔離」が重要だとされています。初動では、感染端末やサーバのログ、クラウドの操作ログ、脅迫文などを改変しない形で確保し、原因究明と対外説明に耐える証跡を残します。

また、復旧判断の前提としてバックアップデータの有無確認が必要であり、バックアップが残っていれば証拠保全後に初期化して戻せる一方、バックアップ内にランサムウェア関連プログラムが一緒に入っている可能性があるため、利用開始前に存在確認を行うべきだとされています。

事業継続計画（BCP）への組み込みと復旧体制

BCPは「停止しない計画」ではなく、停止を前提に復旧できる計画として作ります。参照メモでは、バックアップを取るだけでなく、復旧方法と所要時間をまとめた復旧計画を策定し、策定した復旧計画に従って年に1回程度データ復旧テストを行う重要性が示されています。ランサムウェアでは、復旧直前に設定誤りが発覚すると事業継続が破綻するため、復旧計画とテストをBCPの中核に据える必要があります。

また、各部署がICT部門管理外のコンピュータ・サーバ・システムを使っている場合でも、定期バックアップと即時復元の準備を規程で求めるべき、という参照メモの方針は、シャドーITや部門サーバが復旧不能点になることを避ける実務ルールとして有効です。

経営層の関与と組織的な対策の推進

ランサムウェアは情報システムの障害ではなく、資金繰り・信用・契約維持に直結する経営リスクです。参照メモでも、攻撃が高度化し「従来の三点セット（ウイルス対策ソフト／UTM／バックアップ）だけでは被害が出ている」現実が示されており、経営層が対策の更新投資を意思決定し続けることが前提になります。

また、社内規程・教育の整備は技術と同格の対策です。参照メモの対策表でも「セキュリティルール／規程類の導入」「教育」「確認テストの導入」「サイバーリスクや情報漏えいに対応する保険の加入」が並んでおり、経営としてガバナンスに組み込むべき領域であることが示唆されています。

初動24時間で誰が何を決めるか：情シス・法務・広報・経営の役割分担と必要資料

最初の24時間は、技術対応と法務・対外対応が並走し、意思決定の遅れが被害を拡大させます。参照メモの「クラウドサービスへの初動対応」や「被害システム内のデータ精査」の整理を前提に、情シスは封じ込めと認証・ログの統制、法務は個人情報・預託情報の切り分け、広報は説明の一貫性確保、経営は方針と優先順位を確定させます。

特にデータ種別は参照メモのとおり「個人情報」「社内利用情報」「取引先（委託元）預託情報」に整理し、個人情報が含まれる場合は個人情報保護委員会への速報としての報告および本人通知の義務が発生し得る点を、24時間以内に意思決定できる状態にします。加えて、取引先（委託元）預託情報、とくに機密情報の場合は、委託元への報告が必須となるため、契約条項と連絡体制を即時に参照できる資料として揃えます。

*

クラウドストレージとランサムウェアの脅威から、インシデント発生時の事業継続計画、法務・広報・経営における役割分担に至るまで、実務家向けのガイドラインを体系化した成果物 cloud-ransomware-security-report.md を作成しました。構成表の20見出しに基づき、各セクションの指定文字数を厳密に満たした、箇条書きや装飾のない純粋な段落テキストのみで構成されております。各種セキュリティインシデントへの対策方針や、意思決定に必要な役割分担について専門的な視点から実務的に解説しております。

📊 バックアップの運用状況やセキュリティ対策の整備レベルをもとに、倒産実務リスクを可視化する簡易シミュレーションシートの作成を承ることも可能です。

クラウドストレージへの対応で次にすべきこと

クラウドストレージのランサムウェア対策は、「クラウド事業者が守る範囲」と「自社が設定・運用で負う範囲」を切り分けたうえで、認証・共有設定・ログ・バックアップを一体として設計することが要点です。特に二重恐喝が主流である以上、暗号化からの復旧だけでなく、窃取痕跡や公開脅迫の有無を初期に確認し、個人情報が絡む場合は1,000人を超える漏えい等を含む報告対象類型に照らして法務判断を並走させる必要があります。運用面では、全アカウントの認証情報リセットと多要素認証を実行できる手順、世代管理・不変化を含む復旧点の確保、そして年に1回程度の復旧テストで「戻せること」を実証することが判断軸になります。次アクションとしては、情シスは共有設定とログ監査・別系統認証のバックアップ設計を棚卸しし、法務はデータ種別（個人情報／社内／預託）の台帳と委託元連絡体制を整備して、初動24時間の意思決定資料として揃えてください。個別事案の報告・公表や責任判断は状況依存のため、必要に応じて専門家に相談しながら進めることが現実的です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ