ランサムウェア被害事例から学ぶ、企業が講じるべき予防策と初動対応

ランサムウェア攻撃による事業停止や情報漏えいは、今やあらゆる企業にとって対岸の火事ではありません。しかし、他社の具体的な被害事例を知らなければ、自社が直面するリスクを正しく評価し、有効な対策を講じることは困難です。この記事では、国内外のランサムウェア被害の代表的な事例を分析し、その感染経路から企業が実施すべき具体的な予防策、感染時の対処法までを解説します。

国内企業のランサムウェア被害事例

製造業のサプライチェーン寸断（小島プレス工業）

製造業におけるランサムウェア被害は、自社だけでなくサプライチェーン全体に深刻な影響を及ぼす可能性があります。部品供給を担う一社が攻撃されることで、最終製品の製造ライン全体が停止に追い込まれる事態が現実に発生しています。

2022年2月に発生した小島プレス工業の事例は、その典型です。同社はトヨタ自動車の主要な一次サプライヤーでしたが、子会社が利用していたリモート接続機器の脆弱性を突かれ、ネットワークに侵入されました。攻撃は親会社にまで及び、ランサムウェアによってサーバーやPCのデータが暗号化されました。

この攻撃による具体的な影響は以下の通りです。

この事案は、自社のセキュリティ対策だけでは不十分であり、取引先や子会社を含めたサプライチェーン全体の防衛力向上が不可欠であることを示しています。企業は、取引先選定時や契約更新時に、相手方のセキュリティ体制を監査する仕組みを構築していくことが重要です。

大規模サービスの長期停止（KADOKAWA）

デジタルサービスを大規模に展開する企業にとって、ランサムウェア攻撃は事業の根幹を揺るがす脅威です。サービスの長期停止は、莫大な経済的損失とブランド価値の毀損を招くだけでなく、顧客データの流出という深刻な事態を引き起こします。

2024年6月に発生したKADOKAWAグループへのサイバー攻撃は、このリスクが現実化した事例です。同社のデータセンターがランサムウェアによる大規模な攻撃を受け、事業の広範囲にわたり甚大な被害が生じました。

この事例から、情報資産を一元管理するリスクと、侵入を前提とした対策の重要性が明らかになりました。ネットワークを適切に分割して被害範囲を限定する「ゼロトラスト」の考え方に基づき、万が一侵入された場合でも被害を局所化できるシステム設計が求められます。

医療・社会インフラの機能不全

医療機関や社会インフラを標的とするランサムウェア攻撃は、人命や社会生活に直接的な危機をもたらします。病院のシステムが停止すれば、診療や手術が延期され、患者の生命が危険にさらされる可能性があります。攻撃者は、こうした緊急性の高さを利用し、身代金の支払いを強要しやすい標的として医療機関を狙っています。

国内の医療機関における代表的な被害事例を比較します。

これらの事例は、医療機関のサイバー被害が地域医療の崩壊に直結する可能性を示唆しています。法務実務の観点からは、外部業者との契約時にセキュリティ基準を明確化することが不可欠です。また、システムダウンを想定した事業継続計画（BCP）を策定し、紙カルテでの運用など代替手段の訓練を平時から行っておくことが患者の安全を守る上で極めて重要です。

中小企業における被害とその特徴

ランサムウェアの被害は、大企業だけでなく、むしろセキュリティ対策が手薄になりがちな中小企業で頻発しています。攻撃者は組織の規模を問わず、脆弱性のあるシステムを機械的に探索して攻撃を仕掛けるため、リソースが限られる中小企業は格好の標的となりやすいのが実情です。

警察庁の統計によれば、国内のランサムウェア被害報告の半数以上が中小企業で占められています。中小企業が標的になりやすい主な理由は以下の通りです。

中小企業にとって、ランサムウェア被害は事業存続を脅かすだけでなく、取引先への加害者となり損害賠償責任を問われるリスクも伴います。経営者自身がサイバーセキュリティを重要な経営課題と認識し、専門家の支援を受けながら、できる対策から着実に実行していく姿勢が求められます。

海外のランサムウェア被害事例

社会インフラを狙った大規模攻撃（コロニアル・パイプライン）

海外では、サイバー攻撃が現実社会の重要インフラを機能不全に陥らせる事態が実際に発生しています。特にエネルギー供給網のような社会基盤が標的となると、その影響は国家規模の経済的混乱や市民生活の危機にまで発展します。

2021年5月に米国で発生したコロニアル・パイプライン社の事件はその象徴です。同社は米国東海岸の燃料供給の約半分を担う最大のパイプライン運営企業でした。この事件の経緯は以下の通りです。

この事例は、情報システム（IT）の停止が、即座に制御システム（OT）ひいては物理インフラの停止に直結することを示しました。リスク管理の観点からは、事業の根幹をなす重要システムを特定し、サイバー攻撃を受けてもインフラ制御への影響を遮断できるネットワークの分離設計が極めて重要となります。

サプライチェーン攻撃による被害拡大（Kaseya）

ITサービスを提供する企業が攻撃の起点となると、そのサービスを利用する多数の顧客企業へ瞬く間に被害が連鎖的に拡大します。ソフトウェアの供給網（サプライチェーン）を悪用したこの攻撃手法は、一度の侵入で数千の組織を同時に攻撃できるため、攻撃者にとって非常に効率的です。

2021年7月に発生した米国Kaseya社の事案は、IT管理ソフトウェアを悪用した大規模なサプライチェーン攻撃の代表例です。

この事件は、自社のセキュリティを強化しても、利用している外部のITサービスが侵害されれば被害を防ぎきれないという現実を浮き彫りにしました。外部サービスを利用する際は、付与する権限を必要最小限に絞り、不審な挙動を検知する内部監視体制を構築することが不可欠です。

事例から分析する主な感染経路

VPN機器・リモートデスクトップの脆弱性

ランサムウェアが企業ネットワークに侵入する最も一般的な経路の一つが、テレワークなどで利用されるVPN（仮想専用線）機器やリモートデスクトップの脆弱性です。攻撃者は、インターネットに接続されたこれらの外部との接点を常に探索し、集中的に攻撃を仕掛けてきます。

侵入を許してしまう主な原因は以下の通りです。

企業は、外部から接続可能な機器を正確に把握し、更新プログラムを迅速に適用する運用体制を確立することが、侵入を防ぐための第一歩となります。

Emotet等に代表されるフィッシングメール

ネットワーク機器の脆弱性と並ぶ主要な侵入経路が、従業員の心理的な隙を突くフィッシングメールです。強固なシステムを構築していても、従業員が騙されて悪意のあるプログラムを自ら実行してしまえば、容易に内部への侵入を許してしまいます。

代表的なマルウェアである「Emotet（エモテット）」は、極めて巧妙な偽装メールを用いることで知られています。感染から被害拡大までの一般的な流れは以下の通りです。

このような攻撃を防ぐには、システムによるメールフィルタリングの強化に加え、不審なメールを見分けるための従業員教育が不可欠です。また、文書ファイルのマクロ機能を標準で無効化しておくといった技術的対策も有効です。

企業が実施すべきランサムウェア予防策

技術的対策：脆弱性管理と多要素認証

ランサムウェアの侵入を水際で防ぐためには、攻撃者に悪用される「隙」を技術的に塞ぐことが基本です。特に重要な対策は以下の2点です。

技術的対策：EDR導入による侵入の早期検知

巧妙化するサイバー攻撃を100%防ぐことは困難です。そのため、万が一侵入された場合に、その活動を早期に検知して被害の拡大を食い止める「侵入後対策」が重要になります。

その中核となるのが、PCやサーバーなどの端末（エンドポイント）の不審な挙動を監視・検知する「EDR（Endpoint Detection and Response）」です。従来のウイルス対策ソフトが既知のウイルスの検知を主目的とするのに対し、EDRは未知の脅威による異常な振る舞いを捉えることができます。

組織的対策：定期的なバックアップと復旧訓練

万が一データが暗号化されてしまった場合の最後の砦となるのが、データのバックアップです。ただし、バックアップの運用方法を誤ると、いざという時に役に立たない可能性があります。

効果的なバックアップ運用のためには、以下のポイントを徹底することが不可欠です。

バックアップは「取得して終わり」ではなく、「確実に復旧できる」状態を維持することが重要です。

組織的対策：全従業員へのセキュリティ教育

どれほど高度なシステムを導入しても、それを使う「人」のセキュリティ意識が低ければ、組織全体の防御力は脆弱なままです。全従業員に対する継続的なセキュリティ教育は、組織的対策の根幹をなします。

財務的対策：サイバー保険の適用範囲と限界

ランサムウェア被害による経済的損失を補填する手段として、サイバー保険への加入は有効な選択肢の一つです。原因調査やシステム復旧にかかる費用、情報漏えい時の損害賠償などをカバーできる場合があります。

しかし、サイバー保険は万能ではありません。加入にあたっては、その適用範囲と限界を正しく理解しておく必要があります。

サイバー保険は、あくまで事前の対策を尽くした上での補完的なリスク移転手段と位置づけるべきです。

ランサムウェア感染時の対処フロー

初動対応：被害端末の隔離と影響範囲の特定

ランサムウェアへの感染が疑われる事態を検知した場合、その後の被害を最小限に食い止めるためには、迅速かつ的確な初動対応が極めて重要です。最初に行うべき手順は以下の通りです。

外部専門機関への報告・相談

自社の担当者だけでサイバー攻撃の全容を解明し、適切に対応することは非常に困難です。初動対応と並行して、速やかに外部の専門機関へ連絡し、支援を要請することが不可欠です。

バックアップからの復旧と再発防止策の策定

外部の専門家による調査で、ネットワーク内から脅威が完全に駆除されたことを確認した上で、システムの復旧作業を開始します。復旧と再発防止は、以下の手順で進めます。

経営判断：被害公表のタイミングと情報開示の範囲

サイバー攻撃を受けた事実をいつ、どこまで公表するかは、企業の信用を左右する重大な経営判断です。特に顧客や取引先に影響が及ぶ可能性がある場合、情報の隠蔽や公表の遅れは、二次被害を拡大させ、社会的信用を失墜させる原因となります。

経営陣は、事実関係がある程度判明した段階で、透明性を確保しつつ速やかに第一報を開示することが求められます。公表する際には、以下の情報を含めることが一般的です。

ランサムウェアに関するよくある質問

身代金を支払うべきでしょうか？

結論から言うと、身代金は絶対に支払うべきではありません。警察庁をはじめとする公的機関も、支払いに応じないよう強く推奨しています。その理由は以下の通りです。

身代金に頼らず、事前のバックアップから自力で復旧できる体制を整えておくことが、唯一の正しい対策です。

「二重脅迫型ランサムウェア」とは何ですか？

二重脅迫型ランサムウェアとは、従来の「データの暗号化」による脅迫に、「データの公開」という脅迫を組み合わせた、より悪質な攻撃手法です。攻撃者は、データを暗号化する前に、まず企業の機密情報や個人情報を外部に窃取します。

その上で、以下の二重の脅しをかけてきます。

この手口により、企業はバックアップからシステムを復旧できたとしても、「情報漏えい」という別の深刻なリスクに直面することになり、対応が極めて困難になります。

バックアップがあれば対策は万全ですか？

バックアップを取得していること自体は非常に重要ですが、それだけで対策が万全とは言えません。なぜなら、バックアップの運用方法によっては、ランサムウェア攻撃によってバックアップデータごと暗号化されてしまう可能性があるからです。

バックアップを有効な対策とするためには、以下の点が重要です。

まとめ：ランサムウェア被害事例から学ぶ、事業継続のための実践的対策

本記事では、国内外のランサムウェア被害事例を通じて、その手口と企業が取るべき対策を解説しました。製造業や医療機関、社会インフラに至るまで、攻撃は中小企業を含む規模や業種を問わず、サプライチェーン全体を巻き込む深刻な経営リスクとなっています。主な侵入経路であるVPNの脆弱性やフィッシングメールへの対策はもちろん重要ですが、侵入を100%防ぐことは困難です。そのため、万が一の侵入を前提としたEDRによる早期検知や、事業継続の要となるオフラインでのバックアップと定期的な復旧訓練が極めて重要です。ランサムウェア被害は、IT部門だけの問題ではなく、事業存続に関わる経営課題です。自社のセキュリティ体制を再評価し、事業継続計画（BCP）にサイバー攻撃が含まれているかを確認することが、次の一歩となります。具体的な対策や対応に不安がある場合は、サイバーセキュリティの専門家に相談することをお勧めします。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ