2026.02.19

ランサムウェア対策の要点｜感染経路から事後対応までを整理

catfish_admin

事業継続の観点から、ランサムウェアの脅威を正しく理解し備えることは極めて重要です。ひとたび感染すれば、事業停止や情報漏洩に直結し、企業の信用を大きく損なう可能性があります。この記事では、ランサムウェアの攻撃手口や主な感染経路といった基本知識から、企業が実践すべき具体的な予防策、万が一感染した場合の対処フローまでを網羅的に解説します。

ランサムウェアの基本知識
主な感染経路と侵入の手口
感染がもたらす経営リスク
企業が講じるべき予防策
感染時の対処フロー
よくある質問
まとめ：ランサムウェアのリスクを理解し、事業継続のための対策を講じる

ランサムウェアの基本知識

攻撃の仕組みと目的

ランサムウェアとは、コンピュータウイルスなどのマルウェアの一種です。感染したコンピュータやサーバー内のデータを暗号化して利用できなくし、そのデータを元に戻す（復号する）ことと引き換えに金銭（身代金）を要求するサイバー攻撃を指します。

攻撃者は標的のシステムに侵入した後、内部ネットワークを探索して管理者権限を奪取し、事業の根幹となるファイルサーバーやデータベースを狙って暗号化を実行します。主な目的は金銭の獲得であり、被害組織が事業を継続できなくなる状況を作り出すことで、高額な身代金を支払わせようとします。

近年では、単にデータを暗号化するだけでなく、事前に機密情報を窃取し「支払わなければ情報を公開する」と脅す二重恐喝の手口が主流となっており、企業はデータ復旧と情報漏洩という二つの危機に同時に対応しなければなりません。

近年の攻撃動向と二重恐喝の手口

近年のランサムウェア攻撃は、無差別にメールを送りつける「ばらまき型」から、特定の企業や組織を入念に調査し、ネットワーク機器の脆弱性などを突いて侵入する「標的型攻撃」へと高度化しています。

特に深刻な脅威となっているのが、データを人質に取る手口を複数組み合わせる「多重恐喝」です。これにより、たとえバックアップからデータを復元できても、他の脅迫によって身代金の支払いを余儀なくされるケースが増えています。

多重恐喝の主な手口

二重恐喝: データの暗号化に加え、窃取した機密情報の公開を脅迫材料にする。
三重恐喝: 被害組織の顧客や取引先に連絡し、間接的にプレッシャーをかける。
四重恐喝: DDoS攻撃（大量のデータを送りつけてサーバーをダウンさせる攻撃）などを仕掛け、事業運営を直接的に妨害する。
ノーウェアランサム: データを暗号化せず、窃取した情報の公開のみを脅迫材料にする手口。

これらの手口は非常に悪質化しており、企業の対応をより困難にしています。

攻撃者のビジネスモデル（RaaS）

ランサムウェア攻撃が世界的に急増している背景には、「RaaS（Ransomware as a Service）」と呼ばれる、サイバー犯罪の分業ビジネスモデルの確立があります。これは、高度なランサムウェアをサービスとして提供する仕組みです。

このモデルにより、高度な技術力を持たない攻撃者でも、サービス利用料や身代金の成功報酬を支払うだけで、容易にランサムウェア攻撃を実行できるようになりました。サイバー犯罪のエコシステムが形成され、攻撃の裾野が大きく広がっています。

RaaS（Ransomware as a Service）の仕組み

開発者（サービス提供者）: 高度なランサムウェアや攻撃インフラを開発し、サービスとして提供する。
実行者（アフィリエイト）: サービスを利用して実際に攻撃を行い、得られた身代金の一部を報酬として受け取る。
イニシャルアクセスブローカー: 攻撃の起点となるシステムの認証情報などを専門に販売し、分業体制を支える。

主な感染経路と侵入の手口

VPN機器の脆弱性を突く侵入

テレワークの普及に伴い多くの企業で導入されたVPN（Virtual Private Network）機器は、ランサムウェアの主要な侵入経路の一つとなっています。攻撃者は、インターネット上に公開されているVPN機器の中から、セキュリティ更新プログラムが適用されていない脆弱な機器を標的にします。

特に、古いファームウェアのまま放置されていたり、多要素認証（MFA）が設定されていなかったりすると、既知の脆弱性を悪用されたり、流出した認証情報で簡単に不正ログインされたりするリスクが高まります。一度侵入を許すと、攻撃者は内部ネットワークで権限を拡大し、ランサムウェアを展開します。

リモートデスクトップ経由の侵入

遠隔地から社内PCを操作できるリモートデスクトップ（RDP）も、設定に不備があると格好の侵入経路となります。攻撃者はインターネット上で接続可能な端末を探し出し、IDとパスワードを特定しようとします。

リモートデスクトップを狙った主な侵入手口

総当たり攻撃: 考えられる全てのパスワードを試行して認証を突破する。
辞書攻撃: パスワードに使われやすい単語のリストを用いてログインを試みる。
認証情報リストの悪用: 過去に漏洩したIDとパスワードのリストを使って不正アクセスを試みる。

リモートデスクトップをインターネットへ直接公開することは極めて危険であり、VPN経由での接続や多要素認証の導入、接続元IPアドレスの制限といった対策が不可欠です。

業務連絡を装うメールからの感染

取引先や公的機関を装った巧妙なフィッシングメールは、依然としてランサムウェアの主要な感染経路です。攻撃者は受信者の警戒心を解くため、業務に関係があるかのような件名や内容でメールを送りつけ、添付ファイルの開封やURLのクリックを促します。

巧妙なフィッシングメールの手口例

「請求書」「注文確認」など業務に関連する件名で受信者を騙す。
添付されたマクロ付きOfficeファイルや圧縮ファイルを開かせる。
本文中のURLから偽のログイン画面やマルウェア配布サイトへ誘導する。
生成AIを用いて自然で不審に思われにくい日本語の文章を作成する。

従業員一人ひとりが不審なメールへの警戒心を高め、安易に反応しないよう日頃からの教育が重要です。

Webサイト閲覧による自動感染

Webサイトを閲覧するだけで、意図せずマルウェアに感染してしまう「ドライブバイダウンロード攻撃」も深刻な脅威です。攻撃者は正規のWebサイトを改ざんして不正なプログラムを埋め込み、閲覧者のブラウザやプラグインの脆弱性を悪用して、自動的にランサムウェアを送り込みます。

また、Web広告の配信システムを悪用する「マルバタイジング」という手口もあります。信頼できるサイトに表示された広告をクリックした結果、マルウェアに感染させられるケースもあり、ユーザーが自衛するのは困難です。OSやブラウザなどを常に最新の状態に保ち、脆弱性を解消しておくことが基本的な対策となります。

USBメモリなど外部媒体からの感染

USBメモリなどの外部記憶媒体は、インターネットに接続されていないオフライン環境（クローズドネットワーク）であっても感染を広げる原因となり得ます。マルウェアが仕込まれたUSBメモリをPCに接続するだけで、ウイルスが自動実行され感染する手口が存在します。

従業員が私物のUSBメモリを無断で業務に利用し、意図せず社内にマルウェアを持ち込んでしまうケースも少なくありません。外部記憶媒体の利用ルールを厳格に定め、使用前には必ずウイルススキャンを実施するなどの徹底した管理が求められます。

感染がもたらす経営リスク

事業停止による機会損失と復旧費用

ランサムウェアに感染すると、基幹システムや生産設備が停止し、事業活動が長期間にわたり中断される可能性があります。事業が停止している間の売上機会の損失は甚大であり、復旧が長引くほど企業の財務状況を圧迫します。

さらに、システムの調査や復旧には専門業者への高額な費用が発生するほか、被害を受けた機器の交換やセキュリティ強化のための追加投資も必要となり、金銭的ダメージは数千万から数億円規模に及ぶこともあります。

データの暗号化と情報漏洩

ランサムウェアによって顧客情報、財務データ、技術情報などの重要データが暗号化されると、事業運営そのものが困難になります。身代金を支払ってもデータが元通りになる保証はありません。

さらに深刻なのが情報漏洩のリスクです。二重恐喝の手口により、窃取された機密情報や個人情報がダークウェブなどで公開されると、顧客や取引先への損害賠償責任が発生するだけでなく、企業の社会的信用は大きく傷つきます。個人情報保護法などの法令違反に問われ、行政処分を受ける可能性もあります。

サプライチェーンへの加害リスク

自社がランサムウェアに感染すると、ネットワークで接続されている取引先や関連会社にまで被害を拡大させてしまう「サプライチェーン攻撃」の起点となる恐れがあります。この場合、自社は被害者であると同時に、他社に損害を与える加害者にもなり得ます。

取引先の事業を停止させたり、情報漏洩を引き起こしたりすれば、損害賠償を請求されるだけでなく、取引停止や契約解除につながる可能性もあります。自社の対策だけでなく、サプライチェーン全体でのリスク管理が不可欠です。

顧客や取引先からの信頼失墜

ランサムウェア感染による事業停止や情報漏洩は、企業が長年かけて築き上げてきた顧客や取引先からの信頼を瞬時に失墜させます。サービスの停止は顧客離れを招き、情報漏洩は企業の管理体制への深刻な不信感を生み出します。

一度失った信頼を回復するには、多大な時間とコストを要します。インシデント発生後の対応が不誠実であったり、情報開示が遅れたりすれば、企業の評判はさらに悪化し、事業継続が困難になる事態も起こり得ます。

サイバー保険の適用範囲と注意点

サイバー保険は、ランサムウェア被害による経済的損失を補填する有効な手段の一つですが、万能ではありません。契約内容を正しく理解し、過信しないことが重要です。

項目	内容
主な補償対象	事故調査費用、データ復旧費用、損害賠償金、事業中断による利益損害など
主な注意点	身代金自体は一般的に補償対象外の場合が多い
	セキュリティ対策の不備が免責事項に該当し、保険金が支払われない可能性がある
	補償には限度額や免責金額（自己負担額）が設定されていることが多い

サイバー保険の主な補償対象と注意点

サイバー保険はあくまで事後的な救済措置であり、日頃から十分なセキュリティ対策を講じていることが加入・適用の前提となります。

企業が講じるべき予防策

【技術的対策】脆弱性管理の徹底

ランサムウェアの侵入を防ぐ最も基本的な対策は、OSやソフトウェア、ネットワーク機器に存在する脆弱性を放置せず、常に最新の状態に保つことです。特にVPN機器など、外部からのアクセス経路となる機器のセキュリティパッチ適用は迅速に行わなければなりません。

脆弱性管理のポイント

自社のIT資産を正確に台帳で管理し、利用している機器やソフトウェアの脆弱性情報を定期的に収集する。
メーカーから修正プログラムが提供されたら、速やかに適用する体制を整える。
パッチ適用が困難な場合は、ネットワークからの隔離や機能の停止といった代替策を講じる。
定期的に脆弱性診断を実施し、潜在的なセキュリティホールを早期に発見・対処する。

【技術的対策】バックアップ体制の構築

万が一データが暗号化されても、バックアップがあれば事業を復旧できます。バックアップ体制は、データの重要性に応じて堅牢な仕組みを構築することが重要です。

効果的なバックアップ手法として「3-2-1ルール」が推奨されています。

推奨されるバックアップ体制（3-2-1ルール）

3つのデータコピーを作成する（原本＋2つのバックアップ）。
2種類の異なる媒体に保存する（例: 社内サーバーとクラウドストレージ）。
1つはネットワークから切り離されたオフライン環境や遠隔地（オフサイト）に保管する。

また、バックアップデータから正常にシステムを復旧できるかを確認する復旧テストを定期的に実施することも不可欠です。

【技術的対策】アクセス制御の最小化

攻撃者が侵入した際の被害を最小限に食い止めるため、ユーザーや端末に与える権限を必要最小限にする「最小権限の原則」を徹底します。

アクセス制御の主な対策

権限の最小化: 従業員には業務上必要最小限のデータやシステムへのアクセス権のみを付与する。
多要素認証（MFA）: 特にVPNやリモートデスクトップなど、外部からの重要なアクセスにはMFAの導入を必須とする。
ネットワークのセグメント化: ネットワークを部門や用途ごとに分割し、万が一マルウェアが侵入しても、他の領域へ被害が広がる（横展開）のを防ぐ。

【組織的対策】従業員へのセキュリティ教育

技術的な対策をすり抜ける巧妙な攻撃も多いため、従業員一人ひとりのセキュリティ意識の向上が欠かせません。定期的な教育を通じて、組織全体の防御力を高めることが重要です。

セキュリティ教育の具体例

不審なメールの見分け方やパスワードの適切な管理方法などに関する定期的な研修。
実際に近い形の攻撃メールを送信し、従業員の対応を訓練する「標的型攻撃メール訓練」の実施。
USBメモリの利用ルールや私物端末の接続禁止など、社内セキュリティポリシーの策定と周知徹底。
インシデント発見時の報告ルートを明確にし、早期報告を促す文化を醸成する。

【組織的対策】インシデント対応計画の策定

ランサムウェア感染は起こりうるものとして、有事に備えたインシデント対応計画を事前に策定し、CSIRT（シーサート）のような対応チームを組織しておくことが極めて重要です。計画的かつ迅速な対応が、被害の拡大を防ぎます。

インシデント対応計画に盛り込むべき項目

対策本部の設置、各担当者の役割と責任分担。
感染検知から初動対応、復旧までの具体的な手順とタイムライン。
警察や監督官庁、外部の専門業者などへの連絡体制と判断基準。
顧客や取引先への報告、対外公表の基準と方針。
定期的な訓練の実施と、訓練結果を踏まえた計画の見直しプロセス。

対策予算を確保するための経営層への説明ポイント

効果的なセキュリティ対策には相応のコストがかかりますが、これを単なる「コスト」ではなく、事業継続に不可欠な「投資」として経営層に理解してもらう必要があります。

経営層への説明ポイント

被害発生時の想定損失額（事業中断、復旧費用、賠償金など）を具体的に試算し、対策の投資対効果を示す。
他社の被害事例や公的機関の統計データを引用し、自社にとっても現実的なリスクであることを認識させる。
セキュリティ対策が、企業の社会的信用やブランド価値を守るための重要な経営課題であることを強調する。
対策を怠った場合、サプライチェーン全体に迷惑をかける加害者となりうるリスクを説明する。

感染時の対処フロー

初動対応：感染端末の隔離

ランサムウェアの感染が疑われる場合、被害拡大を防ぐための最初の行動が「感染端末の隔離」です。迅速かつ冷静な初動対応が、被害を最小限に抑える鍵となります。

感染端末の隔離手順

感染が疑われる端末のLANケーブルを抜く、またはWi-Fiをオフにする。
端末をネットワークから物理的に切断し、他の機器への感染拡大を阻止する。
電源は切らない。メモリ上の情報が消え、後の原因調査に必要な証拠が失われる可能性があるため。
スリープモードにするか、そのままの状態で保全し、情報システム部門や専門家の指示を待つ。

被害範囲の特定と状況把握

感染端末の隔離と並行して、被害の全体像を把握します。正確な状況把握が、その後の対応方針を決定する上で重要な基礎情報となります。

状況把握で確認すべき項目

感染した端末の台数と設置場所。
暗号化されたファイルの範囲と重要度。
基幹システムやファイルサーバー、バックアップデータへの影響の有無。
画面に表示されたランサムノート（脅迫文）の内容、攻撃者への連絡先。
サーバーのログなどを確認し、不正アクセスや情報窃取の痕跡がないかを調査する。

関係各所への報告と連携

被害状況がある程度判明したら、速やかに関係各所へ報告し、連携体制を構築します。社内での情報共有を密にし、必要に応じて外部の専門機関の支援を仰ぎます。

主な報告・連携先

社内: 経営層、情報システム、法務、広報などの関連部署で対策本部を立ち上げる。
外部機関: 警察のサイバー犯罪相談窓口、IPA（情報処理推進機構）、個人情報保護委員会などへ相談・報告を検討する。
取引先・顧客: 被害が及ぶ可能性がある場合は、状況を整理した上で適切なタイミングで連絡し、二次被害を防ぐ。

対外公表のタイミングと内容の判断基準

インシデントの対外公表は、企業の信頼を維持するために非常に重要です。不確かな情報で混乱を招かないよう、慎重な判断が求められます。

対外公表の基本原則

タイミング: 事実関係がある程度判明し、二次被害の恐れがないと判断できた段階で、速やかに行う。
内容: 発生した事象、原因、被害範囲、現在の対応状況、今後の再発防止策などを、確認できた事実に基づき誠実に説明する。
姿勢: 情報を隠蔽しようとせず、透明性のある情報開示を心がけることで、社会的な信用の失墜を最小限に抑える。

専門業者による原因調査と根絶

侵入経路や被害の全容を正確に特定するため、サイバーセキュリティ専門業者によるフォレンジック調査を依頼します。自社での調査には限界があり、専門家の知見を借りることで、根本的な原因の排除が可能になります。

専門業者は、デジタルデータに残された痕跡を解析し、攻撃の手口や情報漏洩の有無を明らかにします。その調査結果に基づき、マルウェアの完全な駆除や、再侵入を防ぐための対策を実施します。

バックアップからのデータ復旧

専門業者によってシステムの安全性が確認された後、事前に準備していたバックアップデータを用いてシステムの復旧作業を開始します。復旧作業は、定められた手順に沿って慎重に進める必要があります。

バックアップからの復旧手順

復旧作業の前に、バックアップデータ自体がマルウェアに感染していないかを再度確認する。
クリーンな状態のバックアップを用いて、事前に定めた手順書に従いシステムをリストアする。
業務上の優先度が高いシステムから順次復旧を進める。
復旧後、システムが正常に動作するかを十分にテストし、問題がないことを確認してから業務を再開する。

システムの復旧と再発防止策

システムの復旧と業務再開が完了した後、最も重要なのが再発防止策の策定と実行です。今回のインシデントを教訓とし、より強固なセキュリティ体制を構築します。

主な再発防止策

侵入経路となった脆弱性の修正やセキュリティ設定の全面的な見直し。
ネットワーク監視体制の強化と、不審な挙動を早期に検知する仕組みの導入。
今回のインシデント対応で明らかになった課題を踏まえた、従業員教育の再徹底。
インシデント対応計画や事業継続計画（BCP）を今回の経験に基づき見直し、実効性を高める。

よくある質問

ランサムウェア感染の兆候はありますか？

はい、感染するといくつかの特徴的な兆候が現れることがあります。以下のような異常に気づいた場合は、直ちにPCの利用を中止し、ネットワークから切断して担当部署へ報告してください。

主な感染の兆候

ファイルが開けない、またはファイルの拡張子が「.lock」など見慣れないものに変わっている。
デスクトップの壁紙が脅迫文に書き換えられている、または脅迫文のテキストファイルが作成されている。
PCの動作が極端に遅くなる、または頻繁にフリーズする。
身に覚えのないポップアップ画面が表示される。
セキュリティソフトが勝手に無効化されている。

身代金を支払うべきでしょうか？

いいえ、原則として身代金は支払うべきではありません。警察庁をはじめとする公的機関も支払わないことを強く推奨しています。支払いに応じても、データが元通りになる保証は一切ありません。

身代金を支払うべきでない理由

支払ってもデータが復旧される保証はなく、金銭をだまし取られるだけのリスクがある。
攻撃者に活動資金を提供することになり、さらなるサイバー犯罪を助長してしまう。
「支払いに応じる企業」と認識され、将来的に再び攻撃の標的になるリスクが高まる。

身代金の支払いを選択する前に、必ずバックアップからの復旧を試み、警察や専門家へ相談してください。

バックアップがあれば安全と言えますか？

バックアップがあることは非常に重要ですが、それだけでは万全とは言えません。バックアップの運用方法に不備があると、いざという時に役立たない可能性があります。

バックアップにおける注意点

ネットワークに常時接続されたバックアップは、元のデータと同時に暗号化されてしまう危険がある。
ネットワークから物理的に隔離されたオフラインバックアップや、遠隔地に保管するオフサイトバックアップが不可欠。
定期的に復旧テストを実施し、有事の際に確実にデータを復元できることを確認しておく必要がある。

感染が疑われるPCの電源は切るべきですか？

いいえ、自己判断で電源を切らないでください。まず行うべきは、LANケーブルを抜くなどしてネットワークから隔離することです。電源を切ってしまうと、後の調査に不可欠な証拠が失われる可能性があります。

電源を切るべきではない理由

メモリ上に残された攻撃の痕跡（実行ログなど）が消えてしまい、原因調査が困難になるため。
ランサムウェアの種類によっては、再起動時にデータを完全に破壊するようプログラムされている場合があるため。

ネットワークから隔離した後、スリープ状態にするかそのままの状態で保全し、専門家の指示に従ってください。

警察など外部機関へはいつ相談しますか？

被害が発覚したできるだけ早い段階で相談することをお勧めします。早期に相談することで、専門的な助言や捜査協力を得られ、被害の拡大防止や原因究明に役立ちます。

主な相談先

警察: 各都道府県警察本部のサイバー犯罪相談窓口（被害届の提出も検討）。
IPA（情報処理推進機構）: 情報セキュリティに関する技術的な相談窓口。
JPCERT/CC: インシデントに関する情報連携や調整支援を行う組織。

個人情報の漏洩が疑われる場合は、個人情報保護委員会への報告も法律で義務付けられている場合があります。

公開されている復号ツールは有効ですか？

一部の古いタイプのランサムウェアに対しては、有効な場合があります。「No More Ransom」プロジェクトなど、セキュリティベンダーや法執行機関が共同で無償の復号ツールを公開しているウェブサイトが存在します。

ただし、これらのツールは全てのランサムウェアに対応しているわけではなく、特に新しい亜種には効果がないケースがほとんどです。復号できる可能性は低いと認識し、あくまで「試す価値のある手段の一つ」として捉え、過度な期待はしない方が賢明です。

まとめ：ランサムウェアのリスクを理解し、事業継続のための対策を講じる

ランサムウェアは、データの暗号化や情報漏洩の脅迫を通じて事業継続を脅かす深刻なサイバー攻撃です。RaaSと呼ばれるビジネスモデルの確立により攻撃は巧妙化・分業化しており、VPN機器の脆弱性やフィッシングメールなど、侵入経路も多岐にわたります。対策の基本は、脆弱性管理や適切なバックアップといった技術的対策と、従業員教育やインシデント対応計画の策定といった組織的対策を両輪で進めることです。まずは自社のIT資産の管理状況や、万が一の際の対応手順が明確になっているかを確認することから始めましょう。もし感染の兆候が見られた場合は、自己判断で電源を切らずに端末をネットワークから隔離し、速やかに専門家や警察などの関係機関に相談することが被害拡大を防ぐ上で重要です。この記事で解説した内容は一般的な情報であり、具体的な対策の導入やインシデント対応については、専門家の助言を求めることを推奨します。