ランサムウェア国内被害の現状と対策｜警察庁データから読む感染経路と初動

自社のセキュリティ対策を検討する上で、国内のランサムウェア被害の具体的な状況を把握したいと考えている経営者や担当者の方も多いのではないでしょうか。警察庁の発表によれば、ランサムウェアによる被害は依然として高水準で推移しており、対策の遅れは事業継続を脅かす重大な経営リスクとなります。この記事では、公的なデータを基に、国内企業のランサムウェア被害の最新動向、主な感染経路、そして企業が講じるべき具体的な予防策と事後対応について解説します。

国内ランサムウェア被害の最新動向

警察庁発表にみる被害件数の推移

国内のランサムウェア被害は、依然として深刻な高水準で推移しています。警察庁の発表によると、企業や団体からの被害報告は継続的に発生しており、半期ごとの件数が過去最多に並ぶなど、脅威の鎮静化は見られません。

近年では、データを暗号化せずに窃取し、その情報を公開しないことと引き換えに対価を要求する「ノーウェアランサム」という手口も確認されており、事態はより複雑化しています。被害が減少しない背景には、ランサムウェアをサービスとして提供する「RaaS（Ransomware as a Service）」というビジネスモデルが定着していることがあります。これにより、高度な専門知識を持たない攻撃者でも容易に犯行に及べるようになり、攻撃者の裾野が広がりました。

また、被害企業が信用の低下を恐れて報告をためらうケースも想定されるため、実際の被害総数は公式統計を上回る可能性が高いと考えられます。ランサムウェア攻撃は、あらゆる企業にとって現実的かつ切迫した経営リスクです。

狙われやすい企業規模と業種の傾向

ランサムウェア攻撃は企業規模を問わず無差別に実行されており、特に中小企業と製造業での被害が目立ちます。攻撃者は特定の標的を狙うのではなく、システムの脆弱性を自動的に探索し、侵入しやすい組織から機械的に攻撃を仕掛ける傾向があります。

警察庁の報告では、被害件数の半数以上を中小企業が占めています。大企業に比べて予算や人材が限られ、セキュリティ対策が後手に回りやすい実情が背景にあります。特に、ネットワーク機器の更新プログラム適用が放置されているケースが多く、そこが攻撃の侵入口となります。

業種別に見ると製造業の被害が突出しています。工場の生産管理システムと社内情報システムが連携している一方、古いシステムが稼働し続けていることが多く、脆弱性が生まれやすい環境です。また、事業停止がサプライチェーン全体に与える影響が甚大であるため、身代金の支払いに応じやすいと攻撃者に見なされている可能性も指摘されています。

もちろん、卸売・小売業、サービス業、医療機関など、他の業種でも被害は広く確認されています。「自社は狙われない」という楽観は捨て、基本的な防御策を徹底することが不可欠です。

二重恐喝（ダブルエクストーション）の常態化

現在のランサムウェア攻撃では、データを暗号化するだけでなく、窃取した機密情報を公開すると脅す「二重恐喝（ダブルエクストーション）」の手法が常態化しています。これは、多くの企業がバックアップによるデータ復旧対策を進めた結果、攻撃者が身代金を得るために編み出した新たな手口です。

従来の攻撃はデータの暗号化による業務停止が中心でしたが、二重恐喝では、企業は情報漏洩による損害賠償や信用の失墜という二次被害のリスクにも直面します。この手法により、たとえバックアップからシステムを復旧できたとしても、攻撃者からの脅迫を無視できなくなります。

最近では、暗号化を行わず、情報の窃取と公開の脅迫のみを行う手口も出現しています。二重恐喝が標準となった今、バックアップ体制の整備だけでは対策は不十分であり、ネットワークへの侵入自体を防ぐことが極めて重要です。

主な感染経路と攻撃手口

最多の侵入経路「VPN機器の脆弱性」

ランサムウェアの侵入経路として最も多く報告されているのが、テレワークなどで社外から安全に接続するために利用されるVPN（仮想プライベートネットワーク）機器の脆弱性です。テレワークの普及でVPN機器の利用が急増した一方、その管理が追いついていない企業が多いため、格好の標的となっています。

警察庁の調査でも、感染経路が特定された事例の過半数がVPN機器経由でした。多くのケースで、機器導入後にソフトウェアの更新プログラムが適用されず、既知の脆弱性が放置されています。攻撃者は、こうした脆弱な機器をインターネット上で自動的に探索し、無差別に侵入を試みます。

VPN機器は社内ネットワークへの入口であるため、一度突破されると攻撃者は内部に深く侵入し、管理者権限を奪取して被害を拡大させます。VPN機器のソフトウェアを常に最新の状態に保ち、強固な認証を設定することが、防御の最重要課題です。

次点で多い「リモートデスクトップ」

VPN機器に次いで多い侵入経路が、遠隔地のPCから社内のサーバーやPCを直接操作できる「リモートデスクトップ（RDP）」機能の悪用です。この機能は利便性が高い反面、セキュリティ設定が不十分なままインターネットに公開されていると、深刻なリスクを招きます。

攻撃者は、インターネット上に公開されたRDPに対し、自動化プログラムを用いて執拗に不正アクセスを試みます。単純なパスワードや、他のサービスから流出した認証情報が使い回されている場合、容易に突破されてしまいます。

正規の認証情報で侵入されると、攻撃者の活動は通常の遠隔操作と区別がつきにくく、検知が遅れる原因となります。RDP機能を利用する際は、インターネットへ直接公開せず、VPNを経由させる、多要素認証を導入するなど、厳格なアクセス制御が不可欠です。

依然として脅威となる「フィッシングメール」

システムの技術的な脆弱性だけでなく、従業員の心理的な隙を突く「フィッシングメール」も、依然として重大な侵入経路です。強固な技術的防御を迂回し、人間を騙すことで社内ネットワークへの足がかりを得る、古典的かつ効果的な手口です。

攻撃者は取引先や自社の情報システム部門などを巧妙に装い、受信者を信用させます。メール本文のリンクから偽サイトへ誘導してIDとパスワードを入力させたり、添付ファイルを開かせてマルウェアに感染させたりします。

近年では、自動音声電話で信用させた後にメールを送るなど手口が高度化しており、システムによるフィルタリングと、従業員一人ひとりの警戒心を高める継続的な教育の両方が不可欠です。

感染で生じる具体的な被害

事業停止による機会損失と信用の低下

ランサムウェアに感染すると、基幹システムやサーバーが使用不能となり、長期的な事業停止に追い込まれます。これにより、甚大な機会損失と深刻な信用の低下を招きます。現代の企業活動はITシステムに深く依存しているため、データが暗号化されると業務プロセス全体が停止してしまいます。

例えば、製造業では生産ラインが停止し、小売業ではPOSシステムや顧客管理システムが機能しなくなります。事業停止は数週間から数ヶ月に及ぶこともあり、その間の売上は完全に失われます。

ランサムウェア感染は、単なるシステム障害ではなく、企業の収益基盤と社会的信用を根底から揺るがす経営危機に直結します。

データ復旧にかかる費用と期間の実態

ランサムウェア被害からのシステム復旧には、経営を圧迫するほどの莫大な費用と長い時間を要します。暗号化されたデータの解読は極めて困難であり、原因究明、システムの再構築、専門家による調査に多大なリソースが必要となるためです。

警察庁の調査によれば、調査・復旧費用の総額が1,000万円以上となった企業は半数近くにのぼり、5,000万円を超えるケースも少なくありません。また、システムの完全復旧までに1ヶ月以上を要した企業も半数を超えています。

たとえバックアップデータが存在しても、それが感染していたり、復元手順に不備があったりして、すぐには利用できないケースも多発しています。復旧作業は、インフラ全体を安全な状態に作り直す大掛かりなプロセスであり、長期の業務制限と多額の出費を覚悟する必要があります。

情報漏洩に伴う法的責任とブランド毀損

ランサムウェア攻撃で顧客情報や機密情報が漏洩した場合、企業は重い法的責任と深刻なブランドイメージの毀損に直面します。個人情報や取引先の機密情報が流出することは、法令違反に該当するだけでなく、企業の社会的な情報管理責任を問われる重大事態です。

二重恐喝型攻撃により実際に情報が漏洩した場合、個人情報保護法に基づく対応が義務付けられます。さらに、被害者から損害賠償請求訴訟を起こされるリスクも生じます。

情報漏洩による信用の失墜は、システムの復旧後も長く尾を引き、企業の存続そのものを脅かす可能性があります。

取引先を巻き込むサプライチェーン攻撃のリスク

自社が直接の標的になるだけでなく、取引先を攻撃するための踏み台として悪用される「サプライチェーン攻撃」のリスクも高まっています。強固なセキュリティを持つ大企業を直接狙う代わりに、対策が手薄な関連会社や取引先を経由して侵入しようとする手口です。

自社がランサムウェアに感染し、それが原因で接続されている取引先のネットワークにまで被害が拡大した場合、自社は被害者であると同時に、甚大な損害を与えた加害者としての責任を問われることになります。

したがって、企業は自社の情報資産を守るだけでなく、取引先を含めたサプライチェーン全体に被害を拡大させないという社会的責任を負っていることを認識し、セキュリティ対策を講じる必要があります。

企業が講じるべき予防策

システム面の防御策（技術的対策）

ランサムウェアの侵入を防ぎ、万一侵入された場合でも被害を最小限に抑えるためには、多層的な技術的防御策を構築することが不可欠です。攻撃者は多様な経路から侵入を試みるため、単一の対策では不十分です。

これらの対策を組み合わせることで、攻撃に強い、回復力のある（レジリエントな）システム環境を構築することができます。

従業員への教育とルール（人的対策）

高度な技術的対策を導入しても、従業員の不注意や認識不足が侵入のきっかけとなるケースは後を絶ちません。システムによる防御と並行して、従業員一人ひとりのセキュリティ意識を高める人的対策が極めて重要です。

経営層が主導し、全社的な取り組みとしてセキュリティ文化を醸成することが、組織全体の防御力を底上げします。

定期的なバックアップと復旧テスト

万が一ランサムウェアに感染してしまった場合の最後の砦となるのが、安全なバックアップです。ただし、単にデータをコピーしているだけでは不十分で、攻撃者から隔離された場所に保管し、いつでも確実に復元できる状態にしておく必要があります。

バックアップ運用では、データが攻撃者によって暗号化・破壊されることを防ぐため、普段利用するネットワークから物理的または論理的に切り離して保管することが重要です。

さらに、取得したバックアップから実際にシステムを復旧できるかを確認する「復旧テスト」を定期的に実施することが不可欠です。これにより、いざという時に迅速かつ確実な復旧が可能となります。

サイバー保険の適用範囲と注意点

サイバー攻撃による経済的損失に備えるため、サイバー保険への加入は有効な選択肢の一つです。しかし、保険が万能の解決策ではないことを理解し、適用範囲や条件を事前に十分に確認しておく必要があります。

サイバー保険は、原因調査費用やシステム復旧費用、損害賠償などを補償しますが、事前のセキュリティ対策に著しい不備があった場合など、契約内容によっては保険金が支払われないケースもあります。また、攻撃者に支払う身代金自体は補償の対象外となるのが一般的です。

保険はあくまで事後の金銭的な支援策であり、日常的なセキュリティ対策を徹底することが、保険適用の大前提となります。

感染発覚時の初動対応フロー

ステップ1：被害拡大の防止（隔離）

ランサムウェア感染が疑われる事態を発見した際、最初に行うべきことは、感染端末をネットワークから迅速に隔離し、被害の拡大を防ぐことです。ランサムウェアはネットワークを通じて瞬時に他の機器へ感染を広げるため、一刻も早い遮断が求められます。

初動対応の迅速さが被害の規模を大きく左右するため、緊急時の隔離手順を事前にマニュアル化し、全従業員に周知しておくことが極めて重要です。

ステップ2：状況の把握と関係各所への報告

ネットワークを隔離して被害の拡大を阻止した後は、速やかに被害状況を正確に把握し、社内外の関係各所へ報告します。迅速かつ透明性のある情報共有が、的確な意思決定と二次被害の防止につながります。

システム部門は、どのデータが暗号化されたか、情報漏洩の痕跡はないかなどを調査します。その結果に基づき、経営層を中心とした対策本部を設置し、今後の対応方針を決定します。

隠蔽は事態を悪化させるだけです。誠実な情報開示は、企業の社会的責任を果たす上で不可欠であり、信頼回復の第一歩となります。

ステップ3：専門家と連携した復旧作業

原因の特定と封じ込めが完了したら、外部のサイバーセキュリティ専門家と連携しながら、システムの復旧作業を進めます。自社のみで攻撃の痕跡を完全に除去し、安全な状態に戻すことは極めて困難だからです。

専門家は、デジタルフォレンジック調査を通じて侵入経路や被害の全容を解明し、システム内に潜むバックドアなどを完全に排除します。その上で、安全性が確認されたバックアップデータを用いて、業務への影響が大きい基幹システムから段階的に復旧させます。

復旧作業は、単に元の状態に戻すのではなく、今回の教訓を活かして、より強固で安全なシステム環境を再構築する機会と捉えるべきです。

ランサムウェアに関するよくある質問

Q. ランサムウェアの「ランサム」とは？

ランサムウェアの「ランサム（Ransom）」とは、英語で「身代金」を意味します。これは、感染させたコンピューター内のデータを人質に取り、その解放と引き換えに金銭を要求する、身代金要求型という犯罪の性質に由来する名称です。感染すると、画面に脅迫文が表示され、仮想通貨などでの支払いを要求してきます。

Q. 中小企業も標的になりますか？

はい、中小企業も主要な標的です。警察庁の統計でも、ランサムウェア被害の半数以上を中小企業が占めています。現代の攻撃者は特定の企業を狙い撃ちするのではなく、インターネット上で脆弱性のあるシステムを自動的に探索し、無差別に攻撃を仕掛けます。対策が手薄になりがちな中小企業は、格好の標的となりやすいのが実情です。

Q. 身代金を支払うとデータは戻りますか？

データが戻る保証は一切ありません。相手は犯罪組織であり、身代金を支払っても復旧ツールが提供されなかったり、提供されたツールが正常に機能しなかったりするケースが多数報告されています。また、支払いに応じることは犯罪組織に資金を提供し、さらなるサイバー攻撃を助長することにつながります。政府や警察も支払いに応じないよう呼びかけており、決して支払うべきではありません。

Q. バックアップがあれば万全ですか？

いいえ、バックアップがあるだけでは万全とは言えません。ネットワークに常時接続されたバックアップは、本番データと一緒に攻撃者によって暗号化・破壊される危険性が非常に高いからです。バックアップを有効に機能させるためには、ネットワークから隔離された場所（オフライン／オフサイト）に保管し、定期的にそのデータから復旧できるかを確認するテストを実施することが不可欠です。

まとめ：ランサムウェア被害の実態を理解し、多層的な防御策を講じる

本記事では、警察庁の統計などを基に、国内におけるランサムウェア被害の最新動向と企業が取るべき対策を解説しました。被害は中小企業や製造業で特に深刻化しており、VPN機器の脆弱性を悪用した侵入や、データを人質に取る二重恐喝が常態化しています。ランサムウェア対策は単なるIT部門の課題ではなく、事業継続を左右する重要な経営マターです。システム的な防御策に加え、従業員教育、そして攻撃者から隔離された安全なバックアップの確保と復旧テストといった多層的なアプローチが不可欠となります。まずは自社のネットワーク機器に既知の脆弱性がないかを確認し、セキュリティルールを再点検することから始めてください。具体的な対策の立案や緊急時の対応については、専門家の知見を活用することが極めて重要です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ