企業が知るべきランサムウェア対策｜感染予防から事後対応までの実務

事業継続を脅かすランサムウェア攻撃への対策は、すべての企業にとって喫緊の課題です。攻撃手口は年々巧妙化しており、万が一感染すれば事業停止や情報漏洩といった深刻な事態に陥る可能性があります。組織としてどのような備えをしておくべきか、具体的な対策を講じることが不可欠です。この記事では、ランサムウェアの脅威から企業を守るための具体的な予防策と、万が一感染してしまった場合の対応フローについて、実務的な観点から網羅的に解説します。

ランサムウェアの脅威と感染経路

ランサムウェアとは何か？（基本の仕組み）

ランサムウェアとは、企業や組織のコンピュータシステムに保存されているデータを人質に取り、その復旧と引き換えに金銭を要求する悪質なソフトウェア（マルウェア）の一種です。システムに侵入すると、ファイルやデータベースを勝手に暗号化し、使用不可能な状態にします。その後、画面上に脅迫文（ランサムノート）を表示し、データの復号鍵と引き換えに暗号資産などで身代金を支払うよう要求します。

近年では、単にデータを暗号化するだけでなく、事前に組織内の機密情報を盗み出す手口が主流となっています。これは「二重恐喝（ダブルエクストーション）」と呼ばれ、身代金を支払わなければ盗んだ情報をインターネット上の暴露サイト（リークサイト）で公開すると脅迫します。さらに、データを暗号化せずに情報を窃取し、その公開を材料に金銭を要求する「ノーウェアランサム」という手口も確認されており、攻撃手法は多様化・巧妙化しています。

近年の攻撃手法に見られる傾向

近年のランサムウェア攻撃は、不特定多数を狙う「ばらまき型」から、特定の企業や組織を周到に調査して狙う「標的型攻撃」へと大きく変化しています。標的型攻撃では、支払い能力の高い大企業や、社会的な影響が大きい重要インフラ事業者が主な標的とされます。

攻撃者はネットワークへの侵入後すぐには活動を開始せず、数日から数週間にわたって内部に潜伏します。この潜伏期間中に、ネットワーク構成や機密データの在り処を偵察し、管理者権限の奪取を試みます。また、復旧を困難にするため、計画的にバックアップデータを破壊し、セキュリティ製品を無効化するなど、用意周到に攻撃準備を進めます。

さらに、攻撃ツール開発者と実行者が分業し、利益を分配する「サービスとしてのランサムウェア（RaaS）」というビジネスモデルの普及も脅威を増大させています。これにより、高度な専門知識を持たない攻撃者でも容易にサイバー犯罪を実行できるようになり、攻撃の件数と被害の深刻化を招いています。

主な感染経路と侵入の手口

ランサムウェアの主な侵入経路は、外部から社内ネットワークへの接続点となる機器やシステムの脆弱性です。警察庁の調査報告においても、多くの事案で侵入の起点として狙われています。

【事前対策】感染を防ぐための注意点

OS・ソフトウェアの脆弱性対策

ランサムウェア感染を防ぐための最も基本的な対策は、OSやソフトウェアに存在する脆弱性を迅速に解消することです。攻撃者は、セキュリティパッチが適用されていないシステムを狙って侵入を試みます。

セキュリティ製品の導入と運用

従来のウイルス対策ソフトだけでは、巧妙化するランサムウェアを完全に防ぐことは困難です。そのため、複数のセキュリティ製品を組み合わせた「多層防御」の考え方が重要となります。

特に、PCやサーバー（エンドポイント）の不審な挙動を検知・対応する「EDR（Endpoint Detection and Response）」の導入が推奨されます。EDRは、ファイルの不審な暗号化やセキュリティソフトの無効化といったランサムウェア特有の動きを検知し、端末をネットワークから自動的に隔離することで被害の拡大を防ぎます。EDRの運用には専門的な知見が必要となるため、24時間365日体制で監視を行うSOC（Security Operation Center）サービスの活用も有効です。

バックアップ取得と復旧計画

万が一感染した場合に事業を継続するための最後の砦が、データのバックアップです。ただし、攻撃者はバックアップデータも標的にするため、ネットワークに常時接続された状態のバックアップは暗号化されるリスクがあります。

バックアップ戦略の基本として「3-2-1ルール」が推奨されます。これは、3つのデータコピーを、2種類の異なる媒体に保存し、そのうち1つはネットワークから隔離された遠隔地（オフラインまたはオフサイト）に保管するという考え方です。さらに、近年では一度書き込んだら変更・削除ができない「イミュータブル（不変）ストレージ」にバックアップを保管する方法も有効です。定期的にバックアップからの復元テストを実施し、有事の際に確実にデータを復旧できることを確認しておく必要があります。

アクセス権限の最小化と認証強化

侵入後の被害拡大（横展開）を防ぐためには、従業員やシステムに与える権限を業務上必要な範囲に限定する「最小権限の原則」が重要です。不要な管理者権限を従業員に与えていると、一つのアカウントが侵害されただけで、被害がシステム全体に及ぶ危険性があります。

また、IDとパスワードの漏洩による不正アクセスを防ぐため、「多要素認証（MFA）」の導入は必須の対策です。特に、VPNやリモートデスクトップといった外部からの接続経路や、サーバーの管理者アカウントには、例外なく多要素認証を設定し、認証を強化することが求められます。

従業員へのセキュリティ教育

技術的な対策をどれだけ講じても、従業員のセキュリティ意識が低ければ、人的なミスから感染を許してしまいます。そのため、全従業員を対象とした継続的なセキュリティ教育が不可欠です。

セキュリティポリシーの策定と周知

組織全体で統一された基準に基づき対策を徹底するためには、実効性のある情報セキュリティポリシー（社内規程）の策定と周知が必要です。ポリシーには、守るべき情報資産の定義や、具体的な遵守事項を明記します。

策定したポリシーは、経営層の主導のもとで全従業員に周知し、定期的に内容を見直して実効性を保つことが重要です。

インシデント対応計画の策定

サイバー攻撃を100%防ぐことは不可能であるという前提に立ち、感染被害が発生した際に被害を最小限に抑え、迅速に復旧するための「インシデント対応計画」を事前に策定しておくことが極めて重要です。

計画の実効性を高めるため、定期的に机上演習などの訓練を実施し、有事の際に冷静に行動できるよう備えることが望ましいです。

サイバー保険の活用と注意点

十分な対策を講じてもなお残るリスク（残存リスク）に備えるため、サイバー保険への加入も有効な選択肢です。ランサムウェア被害では、システムの復旧費用やフォレンジック調査費用、事業停止による逸失利益、損害賠償など、多額の費用が発生する可能性があり、保険はこれらの金銭的損害を補填する助けとなります。

ただし、サイバー保険はあくまでセキュリティ対策を補完するものであり、対策の代わりにはなりません。近年は保険の引き受け審査が厳格化しており、多要素認証の導入や適切なバックアップの実施など、基本的なセキュリティ対策が講じられていることが加入の前提条件となるケースが増えています。保険に加入していても、適切なセキュリティ対策を怠っていた場合は、保険金が支払われない可能性もあるため注意が必要です。

【事後対策】感染時の対応フロー

初動対応：感染端末のネットワーク隔離

ランサムウェアの感染を示す脅迫文やファイルの異常を発見した場合、最初に行うべき最も重要な行動は、感染が疑われる端末をネットワークから即座に隔離することです。これにより、他のサーバーやPCへの感染拡大を食い止めます。

この時、絶対に端末の電源を切ったり、再起動したりしてはいけません。電源を落とすと、感染原因の特定に必要な証拠（メモリ上のログなど）が失われてしまい、その後の調査が困難になるためです。

状況把握：被害範囲と影響の調査

初動対応を終えたら、被害の全体像を正確に把握するための調査を開始します。自組織のみでの調査は困難な場合が多いため、速やかに外部のフォレンジック調査専門会社に支援を要請することが推奨されます。

調査で得られた情報は、後の復旧作業や再発防止策の策定に不可欠なものとなります。

報告連絡：社内外への情報共有

被害の概要が判明したら、事前に定めたインシデント対応計画に基づき、社内外の関係者へ迅速な報告を行います。個人データの漏洩またはそのおそれが生じた場合、個人情報保護委員会への報告（速報および確報）と、被害を受けた本人への通知が法的義務となる場合があります。

透明性のある情報開示は、企業の信頼を維持する上で非常に重要です。

専門機関への相談と警察への通報

ランサムウェア被害は単なるシステム障害ではなく、重大なサイバー犯罪です。被害を隠蔽せず、速やかに管轄の都道府県警察のサイバー犯罪相談窓口へ通報・相談することが重要です。

警察に相談することで、捜査を通じて得られた専門的な知見に基づくアドバイスを受けられる可能性があります。また、IPA（情報処理推進機構）などの公的機関も、技術的な相談窓口を設けており、復旧に役立つ情報を提供してくれる場合があります。これらの機関と連携することで、より適切な対応を取ることが可能になります。

復旧作業：バックアップからのデータ復元

侵入経路を特定・遮断し、ネットワークの安全が確保された後、システムの復旧作業を開始します。最も安全で確実な方法は、感染前の正常なバックアップデータからの復元です。

事業への影響を考慮し、あらかじめ定めた優先順位に従って重要なシステムから順に復旧を進めます。安全性の確認を怠ると、復旧直後に再感染するリスクがあるため、慎重な作業が求められます。

被害公表の判断とステークホルダー対応

被害の事実を公表するかどうかは、企業の社会的信用に関わる重要な経営判断です。事実を隠蔽した結果、後に攻撃者のリークサイトで情報が公開され、被害が発覚すると、企業の評判に深刻なダメージを与えかねません。

調査中であっても、不正アクセスの事実が判明した段階で、速やかにその事実を公表することが、顧客や取引先に対する誠実な対応として推奨されます。公表する際は、広報部門や弁護士と連携し、判明している事実、影響範囲、今後の対応策などを明確に説明することが重要です。迅速で透明性のあるコミュニケーションが、信頼回復への第一歩となります。

ランサムウェアに関するよくある質問

Q. 感染発覚後、最初に行うべきことは？

感染した端末のネットワークからの隔離です。有線LANの場合はLANケーブルを抜き、無線LANの場合はWi-Fiをオフにしてください。これにより、被害が他の端末へ広がるのを防ぎます。その際、原因調査の証拠が失われるため、端末の電源は切らず、再起動もしないでください。

Q. 要求された身代金は支払うべきですか？

原則として支払うべきではありません。その理由は以下の通りです。

警察や政府機関も、身代金を支払わないよう強く推奨しています。

Q. バックアップがあれば対策は万全ですか？

いいえ、バックアップだけでは万全とは言えません。攻撃者はバックアップデータも狙って破壊活動を行いますし、近年の主流である「二重恐喝」では、データを復元できても、盗まれた情報が公開されるリスクは残ります。したがって、オフラインでのバックアップ保管やイミュータブル保管に加え、侵入を防ぐための多層的な防御策を組み合わせることが不可欠です。

Q. 警察に相談するメリットは何ですか？

警察への相談には、以下のような実務的なメリットがあります。

被害が発覚した時点で、速やかに相談することを推奨します。

Q. 自力でファイルを復号できますか？

原則として不可能です。ランサムウェアが使用する暗号は非常に強力であり、復号鍵なしで解読することは技術的に極めて困難です。ただし、稀にセキュリティ企業や法執行機関の活動によって、特定のランサムウェアに対する無料の復号ツールが公開されることがあります。マルウェアの種類が特定できている場合は、そのようなツールが存在しないか確認する価値はあります。

まとめ：ランサムウェア対策は事前準備と迅速な初動が鍵

ランサムウェアの被害を最小限に抑えるには、OSの最新化や多層防御、オフラインでのバックアップ取得といった事前の技術的対策が不可欠です。同時に、攻撃は100%防げないという前提に立ち、インシデント対応計画の策定や従業員教育といった組織的な備えも欠かせません。近年の攻撃はデータを暗号化するだけでなく、情報を窃取して公開すると脅す「二重恐喝」が主流であり、バックアップだけでは不十分な点も認識しておく必要があります。万が一感染が疑われる事態が発生した際は、慌てずに感染端末をネットワークから隔離する初動対応が被害拡大を防ぐ上で最も重要です。自社のセキュリティ対策状況を再点検し、インシデント対応計画に不備がないか確認しましょう。対応に不安がある場合は、外部の専門家や警察のサイバー犯罪相談窓口へ速やかに相談することが推奨されます。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ