ランサムウェアへの備え

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

ランサムウェアの被害は、業務の停止や情報の流出につながり、復旧に長い時間と費用がかかることがあります。この記事では、警察庁とIPA（情報処理推進機構）の資料にそって、被害の傾向、攻撃の流れ、会社として取れる備えを整理します。

ランサムウェアとは、どんな攻撃ですか？

ランサムウェアは、パソコンやサーバーのデータを暗号化して使えない状態にし、元に戻す対価として金銭を要求する不正なプログラムです。警察庁の資料によると、近年はデータを盗んだうえで「支払わなければ公開する」と迫る二重恐喝が被害の多くを占めています。暗号化をせず、データを盗んで公開を予告するだけの手口も起きています。

IPAが毎年まとめる「情報セキュリティ10大脅威」の2026年版では、組織向けの1位に「ランサム攻撃による被害」が選ばれました。11年連続の選出です。

どのくらい被害が起きていますか？

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」から、主な点を挙げます。

会社の規模にかかわらず被害が起きており、いったん被害を受けると復旧が長引きやすいことがわかります。

攻撃者は、どんな順番で攻撃しますか？

警察庁の資料は、企業へのランサムウェア攻撃の代表的な流れを次のように説明しています。近年は、インターネットに露出した箇所から遠隔操作で侵入する手口が多く、メールの添付ファイルによる感染は少なくなっています。

① 侵入する：直していない弱点（脆弱性）、漏れた認証情報、簡単なパスワード、設定の不備を悪用して社内のネットワークに入ります。

② 権限を奪い、内部を探す：管理者の権限を奪ったり、セキュリティの機能を止めたりしながら、重要なデータやバックアップを探します。

③ データを盗む：データをクラウドの保存場所などに送って盗みます。

④ 暗号化する：ランサムウェアを動かして暗号化します。復旧を妨げるため、バックアップも一緒に暗号化される場合が多いとされています。

⑤ 脅迫する：脅迫文を置いて連絡と支払いを求め、記録や使った道具の痕跡を消します。

この流れを見ると、備えどころは「①で入らせない」「②③で気づく・広げない」「④の後に戻せる」の3か所にあることがわかります。

侵入を防ぐには、何から始めればよいですか？

警察庁の資料は、基本的な対策を続けることを重視しており、ソフトウェアの更新、パスワードの適切な管理、アクセス権限の適切な設定を例に挙げ、主な侵入経路であるVPN機器などは速やかな対応が必要としています。

① インターネットにつながる機器を洗い出す：VPN機器、リモートで操作するための仕組み、公開しているサーバーなどを一覧にします。担当者と保守の契約先も書いておきます。

② 更新の手順を決める：機器やソフトウェアの更新の情報を誰が確かめ、いつまでに適用するかを決めます（「脆弱性の管理とアップデートの進め方」参照）。

③ 認証を強くする：IPAの解説書は、多要素認証やパスキーなどの利用を対策に挙げています。VPNや管理者のアカウントから優先して導入します（「多要素認証・パスキーの導入の進め方」参照）。

④ 権限を絞る：共有サーバーなどへのアクセス権を必要な範囲にし、使っていないポートやサービスを閉じます。

⑤ 例外を見直す：「この機器だけは更新しない」といった例外を定期的に見直し、範囲を小さくします。

被害を受けても戻せるようにするには？

バックアップは、取るだけでなく「戻せること」が大切です。IPAの解説書は、次のような運用を挙げています。

• ネットワークから切り離して保管する：外部の記憶装置に保管し、取得や復元のとき以外は切り離しておきます。
• 3-2-1ルール：稼働中のデータと合わせて3つのデータを持ち、2種類の媒体に保管し、そのうち1つは別の拠点などに置きます。
• 書き換えできない保管：一度書き込んだデータを変更・削除できない機能（WORM）を使うと、改ざんや消失を防げます。
• 複数の時点を残す：被害に気づくまでに時間がかかると、最新のバックアップも壊れているおそれがあるためです。
• 戻せるかを試す：初回と、計画に沿って定期的に、正しく復旧できるかを確かめます。

あわせて、侵害の範囲を調べるのに欠かせないログ（記録）を取っておくことも、警察庁の資料が挙げる備えの一つです。詳しい計画の立て方は「バックアップと復旧の計画の立て方」をご覧ください。

被害に気づいたら、どう動けばよいですか？

警察庁の資料とIPAの手引きにそって、初動のポイントをまとめます。

① ネットワークから切り離す：感染したパソコンやサーバーの利用を止め、ネットワークから切り離します。

② 電源は慌てて切らない：電源を切ると侵入の痕跡が失われ、その後の調査が難しくなる可能性があります。

③ 決めておいた連絡先に報告する：社内の責任者に報告し、体制を立ち上げます。警察や関係機関への早めの通報が求められています。

④ 調査と復旧に取り組む：被害の拡大を防ぎ、記録を守ったうえで、調査と復旧に進みます。自社で難しい場合は外部の専門家の支援を受けます。

身代金について、IPAの解説書は原則として支払わずに復旧を行うこととし、支払ってもデータの復元や流出の防止の保証はないとしています。警察庁も、犯罪グループの活動資金となることが懸念されること、復号が保証されるわけではないことを被害者に説明しています。

被害の後の手順全体は「セキュリティ事故が起きたときの対応の手順」にまとめています。

事業を止めないための計画は、なぜ必要ですか？

警察庁の資料は、データの暗号化は地震などの物理的な災害とは被害の状況が異なり、調査や復旧、広報のあり方も違うため、サイバー攻撃を想定したBCPを事前に準備しておく必要があるとしています。紙での受注、手作業での出荷など、システムが止まった間の業務の回し方と、連絡先の一覧をBCPに書いておくと、被害のときに落ち着いて動けます。

AIを業務に取り入れる場合も、AIが参照する社内のデータを1か所に集めると、権限の設定やバックアップの重要さが増します。AIの導入の計画を立てるときに、データの保管場所とバックアップの方法もあわせて決めておくと安心です。

チェックリスト

• VPN機器など、インターネットにつながる機器の一覧と担当者がある
• 機器とソフトウェアの更新を、誰がいつまでに行うかを決めている
• VPNや管理者のアカウントに多要素認証を使っている
• 共有サーバーなどのアクセス権を必要な範囲に絞っている
• バックアップの1つは、ネットワークから切り離して保管している
• バックアップを複数の時点で残し、戻せるかを定期的に試している
• 侵害の範囲を調べられるよう、ログを取っている
• 感染に気づいたときの初動（切り離す・電源を慌てて切らない・報告先）を社員に伝えている
• サイバー攻撃を想定したBCPと連絡先の一覧がある