ランサムウェアへの対策｜侵入経路別の防御とバックアップ設計の実務

結論から書きます。ランサムウェアへの対策で効果が大きいのは、高価な製品を入れることではありません。「外から入れる扉を減らす」「入られても横に広がらせない」「壊されても戻せる」の3つを、順番どおりに固めることです。この順番を守らないと、投資額に見合わない結果になります。特に3番目のバックアップは、あると思っていたものが暗号化されていた、という事例が繰り返し起きています。

この記事では、侵入経路ごとの具体的な防御、被害の拡大を止める設計、そして復旧できるバックアップの条件を、実務の手順として書きます。あわせて、無料で今日から始められる項目と、外部に委託すべき領域の線引きも示します。正直なところ、対策の一覧を並べただけの記事は現場では使えません。優先順位が書かれていないからです。

ランサムウェアの被害は「二重の脅迫」で性質が変わった

対策を考える前に、攻撃の性質が変わったことを押さえておく必要があります。かつてのランサムウェアは、データを暗号化して復号の対価を要求するだけでした。この形であれば、バックアップから戻せば支払う必要がありません。

ところが現在は、暗号化の前にデータを外部へ持ち出し、「支払わなければ公開する」と脅す形が主流になっています。これが二重の脅迫です。この変化には決定的な意味があります。バックアップから復旧できたとしても、持ち出されたデータの公開は止められないということです。つまり、復旧の備えだけでは足りず、そもそも持ち出されない設計が必要になります。

被害の規模がどう変わったかは、公開されている数字が示しています。

米国パロアルトネットワークスによると、ランサムウェアの身代金の平均要求額は2020年の約90万ドルから2021年は約220万ドルと倍増。またデータが暴露される二重ランサムウェアの被害件数は、85%増の2,566件に上りました。 出典: ntt.com

要求額が倍増している背景には、攻撃側の分業化があります。侵入する役、暗号化する役、交渉する役が分かれ、それぞれが専門化しました。攻撃の実行環境をサービスとして提供する形態も存在します。つまり、技術力の高い人間だけが攻撃者だという前提は、もう成り立ちません。

もう一つ、被害が自社だけで終わらない点も重要です。

このことでA社との受発注のやり取りができず、B社は業務遂行が不可能になります。さらに、被害はA社まで波及し、A社の国内工場14箇所の製造ラインがすべて停止しました。結局、翌日に工場はすべて復旧したものの、合計で1万3,000台以上の車両生産が遅延するなど深刻な損害が出ました。 出典: ntt.com

取引先1社の停止が、受発注の連鎖を通じて大規模な生産停止を引き起こしています。この構造があるため、規模の小さい事業者ほど「自社は狙われない」という判断が危険になります。狙われるのは規模ではなく、防御が薄くて取引の連鎖につながっている位置です。

被害件数の伸びと、規模の小さい事業者が狙われる理由

対策の優先度を判断するために、被害の推移を押さえておきます。件数は継続して増えています。

ランサムウェアの被害件数は年々増加しており、IPAの調査によると2021年の被害件数は前年の11件から4倍近い39件となっています。そのうち「事業継続を脅かす新たなランサムウェア攻撃」は8件です。この「新たなランサムウェア攻撃」には冒頭で解説した二重の脅迫が該当します。 出典: ntt.com

数字そのものより、この増え方の構造に注目してください。件数が4倍近くになった背景には、攻撃の実行が分業化して参入の障壁が下がったことがあります。侵入の足がかりを売る者、暗号化のプログラムを提供する者、交渉を担う者が分かれました。結果として、攻撃を仕掛ける側の数が増えます。数が増えれば、狙われる対象の範囲も広がります。

ここから導かれる結論があります。攻撃対象の選び方が、「価値の高い相手」から「防御が薄い相手」に移っているということです。以前は大企業の重要システムを狙う形が中心でしたが、分業化によって1件あたりの利益が小さくても成り立つようになりました。件数で稼ぐ形に変わったのです。

そのため、規模の小さい事業者ほど相対的なリスクが上がっています。理由は三つあります。一つ目は、専任の担当者がいないため機器の更新が遅れやすいこと。二つ目は、ネットワークが分割されておらず、1台の感染が全体に届く構成になりやすいこと。三つ目は、バックアップが常時接続された共有フォルダに置かれていることが多いこと。いずれも予算の問題ではなく、設計と運用の問題です。

取引の連鎖という観点も忘れてはいけません。大企業を直接攻撃するより、その取引先から入るほうが容易です。実際に、部品を供給する会社が停止したことで、発注側の工場が全面的に止まった事例が報告されています。つまり、自社の防御水準は取引先に対する責任でもあります。「うちには盗まれるデータがない」という説明は、この文脈では通りません。止まることそれ自体が損害を生みます。

侵入経路は3つに集約される

次に、どこから入られるのかを整理します。報告されている感染経路は、ほぼ3つに集約されます。ここを押さえれば、対策の優先順位が自然に決まります。

一つ目は、VPN機器やリモートデスクトップです。外部から社内に入るための入口が、そのまま攻撃の入口になります。多いのは、機器のソフトウェアが古いまま放置されているケースと、認証がパスワードだけになっているケースです。特に前者は深刻で、公開されている脆弱性の情報をもとに、機器の型番を探して総当たりで試す攻撃が日常的に行われています。

二つ目は、メールです。添付ファイルやリンクから、侵入の足がかりとなるプログラムを実行させます。請求書、配送通知、採用応募といった業務で普通に届く文面が使われるため、内容だけで見分けるのは困難です。

三つ目は、認証情報の流出と使い回しです。別のサービスから漏れたパスワードが、社内システムでも使われている。あるいは退職者のアカウントが残っている。この経路は、攻撃側から見ると最も手間がかかりません。正規の認証を通って入ってくるため、検知も難しくなります。

優先順位は、この順番です。VPNとリモートデスクトップを最優先にする理由は、一度入られると直接ネットワークの内側に立てるからです。メールの場合は、利用者の端末から始まるので、そこから権限を上げる工程が必要になります。工程が多いほど、こちらが気づける機会も増えます。

私は編集の仕事で、外部のライターとファイルを共有する環境を運用しています。以前、共有用のストレージに全員が同じアカウントでアクセスする設計にしていて、退職したメンバーのアクセスが残っていることに半年後に気づきました。悪用はされていませんでしたが、正直なところ、これはどうかと思う運用でした。以後、人単位でアカウントを分け、契約が終わったら即日で止める手順に変えています。規模が小さいほど、こういう穴が放置されがちです。

第1の層：侵入経路をふさぐ具体的な方法

ここから実務です。無料でできるものから順に書きます。

最初にやるべきは、外部に公開している機器とサービスの棚卸しです。何が外から見えているのかを一覧にします。VPN機器、リモートデスクトップ、ファイル共有、Webサーバー、監視カメラ、複合機。意外なものが公開されていることがあります。棚卸しができていない状態で製品を導入しても、守る対象が定義されていないので効果が測れません。この作業は費用がかからず、効果が最も大きい工程です。

次に、その機器のソフトウェアを更新します。VPN機器とファイアウォールのファームウェアは、公開された脆弱性が攻撃に使われるまでの時間が短くなっています。更新の作業には停止時間が伴うため後回しにされがちですが、優先度を落としてよい項目ではありません。更新の計画を、四半期ではなく月単位で組むことをおすすめします。

三番目に、認証を強くします。パスワードだけの認証をやめ、多要素認証を入れます。これが単独で最も効果の高い対策です。認証情報が漏れても、それだけでは入れなくなります。導入の選択肢と製品ごとの違いはMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版に整理されています。あわせて、リモートデスクトップを直接インターネットに公開する構成は、原則としてやめてください。VPNの内側に置く、あるいは接続元のIPアドレスを限定する形に変えます。

四番目に、アカウントの整理です。使われていないアカウント、退職者のアカウント、共用のアカウントを洗い出して止めます。管理者権限を持つアカウントの数を数えて、必要最小限まで減らします。管理者権限で日常業務をしないというルールも重要です。

五番目に、人への対策です。メール経由の侵入は、最終的に人がクリックするかどうかで決まります。効果があるのは座学ではなく、実際に偽のメールを送る訓練です。訓練の設計と効果測定の方法は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドにまとまっています。ポイントは、開いた人を責めない設計にすることです。責める運用にすると、報告が上がらなくなり、かえって危険になります。

第2の層：入られても横に広がらせない

侵入をゼロにはできません。前提を「入られる」に置き換えたときに必要になるのが、この第2の層です。

まず、ネットワークの分割です。すべての端末とサーバーが自由に通信できる構成だと、1台の感染が全体に広がります。業務の単位で区画を分け、区画をまたぐ通信を必要なものだけに限定します。特に、業務端末からサーバーの管理用のポートに直接届く経路は閉じてください。製造業であれば、生産設備のネットワークと事務のネットワークを分けることが最優先になります。

次に、権限の設計です。利用者が通常業務で使うアカウントに管理者権限を与えない。共有フォルダの書き込み権限を、業務上必要な範囲に限定する。この二つで、暗号化される範囲が大きく変わります。ランサムウェアは、侵入したアカウントの権限で届く範囲を暗号化します。つまり権限の広さが、そのまま被害の広さになります。

三つ目は、検知です。端末の挙動を監視して、不審な動きを見つけて止める仕組みを入れます。従来型のウイルス対策ソフトは既知のパターンとの照合が中心なので、新しい攻撃には追いつきません。挙動を見るタイプの仕組みに移行するのが現在の主流です。この領域は近年、ゼロトラストという考え方で整理されるようになりました。社内ネットワークの内側を無条件に信頼しない、という前提の置き換えです。

四つ目は、ログです。何が起きたのかを後から追えるようにしておきます。認証の記録、ファイルサーバーのアクセス記録、通信の記録。ログがないと、どこから入られてどこまで広がったのかが分からず、復旧の範囲を決められません。結果として、全体を作り直す判断になり、停止期間が長引きます。ログの保存期間は、最低でも90日を目安にしてください。

五つ目は、自社の状態を客観的に測ることです。どこまでを自前でやり、どこから外部の診断に任せるのか。この線引きには予算の制約が絡みます。限られた予算のなかで中小規模の事業者が何から着手しているかを、補助制度の活用とあわせて整理した中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法を読むと、投資の順番を決める材料になります。測っていないものは改善できないので、年に1回は外部の目を入れることをおすすめします。

第3の層：戻せるバックアップの条件

ここが最も間違いが多い領域です。バックアップを取っているつもりで、実際には戻せない。この状態が頻繁に起きています。

戻せるバックアップの条件は4つあります。一つ目は、ネットワークから切り離されているか、書き換えができない形で保存されていること。常時接続された共有フォルダにバックアップを置いていると、本体と一緒に暗号化されます。これが最も多い失敗です。二つ目は、世代が複数あること。暗号化に気づくのが数日後になる場合があるため、最新の1世代だけでは感染後のデータで上書きされている可能性があります。三つ目は、別の場所に保管されていること。同じ建物にあるものは、火災や水害でも同時に失われます。四つ目は、復元の試験が行われていること。

この4条件は、いわゆる3-2-1の考え方として整理できます。データを3つ持ち、2種類以上の媒体に置き、そのうち1つは別の場所に保管する。これに加えて、1つは書き換え不可またはオフラインにする、という条件を足すのが現在の実務です。

復元の試験について、もう少し具体的に書きます。年に1回以上、実際にバックアップからシステムを立ち上げ、業務が動くところまで確認してください。確認すべきは3点です。復元にかかる時間、復元したデータの整合性、そして手順書どおりに担当者が作業できるか。ここで初めて「復元に3日かかる」と判明することがあります。業務が3日止まって許容できるのかという経営判断は、その数字が出てから初めてできます。

あわせて、優先順位を決めておいてください。すべてを同時に復旧することはできません。どの業務から戻すのか、その順番を事前に決めておくと、混乱のなかで議論する時間が省けます。受発注、経理、生産、顧客対応。事業の性質によって順番は変わります。

身代金を支払うかどうかについても、事前に方針を決めておくべきです。支払っても復号できる保証はなく、持ち出されたデータが削除される保証もありません。さらに、支払いが次の攻撃の原資になります。基本方針は支払わないこととし、そのために復旧できる体制を作る。この順序で考えるのが筋です。

無料で今日からできる項目と、委託すべき領域の線引き

予算が確保できるまで何もしないという選択が、最も損をします。費用のかからない項目から順に並べます。

無料でできるものは5つあります。一つ目、外部に公開している機器とサービスの一覧を作る。二つ目、管理者権限を持つアカウントを数えて減らす。三つ目、使われていないアカウントを止める。四つ目、バックアップが常時接続されていないかを確認する。五つ目、復元の手順書を書く。どれも作業時間だけで済み、それでいて被害の大きさを直接左右します。特に四つ目は、今日のうちに確認してください。ここが最大の失敗箇所です。

次に、少額で効果が大きいものがあります。多要素認証は、多くのサービスで追加費用なしか低額で有効化できます。パスワード管理の仕組みも、月額の単価は高くありません。バックアップの保管先を1つ増やすことも、外付けの媒体であれば導入の負担は小さいです。この層の投資は、判断に時間をかけるより先に入れてしまったほうが合理的です。

一方で、外部に委託すべき領域もはっきりしています。ネットワークの分割設計、外部からの脆弱性診断、そして感染時の調査と復旧です。これらは知見の蓄積が必要で、年に数回しか発生しない作業を社内で習熟するのは非効率です。委託の形も、常勤の採用ではなく、月に数日の関与で設計と点検を担う形が現実的です。

委託するときの注意点を書きます。作業を単発で発注すると、環境を理解するところから毎回やり直しになります。同じ相手に継続して見てもらう契約にしたほうが、前回からの変化に気づけます。契約書には、対応の範囲、緊急時の連絡経路、対応の時間帯を必ず書いてください。事故が起きてから条件を決めるのは無理です。あわせて、業務の引き継ぎ資料を残す義務も入れておくと、担当が変わったときの断絶を防げます。書面の整え方に不安があるなら、報告書や仕様書の書き方を体系的に確認できるビジネス文書検定の出題範囲が、実務で必要な項目の目安になります。

社内の業務にAIを組み込む動きも、この文脈で見直しが必要です。生成AIに社内の情報を入力する運用が広がっていますが、どこまで入れてよいかのルールがない事業者が多くあります。ルールの整備や手順書づくりを外部に任せる形も一般的になっており、どういう単位で依頼が発生しているかはAIコンサル・業務活用支援のお仕事に業務の形として整理されています。

感染が疑われたときの初動ステップ

初動で何をするかによって、被害の範囲が変わります。ステップとして整理します。

第1ステップは、隔離です。感染が疑われる端末をネットワークから切り離します。有線ケーブルを抜き、無線を切ります。ただし電源を落とすかどうかは慎重に判断してください。メモリ上にしか存在しない情報が失われ、後の調査ができなくなる場合があります。判断がつかないなら、ネットワークの切断だけを行って専門の窓口に相談するのが安全です。

第2ステップは、影響範囲の確認です。共有フォルダ、ファイルサーバー、バックアップ領域を確認し、暗号化が及んでいる範囲を特定します。バックアップが無事かどうかを、この段階で必ず確認してください。

第3ステップは、報告と相談です。経営層への報告、取引先への連絡の判断、そして外部の専門窓口への相談。情報処理推進機構（https://www.ipa.go.jp/）には相談の窓口があります。個人情報の漏えいが疑われる場合は、個人情報保護委員会への報告義務が生じる可能性があるため、期限を確認してください。警察への相談も並行して進めます。

第4ステップは、証拠の保全です。ログ、暗号化されたファイルの一部、攻撃者からの要求文。これらは原因の特定と、保険や法的対応の材料になります。慌てて初期化すると、何が起きたのか永久に分からなくなります。

第5ステップは、復旧です。原因を特定してからでないと、同じ経路で再侵入されます。侵入経路を閉じ、認証情報を全面的に入れ替え、そのうえでバックアップから戻します。順番を守ってください。

注意点を一つ。攻撃者との交渉を自社で行わないでください。交渉の窓口を一本化し、専門の支援を受けるのが原則です。個別の担当者がやり取りを始めると、条件が食い違って事態が悪化します。

取引先から求められる対策水準にどう応えるか

近年増えているのが、取引先からセキュリティ対策の状況を問われる場面です。調達の条件として、チェックシートへの回答を求められるケースが一般的になりました。ここに答えられないと、取引の継続そのものに影響します。

問われる内容は、だいたい決まっています。外部に公開しているシステムの管理状況、認証の方式、ソフトウェア更新の運用、バックアップの取得と保管、事故が起きたときの連絡体制、そして委託先の管理。つまり、この記事で書いてきた3つの層が、そのまま質問項目になっています。逆に言えば、対策を進めることは営業上の資産にもなります。

回答するときのポイントを3つ書きます。一つ目は、実態と違うことを書かないことです。できていない項目に「実施済み」と書くと、事故が起きたときに契約上の責任が重くなります。「未実施、来期に計画」と正直に書いたほうが、評価としても安全です。二つ目は、根拠となる書類を揃えておくことです。機器の一覧、更新の記録、バックアップの取得ログ、復元試験の結果。これらがあると、回答の精度が上がり、毎回ゼロから調べる手間もなくなります。三つ目は、窓口を一本化することです。部署ごとに別々に回答すると、内容が食い違って信頼を失います。

注意点として、逆の立場も考えてください。自社が業務を委託している相手の対策水準も、自社のリスクになります。特に、社内データにアクセスできる委託先、クラウドサービスの提供者、システムの保守を担う業者。これらについて、契約に事故時の通知義務を入れておく必要があります。委託先で起きた事故を知らされないまま、顧客への説明責任だけが自社に残る事態は避けてください。

まとめると、対策の水準は自社の判断だけで決まるものではなくなりました。取引の連鎖のなかで求められる水準に合わせる形になっています。だからこそ、思いつきで製品を足すのではなく、棚卸しから順に積み上げる設計が必要になります。

20年この市場を見てきた運営者としての観察

在宅ワークとフリーランスの市場を長く運営してきた立場から、現場の実感を書きます。

一つ目は、対策が進まない理由が予算ではなく担当者の不在だという観察です。規模の小さい事業者では、情報システムの担当が兼務になっていて、日常の問い合わせ対応に時間を取られています。棚卸しや更新計画のような、時間はかかるが目に見えない作業が後回しになる。これは能力の問題ではなく、時間の配分の問題です。だから、社内の人手を増やすより、棚卸しと診断の工程を外部に切り出すほうが現実的に前に進みます。

二つ目は、外部の専門人材を使う形が定着してきたという観察です。常勤で採用するのではなく、月に数日の関与で設計と点検を担う形です。この領域の業務がどういう単位で発注されているかはAI・マーケティング・セキュリティのお仕事に整理されています。ネットワークとインフラの基礎を体系的に示せる資格としてCCNA（シスコ技術者認定）が実務で参照されることが多く、受注側にとっても発注側にとっても共通の言葉になります。単価の水準を知りたい場合はソフトウェア作成者の年収・単価相場で開発とインフラ周辺の相場が確認できます。

運営者として見てきた限り、外部人材の活用がうまい会社には共通点があります。作業を都度発注するのではなく、同じ相手に継続して見てもらっていることです。環境を知っている人が点検すると、前回からの変化に気づけます。中間マージンが乗らない直接取引では、依頼する側は同じ予算でより多くの時間を確保でき、受ける側は手数料0%で手取りが厚くなります。継続の関係を作るうえで、この差は小さくありません。

最後に、優先順位をもう一度書きます。外部に公開している機器の棚卸しと更新、多要素認証、そして切り離されたバックアップ。この3つを終える前に、検知製品の比較検討を始めないでください。順番を逆にすると、入口が開いたまま高価な監視を入れる形になります。この3つはいずれも、追加の製品なしで着手できる範囲から始められます。ランサム対策は、製品選定の前に設計の話だと考えてください。

よくある質問

Q. ランサム対策で、最初に手をつけるべきことは何ですか？

外部に公開している機器とサービスの棚卸しです。VPN機器、リモートデスクトップ、ファイル共有など、外から見えているものを一覧にします。そのうえでソフトウェアを更新し、多要素認証を入れます。この3つは追加の製品なしで着手でき、侵入経路の大半をふさげるため費用対効果が最も高くなります。

Q. バックアップを取っていれば、身代金を払わなくて済みますか？

暗号化からの復旧はできますが、それだけでは足りません。現在は暗号化の前にデータを持ち出し、公開すると脅す二重の脅迫が主流です。持ち出されたデータの公開はバックアップでは止められないため、そもそも持ち出されない設計、つまり権限の限定とネットワークの分割が必要になります。

Q. バックアップが暗号化されてしまうのを防ぐ方法はありますか？

常時接続された共有フォルダに置かないことです。ネットワークから切り離す、あるいは書き換えができない形で保存します。あわせて世代を複数持ち、1つは別の場所に保管してください。そして年に1回以上、実際に復元して業務が動くところまで試験してください。試験していないバックアップは戻せない前提で考えるべきです。

Q. 感染が疑われたとき、すぐに端末の電源を切るべきですか？

まずネットワークから切り離してください。電源を落とすと、メモリ上にしか残っていない情報が失われ、原因の特定が難しくなる場合があります。判断がつかないなら切断だけを行い、専門の窓口に相談してください。あわせてバックアップ領域が無事かどうかを、この段階で必ず確認してください。