ランサムウェア対策ソフトの選び方

ランサムウェア対策ソフトを探している方が最初につまずくのは、比較記事を読んでも「どれも同じことが書いてある」という点です。検知する、遮断する、保護する。この3語がどの製品ページにも並んでいて、違いが見えません。

理由は単純で、製品の機能表は「何を守るか」を書いているのに、こちらが決めなければならないのは「どこから入られるか」だからです。入口が決まっていないと、どの製品を置いても穴が残ります。ですから、この記事では機能の羅列から始めません。感染経路の確認、バックアップの設計、そのうえで製品タイプの選択、という順で並べます。この順番で読んでいただくと、自分に必要なものが1つか2つに絞れます。

選ぶ前に、入られる場所を確認する

ランサムウェアが入ってくる経路は限られています。そして経路ごとに、効く対策が違います。ここを飛ばして製品を選ぶと、守っていない入口が残ります。

経路の1つ目は、インターネットに直接つながっている機器の脆弱性です。社外から社内につなぐためのVPN機器や、リモートデスクトップの接続口が代表例です。ここは対策ソフトの守備範囲ではありません。機器のファームウェアを最新にする、使っていない接続口を閉じる、認証を強化する。この3つが対策であり、ソフトを買っても解決しません。組織の被害でもっとも多いのがこの経路なので、まずここを確認してください。

2つ目は、メールの添付ファイルやリンクです。請求書や配送通知を装ったファイルを開かせる形です。ここはメールの側で止める仕組みと、端末の側で実行を止める仕組みの両方が効きます。

3つ目は、改ざんされたWebサイトや、偽の更新通知です。正規のサイトが乗っ取られ、閲覧しただけで不正なファイルを取得させられることがあります。ブラウザと拡張機能を最新に保つこと、実行ファイルの自動実行を許可しないことが効きます。

4つ目は、USBメモリなどの外部記憶装置です。持ち込みと持ち出しを管理していない環境では、ここが残ります。

5つ目は、正規のツールを悪用されるパターンです。リモート操作ソフトや管理ツールは、それ自体が不正なプログラムではないため、従来型の検知をすり抜けます。ここは「振る舞い」で判断する仕組みが必要になります。

自分の環境で、この5つのうちどれが開いているかを紙に書いてください。書き出すと、たいてい1つか2つに絞られます。個人や小規模なら1つ目と4つ目はそもそも存在しないことが多く、その場合に必要な製品はまったく違ってきます。

ウイルス対策ソフトとランサムウェア対策は別物ではない

用語の整理をします。「ランサムウェア対策ソフト」という独立した製品カテゴリがあるように見えますが、実際には既存のウイルス対策製品が機能として持っている場合が大半です。この点は、ツールを一覧で整理している記事でも同じ説明がされています。

最後にコンシューマー向けに販売されているランサムウェア対策ソフトを紹介します。有名なウイルス対策ソフトは、ランサムウェア対策機能を搭載していることが多いです。 出典: aspicjapan.org

つまり、個人や家庭であれば、新しい専用ソフトを買い足す前に、いま入っている製品にランサムウェア向けの機能があるかを確認するのが先です。設定がオフになっているだけ、というケースが少なくありません。

では、従来の検知とランサムウェア向けの機能はどこが違うのか。従来型は「既に知られている不正なファイルの特徴」と照合して判断します。この方式は、特徴が登録済みのものには強いのですが、まだ登録されていないものは通ります。ランサムウェアは日々作り変えられるので、照合だけでは追いつきません。

そこで加わったのが、振る舞いで判断する仕組みです。短時間に大量のファイルを書き換えている、拡張子を一括で変更している、バックアップの履歴を消そうとしている。こうした動きを見て止めます。ある製品の説明では、この考え方がこう表現されています。

様々な検知技術とマルチ防御システムでリアルタイムにPCを監視しながらランサムウェアの流入を事前に検知して遮断し、ユーザーのデータを安全に保護するランサムウェア対策ソフトです。 出典: bizimo.ne.jp

判断の軸としては、製品ページで「振る舞い検知」「挙動監視」「ふるまい検知」といった語が使われているかを見てください。この語がない製品は、照合だけで判断している可能性があります。

製品は4つのタイプに分かれる

比較記事が読みづらい原因は、役割の違う製品が同じ一覧に並んでいるからです。タイプで分けると整理できます。

1つ目は、端末で検知するタイプです。パソコンやサーバーに入れて、不正な動きを見つけて記録し、管理者に通知します。近年はEDRという名前で呼ばれ、感染後の調査ができる点が特徴です。何が起きたかを追えるので、被害の範囲を特定する作業が短くなります。

2つ目は、端末で遮断するタイプです。検知より一歩踏み込み、疑わしい動きを即座に止めます。ファイルの暗号化が始まった時点でプロセスを停止する、といった動作です。誤って止めてしまう可能性があるため、業務への影響をどこまで許容するかの判断が入ります。

3つ目は、ファイルサーバーや共有ストレージで監視するタイプです。個々の端末ではなく、データが置かれている場所で異常を見ます。共有フォルダのファイルが一斉に書き換えられ始めたら、その端末の接続を切る、という動きができます。複数人で同じデータを使っている環境では、これがいちばん効きます。

4つ目は、個人向けの総合ソフトです。ウイルス対策、フィッシング対策、ランサムウェア向けのフォルダ保護がひとまとめになっています。個人事業主や家庭であれば、ここで足ります。

選び方の目安はこうです。守るデータが自分の端末の中だけなら4つ目。共有ストレージにあるなら3つ目。複数人が端末を使っていて、何が起きたかを後から説明する必要があるなら1つ目。業務停止のリスクよりデータ保護を優先するなら2つ目を加える。この順で考えてください。

個人と小規模事業者は、無料でできる防御を先に使う

ここは費用対効果がはっきりしている部分なので、先に書きます。有料の製品を検討する前に、追加費用なしでできる防御が3つあります。

1つ目は、オペレーティングシステムに標準で入っているランサムウェア向けの保護機能です。Windowsには、指定したフォルダへの書き込みを許可したアプリだけに限定する機能が含まれています。既定でオフになっていることがあるので、設定を開いて有効にしてください。これだけで、写真や書類のフォルダを一括で暗号化される事故を減らせます。

2つ目は、バージョン履歴が残るクラウドストレージです。ファイルが暗号化されても、過去の版に戻せます。この機能があるかどうかで復旧の可否が変わるので、契約中のサービスの設定を確認してください。ただし、同期しているだけでは守りになりません。暗号化されたファイルがそのまま同期されて上書きされるので、履歴を何日分保持しているかを必ず見てください。

3つ目は、管理者権限で日常作業をしないことです。普段使うアカウントを標準ユーザーにしておくと、不正なプログラムが実行できる範囲が狭まります。設定変更のときだけ昇格させる運用にしてください。

この3つを済ませたうえで、有料の製品を検討します。個人や数人の事業者であれば、端末1台あたり年額数千円の総合ソフトで足りることが多いです。逆に、この3つをやらずに高価な製品を入れても、穴は残ります。順番が逆になっている環境をよく見かけます。

なお、個人向けの製品を選ぶ際は、ランサムウェア向けの機能が明記されているかを確認してください。保護対象のフォルダを自分で指定できるか、暗号化されたファイルを元に戻す機能があるか。この2点が比較のポイントになります。

法人向けを選ぶときの5つの比較軸

複数人の環境で製品を選ぶ場合、見る項目を5つに絞ると判断が早くなります。

1つ目は、検知の方式です。照合だけか、振る舞いも見るか。後から侵入経路を追跡できるか。追跡できる製品は価格が上がりますが、事故後の説明責任を負う立場なら必要です。取引先に説明できないと、業務そのものが止まります。

2つ目は、対応している環境です。Windowsだけでなく、macOS、Linux、サーバー、仮想環境。自社にある機器をすべて守れるかを確認してください。守れない機器が1台あると、そこが入口になります。

3つ目は、運用を誰がやるかです。検知の通知が来たときに、判断して対処する人が必要です。社内にいなければ、監視を代行してくれるサービス付きの契約を選ぶことになります。ここを曖昧にしたまま導入すると、通知が溜まって誰も見ない状態になります。実際、これがもっとも多い失敗です。

4つ目は、バックアップとの連携です。製品側で復元機能を持っているか、既存のバックアップ環境と組み合わせられるか。後述しますが、復旧の手段がなければ検知だけでは足りません。

5つ目は、価格の形です。端末の台数で決まるか、利用者の数で決まるか、データ量で決まるか。台数課金の場合、テストや開発に使う端末の分も積み上がるので、想定より高くなることがあります。見積もりを取るときは、現在の台数ではなく1年後の台数で出してください。

この5軸を表にして、候補を3つまで絞ってください。4つ以上並べると比較が終わりません。絞る基準は3つ目の運用体制です。運用できない製品は、どれほど検知性能が高くても機能しません。

バックアップがなければ、ソフトだけでは戻らない

ここがこの記事でもっとも伝えたい部分です。ランサムウェアの被害は、侵入されたことではなく、データが戻らないことによって決定します。ですから、対策ソフトの選定と同じ重さでバックアップの設計を決めてください。

基本の型は、3つのコピーを持ち、2種類の媒体に分け、1つは別の場所に置くという構成です。番号で呼ばれることが多い考え方で、覚えやすいので使っています。ポイントは3つ目の「別の場所」です。同じネットワーク上に置いたバックアップは、一緒に暗号化されます。実際に被害が深刻化した事例の多くが、この形です。

さらに重要なのが、書き換えられないバックアップを持つことです。一度書いたら一定期間は変更も削除もできない設定にできるストレージがあります。ランサムウェアは、暗号化の前にバックアップを消そうとします。消せない状態にしておけば、この動きが無効になります。クラウドストレージの中には、この設定を持っているものがあるので、契約前に確認してください。

そして、もっとも見落とされるのが復元の訓練です。バックアップを取っているのに戻せなかった、という事例は珍しくありません。理由は、復元の手順を誰も試したことがないからです。半年に1回、実際に1つのファイルを復元してみてください。30分もかかりません。この1回の訓練が、事故のときに数日の差になります。

保存期間の設計も必要です。感染してすぐ暗号化が始まるとは限りません。潜伏してから動き出す場合、直近のバックアップは既に汚染されている可能性があります。ですから、数日分だけでは足りません。週次と月次の世代を残す設計にしてください。

「完全に防ぐ」という説明をどう読むか

製品を比較していると、防御率を強く主張する表現に出会います。たとえば、こういう書き方です。

10年以上電子メール保護のクラウドサービスを継続提供の実績を持ち、多層保護で構築。SLAで定義されているとおり既知、未知のウィルスに対する100％保護を提供するよう設計しています。 出典: networld.co.jp

この種の表現を読むときの注意点を書きます。まず、保護の範囲が限定されているかを確認してください。上の例は電子メールの保護についての説明です。メール経由の脅威に対する数字であり、VPN機器の脆弱性やUSBメモリからの侵入は範囲外です。範囲を読まずに数字だけを見ると、全経路が守られていると誤解します。

次に、サービス品質保証の中身を見てください。品質を保証する契約では、達成できなかった場合の扱いが定められています。多くの場合、返金や利用料の減額です。つまり、保証は「絶対に防ぐ」という意味ではなく、「防げなかったときにこう対応する」という取り決めです。ここを読み違えると、バックアップを軽く見ることになります。

判断の軸はひとつです。どんな製品を入れても、入られる前提で復旧の手段を用意しておく。これを崩さないでください。防御率の数字は、複数の候補を比べる材料としては使えますが、バックアップを省略する理由にはなりません。

もうひとつ付け加えると、身代金を払うという選択は復旧の手段になりません。払っても復号鍵が渡されない、渡されても一部しか戻らない、二度目の要求が来る、といった事例が報告されています。さらに近年は、暗号化せずにデータを持ち出して公開すると脅す型も増えています。この型では、払ってもデータが消えたことを確認できません。

費用の見積もり方

予算を立てるときの考え方を、実務的な順番で書きます。

まず、守るべきデータを金額に換算してください。そのデータが3日間使えなかったとき、失う売上はいくらか。復旧作業に何人日かかるか。取引先への説明と補償にいくらかかるか。この3つを足した数字が、対策に使える予算の上限の目安になります。多くの場合、想像より大きい数字になります。

次に、費用の内訳を4つに分けます。1つ目が製品のライセンス費用。端末単位か利用者単位かで変わります。2つ目が導入の作業費用。自社でやるなら人件費、外部に頼むなら見積もりです。3つ目がバックアップの保管費用。クラウドの場合、容量と保存期間で決まります。4つ目が運用の費用。監視を外部に委託する場合はここがもっとも大きくなります。

意外に見落とされるのが4つ目です。製品費用だけで予算を組むと、運用の人手が確保できず、通知を見ない状態になります。導入費用の何割かを運用に残す前提で組んでください。

小規模な環境であれば、端末1台あたり年額5,000円前後の総合ソフトと、クラウドストレージの履歴保持、そして外部の記録媒体1つ。この組み合わせで、まず形になります。ここから始めて、扱うデータの重さに応じて足していくのが現実的です。

補助金の活用も選択肢です。中小企業の設備やソフトウェアの導入には支援制度があり、対象になる場合があります。制度を使った進め方については中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法に手順がまとまっています。あわせて、ログインの守りを固めておくことも必要です。認証の強化についてはMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版に製品の違いが整理されています。

導入して終わりにしない4項目

製品を入れた後に続ける作業を挙げます。ここをやらないと、入れた意味が薄くなります。

1つ目は、更新の確認です。定義ファイルと本体の両方が自動で更新されているかを、月に1回だけ確認してください。更新が止まっている端末は必ず出ます。原因はほとんどが、長期間電源を入れていない端末か、容量不足です。

2つ目は、通知の処理です。検知の通知が来たときに誰が見るかを決め、対応の記録を残してください。記録がないと、同じ事象が繰り返し起きていても気づけません。

3つ目は、復元の訓練です。前述しましたが、半年に1回で構いません。実際に戻す作業をしてください。手順書を書いておくと、担当者が変わっても続きます。

4つ目は、人の側の訓練です。メールの添付ファイルやリンクからの侵入は、最後は人の判断で止まります。偽メールを見分ける訓練の方法は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドに手順としてまとまっていて、個人で使う場合にもそのまま当てはまります。

この4項目を、年間の予定表に書き込んでください。書かないと必ず流れます。私の見てきた範囲では、製品の選定に3か月かけて、導入後の運用を決めずに終わる例が圧倒的に多いです。

感染してしまった場合の初動

最後に、実際に起きたときの順番を書きます。判断に迷う時間がもっとも損失を生むので、先に決めておいてください。

1番目。感染した端末をネットワークから切り離します。有線を抜き、無線を切ります。電源は切らないでください。メモリ上の情報が調査に必要になる場合があります。

2番目。共有ストレージへの接続を止めます。1台の端末から共有フォルダ全体が暗号化される形がもっとも被害が大きいので、ここを急ぎます。

3番目。被害の範囲を確認します。暗号化されたファイルの場所、変更された拡張子、表示された脅迫の文面。これらを撮影して記録してください。文面には、どの種類のランサムウェアかを判別する手がかりが含まれています。

4番目。復号の手段があるかを確認します。既知の種類であれば、公開されている復号ツールが使える場合があります。安易に有料のサービスに飛びつく前に、この確認をしてください。

5番目。外部への報告です。個人情報が含まれていた場合は、法令に基づく報告義務が生じることがあります。取引先のデータが含まれていた場合は、連絡が必要です。この判断は早いほど信頼の損失が小さくなります。

6番目。復旧です。バックアップから戻します。ここで、汚染されていない世代を選ぶ判断が必要になるので、感染の開始時期を特定する作業が先に入ります。

この6つを紙1枚に書いて、印刷して置いてください。画面が使えない状況で必要になる手順なので、電子ファイルだけで持っていると読めません。

体験版で確かめる3つのこと

候補を3つに絞ったら、必ず体験版を入れて試してください。カタログでは分からないことが3つあります。

1つ目は、業務の動作が遅くならないかです。常時監視する仕組みは、ファイルの読み書きに割り込みます。大量の画像を扱う作業、動画の書き出し、大きなデータベースの処理。こうした重い作業をしている環境では、体感で分かるほど遅くなることがあります。実際の業務と同じ作業を1日試してください。速度の低下を理由に監視を切ってしまうと、入れた意味がなくなります。

2つ目は、誤って止められるものがないかです。自社で作った業務用のツールや、古いソフトウェアが、不正な動きだと判断されることがあります。ここで例外の設定が必要になりますが、その設定が簡単にできる製品かどうかで運用の負荷が変わります。例外を追加する画面を実際に開いて、手順の長さを確認してください。

3つ目は、通知の量です。検知の通知が1日に何件届くかを見てください。多すぎると読まれなくなります。少なすぎる場合は、そもそも監視の範囲が狭い可能性があります。適量かどうかは環境によるので、試すしかありません。通知の宛先を複数に設定できるか、重要度で分けられるかも見てください。

体験版の期間は2週間から1か月が一般的です。この期間に業務のピークが含まれるように日程を組んでください。閑散期だけ試して導入すると、繁忙期に問題が出ます。

契約と保険で埋める部分

技術で防げない部分を、契約と保険で埋める考え方も書いておきます。ここは製品選びと並行して検討する話です。

まず、取引先から預かっているデータについてです。業務委託の契約書に、事故が起きたときの責任範囲が書かれているかを確認してください。書かれていない場合、争いになったときの立場が不安定になります。預かるデータの種類、保管する期間、事故が起きたときの報告の期限。この3点を契約に入れておくだけで、判断の基準がはっきりします。

次に、保険です。情報漏えいや業務の中断に対応する保険があり、復旧の費用、調査の費用、取引先への損害賠償などが対象になる場合があります。注意点は、加入の条件として一定のセキュリティ対策が求められることです。つまり、対策をしていない状態では保険に入れないか、支払いが制限されます。保険を検討すると、必要な対策の一覧が向こうから提示されるので、何をすべきかの整理にも使えます。

3つ目は、外部に作業を委託している場合の管理です。自社の対策を固めても、委託先の端末が感染すれば同じことが起きます。委託先に求める対策の水準を、契約か覚書で決めておいてください。求める内容は難しくなくて構いません。端末に対策ソフトを入れていること、バックアップを取っていること、事故が起きたら何日以内に報告すること。この3つで十分です。

技術と契約と保険の3つを組み合わせる前提で考えると、製品に求める水準も現実的に決まります。すべてを製品で解決しようとすると、費用が膨らんだうえに穴が残ります。

現場で実際に効いたこと

私自身の体験を書きます。アパレルのEC運営を手伝う仕事をしていると、商品写真の原本を大量に扱います。撮影データは撮り直しができないので、失うと取り返しがつきません。

一度、取引先のブランドで共有フォルダが使えなくなったことがありました。原因は結果的にランサムウェアではなかったのですが、復旧のときに気づいたことがあります。バックアップは存在していたのに、どのフォルダがどの時点の版なのか誰も把握していなかったのです。戻す作業そのものより、どれを戻すかを決める作業に時間がかかりました。

そこから変えたのは、フォルダの命名と世代の管理です。撮影日と用途をフォルダ名に入れ、月末に外部の記録媒体へ1本まとめてコピーする。これだけです。技術的には何も高度ではありませんが、事故のときに効くのはこういう地味な整理でした。

もうひとつの気づきは、クラウドストレージの同期を「バックアップ」と呼ばないほうがよいということです。同期は、手元の変更をそのまま向こうに反映します。暗号化された変更も反映されます。履歴の保持日数を確認して、足りなければ別の手段を足す。ここを理解していない現場が、実際にかなりあります。データとロジックで判断すべきところを、名前の印象で判断してしまうのです。

市場を長く見てきた立場からの観察

在宅ワークと業務委託の市場を20年運営してきた立場から、2点書き添えます。

1点目は、セキュリティの実務が、外部の専門家に委託される領域として確実に広がっているという観察です。中小の事業者は、製品の選定も運用も社内では抱えられません。そこで、月数時間の単位で相談に応じる形の仕事が増えています。どういう役割と成果が求められるかはAI・マーケティング・セキュリティのお仕事に、導入や業務改善を支援する側の仕事はAIコンサル・業務活用支援のお仕事に整理されています。単価の目安を知りたい場合は、技術職の分布をまとめたソフトウェア作成者の年収・単価相場が参考になります。ネットワークの基礎を客観的に示したいならCCNA（シスコ技術者認定）が、取引先への説明材料として通用しやすい資格です。

2点目は、長く仕事が続いている方の共通点です。単発の作業を数多くこなすことより、「この人に任せると楽だ」と思われる関係を少数作ることに時間を使っています。セキュリティの領域では、この差が特に大きく出ます。事故のときに連絡できる相手がいるかどうかが、復旧にかかる日数を変えるからです。運営者として見てきた限りでは、製品の知識より、平時からの関係のほうが結果に効いています。

仲介の手数料が乗らない直接の取引についても触れておきます。同じ予算であれば、依頼側はより多くの時間を頼めますし、受け手の手取りは厚くなります。手数料0%という条件の価値は、金額の差そのものよりも、この双方が得をする構造の側にあります。継続的に相談し合う関係を作るうえで、この構造は効きます。短期の作業を安く買い叩く形では、事故のときに動いてくれる相手は残りません。

よくある質問

Q. 個人事業主です。専用のランサムウェア対策ソフトを買う必要がありますか？

多くの場合、既に入っているウイルス対策製品にランサムウェア向けの機能が含まれています。まずその設定を確認してください。あわせて、Windowsに標準で入っているフォルダ保護機能の有効化と、バージョン履歴が残るクラウドストレージの利用を先に済ませると、追加費用なしで大きく改善します。

Q. クラウドストレージに同期していればバックアップとして足りますか？

足りません。同期は手元の変更をそのまま反映するため、暗号化されたファイルも上書きされます。過去の版に戻せるかどうか、履歴を何日分保持しているかを必ず確認してください。保持日数が短い場合は、別の媒体へのコピーを追加する必要があります。

Q. 身代金を払えばデータは戻りますか？

戻る保証はありません。払っても復号鍵が渡されない、一部しか戻らない、再度要求されるといった事例が報告されています。近年は暗号化せずに持ち出したデータの公開を脅す型もあり、この場合は払ってもデータが消えたことを確認できません。復旧はバックアップから行う前提で設計してください。

Q. 製品を選ぶときに最初に決めるべきことは何ですか？

運用を誰がやるかです。検知の通知が来たときに判断して対処する人がいなければ、どれほど性能の高い製品でも機能しません。社内に担当者を置けない場合は、監視の代行が含まれた契約を選ぶことになり、選択肢が絞られます。ここを先に決めると比較が早く終わります。