セキュリティ
初回公開日：2025年12月23日
ランサムウェア対策は、企業の情報セキュリティにおいて最優先で取り組むべき課題の一つです。
近年では、大企業だけでなく中小企業も標的となり、業務停止や情報漏えいなど深刻な被害につながるケースが増えています。実際に、国内でもランサムウェアによる被害は継続的に報告されており、企業規模を問わず対策の重要性が高まっています。
しかし、「具体的にどのような対策を行えばよいのか分からない」「自社の対策が十分か不安」と感じている担当者も多いのではないでしょうか。
本記事では、ランサムウェアの基本的な仕組みから、企業が実施すべき具体的な対策までを分かりやすく解説します。
-
- 【関連資料のご紹介】
- 2025年版ランサムウェア攻撃の構造変化と中小企業の「実践的対策」
- 資料をダウンロード
１：ランサムウェアとは？
ランサムウェアとは、感染したPCやサーバー内のファイルを暗号化し、復旧と引き換えに身代金を要求するマルウェアです。近年は、データ暗号化に加えて、盗み出した情報の公開を脅迫する「二重脅迫（ダブル・エクストーション）」も主流となっています。
主な侵入経路としては、不審なメールの添付ファイル、VPN機器の脆弱性、リモートデスクトップ（RDP）の認証情報の悪用などがあります。感染すると、業務停止や情報漏洩など、企業活動に大きな影響を及ぼす可能性があります。
そのため、ランサムウェア対策では「感染を防ぐこと」と「侵入後の被害を最小限に抑えること」の両方が重要です。
ランサムウェアの主な感染経路について詳しく知りたい方は、「ランサムウェア感染経路ランキング」の記事もあわせてご覧ください。
２：ランサムウェアの被害現状と対策の重要性
ランサムウェアの脅威は、報道されている以上に、多くの企業にとって現実のものとなっています。ここでは、警察庁が公表しているデータに基づき、現在の被害状況と、なぜ今、対策の強化が急務なのかを解説します。
ランサムウェア被害は高止まり、その手口はより巧妙に
ランサムウェア被害は依然として高水準で推移しており、サプライチェーンを通じて中小企業も広く標的となっています。
警察庁の公表データでも、ランサムウェア被害は継続的に発生していることが示されています。
資料：警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」
資料：警察庁「サイバー警察局便り Vol.6」
近年は、データ暗号化に加え情報を盗み出して公開を脅す「二重脅迫」が主流となっており、企業は業務停止と情報漏洩の両方のリスクに直面します。
資料：警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」
３：中小企業が実施すべきランサムウェア対策
ランサムウェアによる被害を防ぐには、攻撃者が狙う「侵入経路」を先回りして塞ぐことと、侵入後の異常を早期に検知し被害を最小限に抑えることが重要です。
対策は一つではなく、「侵入前」「侵入後」「復旧」の各段階に応じて適切に組み合わせる必要があります。次の表に、ランサムウェア対策をフェーズ別に整理します。
| フェーズ | 主な対策 |
|---|---|
| 侵入防止 | ① OS・アプリ更新 ② 認証強化（MFA） ③ メール対策 |
| 侵入後 | ④ NGAV／EDR ⑤ ログ監視 |
| 復旧 | ⑥ バックアップ戦略 |
① OSやアプリケーションのアップデートを徹底する
ランサムウェアの多くは、OSやアプリケーションに存在する既知の脆弱性を悪用して侵入するため、ソフトウェアを最新状態に保つことが基本的な防御策となります。
そのため、メーカーが提供するセキュリティパッチを適用し、常に最新の状態を維持することが重要です。
しかし企業環境では、すべての端末の更新状況を把握しきれず、未更新の端末が放置されるケースも少なくありません。そのため、各端末のアップデート状況を一元管理し、定期的に確認する運用体制が求められます。
特に、VPN機器やファイアウォールなど外部公開機器の脆弱性は、攻撃者に狙われやすく、サーバーOSやネットワーク機器を含め、緊急性の高いパッチは速やかに適用する必要があります。
脆弱性への対応を徹底することで、ランサムウェアの侵入経路となる脆弱性を大幅に減らすことができます。
② 認証強化（パスワード＋MFA：多要素認証）
ID・パスワードの漏えいによる不正アクセスを防ぐためには、多要素認証（MFA）を導入し、認証情報だけに依存しない仕組みを構築することが重要です。
認証情報が漏えいした場合、攻撃者は正規ユーザーとしてネットワークへ侵入し、内部で活動できてしまうため、認証の強化はランサムウェア対策の基本となります。
まず、パスワードについては推測されにくい複雑なものを設定し、システムで同一のパスワードによる使い回しを避けることが基本です。しかし、フィッシング攻撃や情報漏えいによって、パスワード対策だけでは不正ログインを完全に防ぐことはできません。
そこで重要となるのが、多要素認証の導入です。MFAを設定することで、仮にパスワードが漏えいした場合でも、不正ログインのリスクを大幅に低減できます。
特に、VPNやリモートデスクトップ（RDP）、クラウドサービスなど外部からアクセス可能な経路には、優先的にMFAを適用することが重要です。
認証強化は、比較的導入しやすい対策でありながら、ランサムウェアの侵入リスク低減に大きな効果があります。
③ メール経由の感染対策
ランサムウェアの主要な侵入経路であるメール攻撃に対しては、技術的対策と従業員の行動ルールを組み合わせた多層的な防御が必要です。
技術的な対策
まず、スパムフィルターやマルウェア検知機能を活用し、不審なメールを受信前にブロックすることが重要です。
また、添付ファイルを仮想環境で事前実行する「サンドボックス」機能を活用することで、未知のマルウェアへの対策強化にもつながります。
従業員へのセキュリティ教育
「不審な添付ファイルを開かない」「安易にURLリンクをクリックしない」といった基本ルールを社内で徹底し、違和感のあるメールは別経路で確認する運用が重要です。
また、標的型攻撃メールは年々巧妙化しているため、定期的なセキュリティ教育や疑似訓練を実施し、従業員の判断力を高めることも有効です。
これらの対策を組み合わせることで、メールを起点としたランサムウェア感染リスクを大幅に低減できます。
④ セキュリティソフト（NGAV／EDR）を活用する
従来のアンチウイルス対策だけでは検知が難しい未知のランサムウェアに対応するため、NGAVやEDRによる振る舞い検知と継続的な監視が重要となります。
NGAV（Next-Generation Antivirus：次世代アンチウイルス ）は、AIや機械学習を活用し、マルウェアの「振る舞い」から脅威を検知します。一方EDRは、端末上の不審な挙動を継続的に監視し、ランサムウェアの潜伏や横展開を早期に検知・隔離する役割を担います。
特にランサムウェア対策では、「侵入を完全に防ぐ」だけでなく、「侵入後に被害を広げない」視点が重要であり、NGAVとEDRを組み合わせた多層防御が有効です。
また、EDRは導入するだけでなく、アラート発生時の対応ルールや監視体制を整えることも重要です。
NGAVの「ふるまい検知」について詳しく知りたい方は、こちらの記事もあわせてご覧ください。
詳しくはこちら
⑤ ログ監視による早期検知
ランサムウェアは侵入後すぐに攻撃を行うとは限らず、内部での偵察や横展開を行うため、ログ監視によって異常を早期に検知することが重要です。
そのため、万が一侵入された場合でも被害を最小限に抑えるには、「いち早く異常に気づく仕組み」を整えることが求められます。その中核となるのが、ログの取得と監視です。
具体的には、次のようなログを継続的に確認することが重要です。
- ログイン履歴（不審な時間帯・拠点からのアクセス）
- 管理者権限の利用状況
- ファイル操作ログ（大量のファイル変更・削除）
- セキュリティアラートや不審なプロセスの実行履歴
たとえば、深夜に通常利用されないアカウントでのログインや、短時間で大量のファイルが変更されている場合、ランサムウェア感染の兆候である可能性があります。
しかし、これらのログを手作業で監視し続けることは現実的ではありません。特に複数の端末を運用している企業では、ログの量が膨大になり、重要な異常を見逃してしまうリスクがあります。
そのため、ログの収集・分析を自動化し、異常を検知できる仕組みを整えることが重要です。ログを一元管理することで、インシデントの兆候を早期に把握でき、被害の最小化につながります。
これらの対策により、侵入後の攻撃兆候をいち早く検知し、ランサムウェア被害を抑制することが可能になります。
ログの種類や具体的な活用方法については、別記事で詳しく解説しています。
おすすめ
⑥ 最後の防衛線：バックアップ戦略の徹底
ランサムウェアによるデータ暗号化に備えるためには、復旧を可能にするバックアップを「3-2-1ルール」に基づいて安全に管理することが不可欠です。
どれだけ高度なセキュリティ対策を講じても、ランサムウェアの侵入を100％防ぐことはできません。そのため、感染時でも業務を継続できるようにするバックアップは、最後の防衛線として重要です。
ランサムウェアによってデータが暗号化された場合でも、正常なバックアップがあれば、身代金を支払わずに復旧できる可能性があります。一方で、バックアップが破壊されたり、正常に復元できなかったりすると、復旧が困難になるケースもあります。
まず基本となるのが、「3-2-1ルール」の徹底です。
本番データとは別に複数のバックアップを保持し、異なる媒体に分散して保存することで、単一障害によるデータ消失リスクを回避します。
3-2-1ルール
- 3：「元データ（オリジナル）＋バックアップを2つ」合計3つのコピーを保持し、1つが壊れても他が生き残る状態を作ります。
- 2：バックアップは、2つの場所・媒体に保管します。同じ媒体・同じ場所だと、故障・火災・攻撃で同時に失われる可能性があるためです。
- 1：1つはオフラインまたは、ネットワークから切り離した環境で保管します。
特に重要なのが、オフラインバックアップ（エアギャップ）の確保です。常時ネットワーク接続されたバックアップは、本番環境と同様にランサムウェアの影響を受ける可能性があります。
※エアギャップとは、バックアップデータをネットワークから切り離し、外部からアクセスできない状態で保管することを指します。
また、バックアップは複数世代で管理することが重要です。最新データのみを保持している場合、感染後に上書きされると復旧ができなくなるリスクがあります。
さらに、定期的な復旧テストを実施し、実際に業務復旧できる状態を維持することも重要です。
ランサムウェア対策は「知識として理解すること」と「実際に実施できていること」が重要です。ここでは、自社の対策状況を簡単に確認できるチェックリストを用意しました。
自社の対策状況を確認するチェックリスト
次の項目について、自社で対応できているか確認してみましょう。
□ セキュリティ対策ソフト（NGAVまたはEDR）を導入している
□ メール経由の攻撃対策（フィルタリング・教育など）を実施している
□ 管理者権限を適切に制御している
□ VPN・リモートデスクトップ（RDP）など外部接続に多要素認証を適用している
□ ログの取得・監視により異常な挙動を把握できる状態になっている
□ バックアップが取得され、オフライン保管・世代管理が行われている
一つでも不安な項目がある場合は、対策の見直しや運用体制の改善が必要です。
より実務的に対策状況を整理したい場合は、チェックリスト付きの資料も活用できます。
-
- 【関連資料のご紹介】
- 2025年版ランサムウェア攻撃の構造変化と中小企業の「実践的対策」
-
チェックリストの中で「対応できていない項目がある」「運用面に不安がある」と感じた場合は、対策状況の整理が重要です。
本資料では、最新のランサムウェア攻撃の傾向を踏まえ、中小企業が優先的に取り組むべき対策を解説しています。- 資料をダウンロード
そのため、万が一被害が発生した場合に備え、初動対応の体制を整えておくことも重要です。
４：ランサムウェアの被害を受けた時の対策
ランサムウェアは、初動対応の遅れによって被害が大きく拡大する傾向があります。そのため、感染が疑われた場合には、あらかじめ定められた手順に沿って迅速に対応することが重要です。
初動対応（被害拡大の防止）
感染が疑われた場合は、まず被害拡大を防ぐことが最優先です。
-
- ネットワークからの切り離し（最優先）
- LANケーブルを抜く、Wi-Fiをオフにする
-
- 感染端末の隔離
- 感染した可能性のある端末を物理的に隔離し、ネットワーク設定やセキュリティツールで通信を遮断する
-
- ログ・EDRによる状況把握
- 感染の有無や影響範囲を把握する
感染端末は速やかにネットワークから遮断し、他端末への拡散（横展開）を防ぎます。
また、安易に電源を切らず、現状を保持したまま証跡を確保することが重要です。
原因分析（侵入経路・再発防止）
次に、ログやセキュリティツールを用いて、ランサムウェアがどのように侵入し、どのように拡大したのかを分析します。
- 侵入経路の特定（メール、VPN、RDPなど）
- 権限昇格や横展開の有無の分析
- 再発防止に向けたリスク要因の整理
原因を特定せずに復旧を進めると、同じ経路から再度攻撃を受ける可能性があるため、慎重な分析が必要です。
専門機関への相談・報告
被害の状況に応じて、警察やセキュリティ専門機関への相談を早い段階で検討します。自社だけでの対応が難しい場合や判断に迷う場合は、外部の専門家の支援を受けることで、適切な対応方針を立てることができます。
警察庁「サイバー事案に関する相談窓口」
警察庁「ランサムウェア被害防止対策」
IPA（情報処理推進機構）「ランサムウェア対策特設ページ」
JPCERT/CC｢侵入型ランサムウェア攻撃を受けたら読むFAQ」
参考：IPA「中小企業のためのセキュリティインシデント対応の手引き」
復旧対応（業務再開）
状況を踏まえ、復旧方法を判断します。
- バックアップからの復旧
- 復号ツールの利用可否確認
- バックアップデータの安全性確認
正常なバックアップが確保されている場合は、端末の初期化後に復元を行い、業務再開を目指します。
資料：警察庁「ランサムウェア（Phobos/8Base）により暗号化されたファイルを復号！！」
まとめ：ランサムウェアの脅威に備えるために
ランサムウェアは、単なるウイルス感染ではなく、業務停止や情報漏洩を引き起こす深刻なサイバー攻撃です。近年は、データの暗号化に加えて情報漏洩を伴う「二重脅迫」が主流となっており、企業規模を問わず被害が発生しています。
そのため対策としては、OSやソフトウェアの更新、EDRなどのセキュリティ対策、メール対策、認証強化、バックアップ、ログ監視といった多層的な防御が重要になります。
また、万が一の被害に備えた初動対応や復旧手順を事前に整理しておくことで、被害を最小限に抑えることが可能です。
しかし、こうした対策が部分的にしか実施されていない場合、攻撃を完全に防ぐことは難しくなります。まずは自社の対策状況を正しく把握することが、ランサムウェア対策の第一歩です。
-
- 2025年版ランサムウェア攻撃の構造変化と中小企業の「実践的対策」
- ランサムウェア対策では、「侵入を防ぐこと」だけでなく、「侵入後に被害を最小限に抑えること」や「復旧できる状態を維持すること」も重要です。
本資料では、最新の攻撃手法の変化を踏まえ、中小企業が実務レベルで取り組むべき対策や運用ポイントを体系的に整理しています。記事の内容をさらに深く理解し、自社の対策状況を見直す資料としてご活用ください。
2026.08.05 
