# ランサムウェアとは？感染経路と中小企業がやるべき対策、感染時の初動

ランサムウェアの仕組みと二重恐喝の手口、警察庁統計にみる被害の実態、VPN機器対策やオフラインバックアップなど中小企業が取るべき対策と、感染時の初動・相談先を公的機関の資料をもとに解説します。

ランサムウェアは、社内のデータを暗号化して使えなくしたうえで、元に戻す対価を要求する不正プログラムです。最近はデータを盗み出して「払わなければ公開する」と脅す二重恐喝が主流で、暗号化をせずに盗んだデータだけで脅す手口も出ています。警察庁によると、令和7年（2025年）の被害報告は226件で、被害企業の約6割は中小企業でした。

<Points>

- 侵入経路の6割以上はVPN機器。ソフトウェア更新と認証の強化が対策の出発点になる
- バックアップも一緒に暗号化されることが多いため、ネットワークから切り離したオフラインバックアップを用意する
- 感染したら端末をネットワークから隔離し、電源は切らずにログを残して警察や専門機関に相談する

</Points>

## ランサムウェアとは

ランサムウェアは「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。警察庁は、端末などに保存されたデータを暗号化して使えない状態にし、復号の対価として金銭や暗号資産を要求する不正プログラムと説明しています。

以前は感染したパソコンの画面をロックするタイプが中心でしたが、いまは企業のネットワーク全体を狙う攻撃が主流です。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、次のような手口が挙げられています。

<Figure title="ランサムウェアの主な手口">

| 手口 | 内容 |
| --- | --- |
| 暗号化 | サーバーや端末のデータを暗号化し、復号の対価を要求する |
| 二重恐喝 | 暗号化に加えてデータを盗み、「支払わなければ公開する」と脅す |
| 暗号化しない恐喝 | 暗号化はせず、盗んだデータの公開を予告して対価を要求する |

</Figure>

二重恐喝では、実際に企業の財務情報や個人情報がダークウェブ上のリークサイトに掲載された事例が多数確認されています。バックアップから復旧できても、情報漏えいの問題は残るということです。

開発・運営グループが攻撃者に道具一式を貸し出し、身代金の一部を受け取る「RaaS（Ransomware as a Service）」という仕組みも広がっています。高度な技術を持たない人でも攻撃を実行できるため、攻撃者の裾野が広がっていると警察庁は指摘しています。

## 被害の実態（警察庁の統計）

警察庁の資料から、令和7年の被害状況を見てみます。

<Stats source="警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」">
<Stat value="226件" label="令和7年のランサムウェア被害報告件数" />
<Stat value="約6割" label="被害企業のうち中小企業が占める割合" />
<Stat value="5割超" label="復旧に総額1,000万円以上かかった組織の割合" />
<Stat value="約18%" label="被害組織のうちBCPを策定済みだった割合" />
</Stats>

業種別では製造業が約4割を占め、卸売・小売業、サービス業、情報通信業が続きますが、さまざまな業種で被害が出ています。「うちは狙われるような会社ではない」という考えは通用しません。攻撃は基本的に金銭目的で、攻撃者は侵入できる「隙」のある組織を探しているためです。

被害は長期化する傾向にあり、1か月未満で復旧できた組織は全体の5割強にとどまります。令和7年には、飲料メーカー大手や通販大手がランサムウェア攻撃で受注・出荷の停止に追い込まれ、多数の個人情報が漏えいした、またはそのおそれがあると公表しました。

## 侵入経路と攻撃の流れ

被害組織へのアンケートでは、侵入経路の6割以上がVPN機器でした。インターネットに公開された機器から遠隔操作で入り込む手口が多くを占め、メールの添付ファイルによる感染は少なくなっています。

<Flow
  title="ランサムウェア攻撃の典型的な流れ"
  caption="警察庁の資料をもとに作成。侵入から暗号化までに時間をかけて内部を探索するのが特徴です。"
  steps={[
    { label: "侵入", note: "VPN機器の未修正の脆弱性、漏えいした認証情報、簡易なパスワード、設定不備" },
    { label: "権限奪取・探索", note: "管理者権限を奪い、セキュリティを無効化しながら重要データやバックアップを探す" },
    { label: "データ窃取", note: "クラウドストレージなどへアップロードして持ち出す" },
    { label: "暗号化", note: "バックアップも一緒に暗号化されることが多い" },
    { label: "脅迫・痕跡消去", note: "脅迫状を残し、ログや使ったツールを消して終了" },
  ]}
/>

この流れを見ると、対策のポイントが分かります。入口（VPN機器や認証情報）を固めること、侵入されても早く気づけるようにログを取ること、そして暗号化されても戻せるバックアップを持つことです。

## 中小企業が取るべき対策

警察庁は「基本的なセキュリティ対策の徹底を継続することが最も重要」としています。特別な製品を入れる前に、次の項目を確認してください。

<Steps>
<Step title="VPN機器とサーバーを最新に保つ">

主要な侵入経路であるVPN機器は、メーカーのセキュリティ情報を定期的に確認し、修正版が出たら速やかに適用します。使っていないリモート接続の口は閉じておきます。

</Step>
<Step title="認証を強化する">

推測されやすいパスワードや使い回しをやめ、VPNやリモートデスクトップには多要素認証を設定します。退職者や委託先のアカウントはすぐに削除します。

</Step>
<Step title="アクセス権限を絞る">

管理者権限を持つアカウントを必要最小限にし、日常業務は一般権限で行います。権限の棚卸しは定期的に行います。

</Step>
<Step title="オフラインバックアップを用意する">

ネットワークにつながったままのバックアップは一緒に暗号化されるおそれがあります。ネットワークから切り離した場所にも保管し、実際に復元できるかを試しておきます。

</Step>
<Step title="ログを取得・保管する">

侵入経路や被害範囲の特定にはログが欠かせません。VPN機器、サーバー、認証基盤のログを一定期間保管しておきます。

</Step>
<Step title="サイバー攻撃を想定したBCPと訓練">

地震などの物理的災害とは調査・復旧・広報の進め方が違います。連絡先（警察、委託先、専門業者）を整理し、攻撃を受けた想定で訓練しておきます。

</Step>
</Steps>

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」でした。2位の「サプライチェーンや委託先を狙った攻撃」とも関係が深く、取引先や委託先からの侵入も想定しておく必要があります。

<Note title="要追記：実体験">（ここに自社または取材先でVPN機器の更新・バックアップ運用を見直した具体的な手順や、かかった工数を書く）</Note>

## 感染したときの初動対応

被害に気づいたら、慌てて電源を切らないことが大切です。警察庁は、電源を切るとログなど侵入の痕跡が失われ、その後の調査が難しくなるおそれがあると注意しています。

<Compare>
<Column title="やるべきこと" tone="accent">

- 感染した端末やサーバーをネットワークから隔離する
- 電源は入れたまま、ログや脅迫文を保全する
- 対応チームと社内外の連絡窓口を決める
- 無事なバックアップを隔離して守る
- 警察や専門機関に早めに相談する

</Column>
<Column title="避けるべきこと">

- 慌てて電源を切る
- 攻撃者に連絡したり交渉したりする
- 自動バックアップをそのまま動かし、無事なデータを上書きする
- 侵入経路を塞がないまま復旧を急ぐ

</Column>
</Compare>

JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」では、多数のシステムが一斉に暗号化された場合はドメインコントローラーや管理者アカウントの侵害を疑い、管理者アカウントの確認やパスワードのリセットを行うよう案内しています。

身代金の支払いについて、警察は「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と説明しています。JPCERT/CCも、復号が保証されないこと、根本原因が解決しないこと、さらなる攻撃や恐喝を受けるおそれがあることから、支払わないよう推奨しています。

個人データの漏えいやそのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要になることがあります。詳しくは[情報漏えい時の報告義務と損害賠償](/data-breach-reporting/)で解説しています。

## 相談先

ひとりで判断せず、早めに外部の窓口へ連絡してください。

<Figure title="ランサムウェア被害の主な相談先（2026年10月時点）">

| 窓口 | 内容 |
| --- | --- |
| 都道府県警察のサイバー事案相談窓口 | 被害の届出・相談。警察庁のサイトからオンラインで受け付けている |
| JPCERT/CC インシデント対応依頼 | 組織のインシデント初動対応の相談 |
| IPA 情報セキュリティ安心相談窓口 | 技術的な相談（電話 03-5978-7509、平日10時〜17時） |
| 個人情報保護委員会 | 個人データの漏えい等報告 |

</Figure>

警察は被害組織の状況に応じて、初動対応への助言や復号ツールの提供などの支援ができるとしています。実際に、LockBitやPhobos/8Baseについては国際共同捜査の中で日本警察が復号ツールを開発しました。IPAは、復号ツールを探せる国際プロジェクト「No More Ransom」にも協力しています。

## よくある質問

### Q. ウイルス対策ソフトを入れていればランサムウェアは防げますか？

それだけでは不十分です。警察庁の資料では、侵入経路の多くはVPN機器などインターネットに公開された機器で、未修正の脆弱性や漏えいした認証情報が悪用されています。機器の更新、多要素認証、権限管理、バックアップと組み合わせて考える必要があります。

### Q. バックアップを取っていれば安心ですか？

ネットワークにつながったバックアップは、攻撃者に見つけられて一緒に暗号化されることが多いと警察庁は指摘しています。ネットワークから切り離したオフラインバックアップを用意し、実際に復元できるか定期的に確認してください。

### Q. 身代金を払えばデータは戻りますか？

保証はありません。警察もJPCERT/CCも、復号が保証されないことや犯罪グループの資金になることを理由に、支払いには否定的です。支払ったとしても、侵入経路が残っていれば再び攻撃を受けるおそれがあります。

### Q. 感染に気づいたらまず何をすればよいですか？

感染した端末をネットワークから切り離し、電源は切らずにログや脅迫文を保全します。そのうえで社内の対応体制を整え、警察やJPCERT/CCなどの窓口に相談してください。

出典: [警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」](https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf)、[IPA「情報セキュリティ10大脅威 2026」](https://www.ipa.go.jp/security/10threats/10threats2026.html)、[IPA「ランサムウェア対策特設ページ」](https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html)、[JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」](https://www.jpcert.or.jp/magazine/security/ransom-faq.html)、[警察庁「サイバー事案に関する相談窓口」](https://www.npa.go.jp/bureau/cyber/soudan.html)、[IPA「情報セキュリティ安心相談窓口」](https://www.ipa.go.jp/security/anshin/about.html)