ランサムウェアとは？感染経路と中小企業がやるべき対策、感染時の初動

ランサムウェアは、社内のデータを暗号化して使えなくしたうえで、元に戻す対価を要求する不正プログラムです。最近はデータを盗み出して「払わなければ公開する」と脅す二重恐喝が主流で、暗号化をせずに盗んだデータだけで脅す手口も出ています。警察庁によると、令和7年（2025年）の被害報告は226件で、被害企業の約6割は中小企業でした。

ランサムウェアとは

ランサムウェアは「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。警察庁は、端末などに保存されたデータを暗号化して使えない状態にし、復号の対価として金銭や暗号資産を要求する不正プログラムと説明しています。

以前は感染したパソコンの画面をロックするタイプが中心でしたが、いまは企業のネットワーク全体を狙う攻撃が主流です。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、次のような手口が挙げられています。

二重恐喝では、実際に企業の財務情報や個人情報がダークウェブ上のリークサイトに掲載された事例が多数確認されています。バックアップから復旧できても、情報漏えいの問題は残るということです。

開発・運営グループが攻撃者に道具一式を貸し出し、身代金の一部を受け取る「RaaS（Ransomware as a Service）」という仕組みも広がっています。高度な技術を持たない人でも攻撃を実行できるため、攻撃者の裾野が広がっていると警察庁は指摘しています。

被害の実態（警察庁の統計）

警察庁の資料から、令和7年の被害状況を見てみます。

業種別では製造業が約4割を占め、卸売・小売業、サービス業、情報通信業が続きますが、さまざまな業種で被害が出ています。「うちは狙われるような会社ではない」という考えは通用しません。攻撃は基本的に金銭目的で、攻撃者は侵入できる「隙」のある組織を探しているためです。

被害は長期化する傾向にあり、1か月未満で復旧できた組織は全体の5割強にとどまります。令和7年には、飲料メーカー大手や通販大手がランサムウェア攻撃で受注・出荷の停止に追い込まれ、多数の個人情報が漏えいした、またはそのおそれがあると公表しました。

侵入経路と攻撃の流れ

被害組織へのアンケートでは、侵入経路の6割以上がVPN機器でした。インターネットに公開された機器から遠隔操作で入り込む手口が多くを占め、メールの添付ファイルによる感染は少なくなっています。

この流れを見ると、対策のポイントが分かります。入口（VPN機器や認証情報）を固めること、侵入されても早く気づけるようにログを取ること、そして暗号化されても戻せるバックアップを持つことです。

中小企業が取るべき対策

警察庁は「基本的なセキュリティ対策の徹底を継続することが最も重要」としています。特別な製品を入れる前に、次の項目を確認してください。

1. VPN機器とサーバーを最新に保つ

   主要な侵入経路であるVPN機器は、メーカーのセキュリティ情報を定期的に確認し、修正版が出たら速やかに適用します。使っていないリモート接続の口は閉じておきます。

2. 認証を強化する

   推測されやすいパスワードや使い回しをやめ、VPNやリモートデスクトップには多要素認証を設定します。退職者や委託先のアカウントはすぐに削除します。

3. アクセス権限を絞る

   管理者権限を持つアカウントを必要最小限にし、日常業務は一般権限で行います。権限の棚卸しは定期的に行います。

4. オフラインバックアップを用意する

   ネットワークにつながったままのバックアップは一緒に暗号化されるおそれがあります。ネットワークから切り離した場所にも保管し、実際に復元できるかを試しておきます。

5. ログを取得・保管する

   侵入経路や被害範囲の特定にはログが欠かせません。VPN機器、サーバー、認証基盤のログを一定期間保管しておきます。

6. サイバー攻撃を想定したBCPと訓練

   地震などの物理的災害とは調査・復旧・広報の進め方が違います。連絡先（警察、委託先、専門業者）を整理し、攻撃を受けた想定で訓練しておきます。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」でした。2位の「サプライチェーンや委託先を狙った攻撃」とも関係が深く、取引先や委託先からの侵入も想定しておく必要があります。

感染したときの初動対応

被害に気づいたら、慌てて電源を切らないことが大切です。警察庁は、電源を切るとログなど侵入の痕跡が失われ、その後の調査が難しくなるおそれがあると注意しています。

JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」では、多数のシステムが一斉に暗号化された場合はドメインコントローラーや管理者アカウントの侵害を疑い、管理者アカウントの確認やパスワードのリセットを行うよう案内しています。

身代金の支払いについて、警察は「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と説明しています。JPCERT/CCも、復号が保証されないこと、根本原因が解決しないこと、さらなる攻撃や恐喝を受けるおそれがあることから、支払わないよう推奨しています。

個人データの漏えいやそのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要になることがあります。詳しくは情報漏えい時の報告義務と損害賠償で解説しています。

相談先

ひとりで判断せず、早めに外部の窓口へ連絡してください。

警察は被害組織の状況に応じて、初動対応への助言や復号ツールの提供などの支援ができるとしています。実際に、LockBitやPhobos/8Baseについては国際共同捜査の中で日本警察が復号ツールを開発しました。IPAは、復号ツールを探せる国際プロジェクト「No More Ransom」にも協力しています。

よくある質問