ランサムウェアとは？感染経路と被害、対策を分かりやすく解説

ランサムウェアの脅威が日々高度化する中、企業のセキュリティ対策は待ったなしの状況です。本記事では、最新のランサムウェア攻撃の手口から効果的な防御策、そして万が一の感染時の対応まで、企業のIT担当者が知っておくべき全知識を網羅しています。

特に中小企業のセキュリティ担当者や経営者の方々にとって、コストと効果のバランスを考慮した現実的な対策方法を理解することができます。ランサムウェア被害から会社の重要データと事業継続性を守るために、今すぐ取り組むべきポイントを明確にしていきましょう。

ランサムウェアとは？基本的な仕組みと種類

ランサムウェアとは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた言葉で、文字通り「身代金要求型マルウェア」を意味します。このサイバー攻撃は、被害者のデータやシステムを人質に取り、その解放と引き換えに金銭を要求する悪質なプログラムです。

感染すると、ユーザーの重要なファイルが強力な暗号化アルゴリズムによってロックされ、解読キーを得るために攻撃者が指定した金額（通常は暗号資産）の支払いを要求されます。支払いに応じなければ、データが永久に使用不能になる恐れがあります。

ランサムウェアには主に以下のような種類があります。

近年では、単純な暗号化だけでなく、情報漏洩や事業停止など複数の脅迫を組み合わせた「多重恐喝」も増加しており、企業や組織にとってより深刻な脅威となっています。

データの暗号化やシステムのロックによって人質にする仕組み

ランサムウェアの最も恐ろしい特徴は、被害者のデータを「人質」として扱う巧妙な仕組みにあります。感染すると、まずマルウェアはシステム内の重要なファイル（文書、画像、データベースなど）を次々と強力な暗号化アルゴリズムで暗号化していきます。この過程で、通常のファイル拡張子が「.encrypted」「.locked」「.crypted」などの特殊な形式に変更され、ユーザーはファイルにアクセスできなくなります。

暗号化が完了すると、デスクトップ画面が乗っ取られ、「あなたの大切なファイルは暗号化されました。72時間以内にビットコインで〇〇ドルを支払えば復号キーを提供します」といった脅迫メッセージ（ランサムノート）が表示されます。このメッセージには支払い方法や連絡先が記載され、期限を過ぎると金額が上がるなどの心理的圧力も加えられます。

特に巧妙なランサムウェアは、感染後すぐに暗号化を開始せず、まずネットワーク内を潜伏・横展開しながら管理者権限を奪取します。そして組織内のバックアップシステムも含めた複数のシステムに拡散した後、一斉に暗号化を実行することで復旧の可能性を最小化します。被害組織は事業継続のために身代金支払いを検討せざるを得ない状況に追い込まれるのです。

クリプト型やロッカー型、二重恐喝など多様化する種類

ランサムウェアは進化を続け、攻撃手法も多様化しています。主な種類としては以下のようなものがあります。

• クリプト型：最も一般的なタイプで、ファイルを暗号化してアクセス不能にします。ユーザーの重要なドキュメントやデータベースが開けなくなり、業務が完全に停止する深刻な被害をもたらします。
• ロッカー型：コンピュータシステム全体をロックし、再起動しても同じ脅迫画面が表示され続けます。ユーザーはデスクトップにアクセスできず、基本的な操作すらできなくなります。

近年特に警戒すべきは「二重恐喝（Double Extortion）」と呼ばれる手法です。これは暗号化による脅迫に加え、「盗んだデータをインターネット上に公開する」と脅す方法で、身代金支払いの圧力を高めます。さらに「三重恐喝」として、DDoS攻撃を組み合わせたり、顧客や取引先に直接連絡したりするなど、攻撃者の戦術はますます悪質化しています。こうした種類の多様化により、対策も複雑化しているのが現状です。

種類	概要
クリプトランサムウェア	PC内のファイルを暗号化して読み取れなくし、復号と引き換えに金銭を要求する。
ロッカーランサムウェア	コンピュータのシステム全体をロックし、操作不能にすることで身代金を要求する。
二重恐喝 （ダブルエクストーション）	データの暗号化に加え、窃取した機密情報の暴露を盾に二重に脅迫を行う。
多面的恐喝	DDoS攻撃や関係者への連絡など、複数の攻撃手段を組み合わせてさらにプレッシャーをかける。
ノーウェアランサム	データの暗号化は行わず、情報の窃取と暴露の脅迫のみで対価を要求する。
RaaS （サービスとしてのランサムウェア）	開発者が攻撃基盤を他者に提供し、専門知識がなくても攻撃を実行可能にする。

近年のランサムウェア被害の傾向と主な感染経路

近年のランサムウェア攻撃は、2015年頃までの無差別な「ばらまき型」から、特定の企業や組織を綿密に調査して狙う「標的型」へと明確にシフトしています。攻撃者は被害組織から最大限の身代金を引き出すため、財務状況や保険加入状況まで調査した上で攻撃を仕掛けるようになりました。

警察庁のデータによれば、国内のランサムウェア被害報告件数は2022年以降高水準で推移しており、特筆すべきは被害企業の約3分の2が中小企業であるという点です。大企業に比べてセキュリティ投資が限られる中小企業が格好の標的となっています。

主な感染経路としては、以下が挙げられます。

特に在宅勤務の普及により、リモートアクセス環境を狙った攻撃が増加傾向にあります。

参考：警察庁サイバー警察局｜令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について

侵入経路	悪用される脆弱性・不備の内容
VPN機器	古いファームウェアの放置や、機器自体の既知の脆弱性
リモートデスクトップ（RDP）	推測しやすい弱いパスワード設定や、多要素認証（MFA）の未導入
標的型メール	従業員の心理を突いた巧妙な文面や、マクロ付き添付ファイルの実行

特定の組織を執拗に狙う「標的型攻撃」へのシフト

近年のランサムウェア攻撃は、不特定多数を狙う「ばらまき型」から、特定の組織を徹底的に調査して狙う「標的型攻撃」へと明確にシフトしています。攻撃者は事前にターゲット企業のシステム構成や脆弱性を綿密に調査し、最も防御の弱い箇所を見つけ出して侵入を試みます。

特に注目すべきは、内部ネットワークに侵入した後の手法の高度化です。正規の管理ツールやリモート管理ソフトウェアを悪用し、セキュリティ監視の目を巧みにかわしながら、内部での権限を徐々に拡大していく「環境寄生型」の手口が主流となっています。この方法により、検知されることなく数週間から数ヶ月にわたって社内システムに潜伏し、最も効果的なタイミングで一斉に暗号化を実行するのです。

さらに、技術的知識を持たない犯罪者でもランサムウェア攻撃を実行できる「RaaS（Ransomware as a Service）」と呼ばれるサービスの普及も深刻な問題です。専門的な攻撃ツールやインフラが商品として販売されることで、攻撃者の裾野が広がり、被害組織数の増加に直結しています。

VPN機器の脆弱性やリモートデスクトップ（RDP）を突いた侵入

テレワークの急速な普及に伴い、VPN機器が新たなセキュリティリスクとなっています。多くの企業ではアップデートが適用されていない古いファームウェアや不適切な設定のまま運用されており、サイバー犯罪者はこれらの脆弱性を積極的に悪用しています。特に2020年以降、Fortinet、Pulse Secure、Citrixなどの主要VPN機器の脆弱性を突いた侵入事例が急増しました。

また、リモートデスクトッププロトコル（RDP）も主要な侵入経路となっています。攻撃者は自動化ツールを使用して弱いパスワードを持つRDP接続を探し出し、総当たり攻撃で認証情報を突破します。一度侵入に成功すると、権限昇格ツールを使用して管理者権限を奪取し、社内ネットワーク全体に横展開していきます。

さらに危険なのは、侵入後に数週間から数ヶ月にわたって潜伏し、バックドアを設置してから本格的な攻撃を仕掛けるケースです。このような「初期アクセスブローカー」と呼ばれる攻撃者が侵入経路を確立し、後にランサムウェアグループに売却するビジネスモデルも確立されています。企業は定期的なパッチ適用と多要素認証の導入が急務となっています。

巧妙な標的型メールやフィッシングサイトによる手口

近年のランサムウェア攻撃では、特定の企業や組織を狙った巧妙な標的型メールが主要な感染経路となっています。攻撃者は取引先や同僚、政府機関などの信頼できる送信者を装い、業務に関連する内容で受信者の警戒心を解きます。

特に危険なのは、正規のビジネスメールと見分けがつかないほど精巧に作られた文面で、請求書や見積書などの業務文書を装った添付ファイルやURLリンクです。これらをクリックすると、ユーザーが気づかないうちにマルウェアがダウンロードされる「ドライブバイダウンロード」が実行されます。

また、セキュリティソフトの検知を回避するため、正規のクラウドサービスを悪用したり、マクロ有効のOfficeファイルを使用したりする手法も増加しています。特に在宅勤務の増加により、従業員のセキュリティ意識の低下を狙った攻撃が活発化しているため、日常的な警戒が欠かせません。

企業に深刻な損失を与えるサイバー攻撃の被害事例

近年、企業を標的としたサイバー攻撃は深刻な損失をもたらしています。特にランサムウェア被害では、業務システムの完全停止により、製造業では生産ラインが数週間にわたって停止するケースが報告されています。医療機関では患者データにアクセスできなくなり、予約システムの混乱や緊急手術の延期といった事態も発生しています。

金銭的損失も甚大です。身代金の支払いだけでなく、システム復旧費用、フォレンジック調査、セキュリティ強化のための投資を合わせると、中小企業でも数千万円、大企業では数億円規模に達することがあります。実際、2022年の調査では被害企業の23%が復旧までに1ヶ月以上を要したとされています。

参考：警察庁｜令和４年上半期におけるサイバー空間をめぐる脅威の情勢等について, p4

さらに見過ごせないのが社会的信用の喪失です。顧客情報漏洩によるレピュテーションダメージは数値化できないほど大きく、取引先からの信頼低下、株価下落、訴訟リスクなど二次的な被害も発生します。業種別の主な被害事例としては、

• 製造業：生産ラインの停止による納期遅延と違約金発生
• 小売業：ECサイト停止による売上損失と顧客流出
• 金融機関：オンラインバンキング停止と個人情報漏洩による補償
• 医療機関：診療記録喪失と患者ケアの質低下

といった深刻な事例が報告されています。

業種	被害の概要
自動車部品メーカー	サーバーやPCの暗号化により、大規模な製造停止が発生
大手衣料品チェーン	不正アクセスによるシステム障害で、商品の取り寄せ業務が停止
医療機関	電子カルテの暗号化により、診療や救急患者の受け入れが制限

システムダウンによる工場の稼働停止や業務の中断

ランサムウェア攻撃によるシステムダウンは、企業の事業継続に直接的かつ深刻な影響を与えます。国内の大手製造業では、受発注システムが暗号化され、部品の調達から出荷まで全工程が停止し、数日間にわたり工場の操業がストップした事例があります。

また医療現場では、電子カルテシステムがランサムウェアに感染したことで、患者情報へのアクセスが不可能となり、外来診療の中止や救急患者の受け入れ制限を余儀なくされたケースも報告されています。

特に製造業や物流業では、生産管理システムや在庫管理システムが機能しなくなることで、1日あたり数億円の機会損失が発生するリスクがあります。基幹システムへの攻撃は、関連する数千台のPCやサーバーに影響が波及し、バックアップからの復旧にも相当な時間を要するため、事業の長期停止につながる恐れがあります。

このようなシステムダウンは、取引先や顧客への影響も大きく、信頼喪失による長期的な事業ダメージも無視できません。

情報漏洩の暴露を盾に金銭を要求する二重恐喝・多重恐喝

近年のランサムウェア攻撃は、単なるデータ暗号化から「二重恐喝（Double Extortion）」へと進化しています。攻撃者はシステムをロックする前に、機密情報や顧客データを密かに窃取し、「身代金を支払わなければこれらの情報をダークウェブで公開する」と脅迫します。

さらに悪質なケースでは、「多重恐喝（Multiple Extortion）」と呼ばれる手法も登場しています。これは被害企業だけでなく、その取引先や顧客に直接連絡を取り、「あなたの情報が漏洩している」と告げて複数方向から圧力をかける戦術です。

身代金を支払ったとしても、データが完全に復元される保証はありません。実際、支払い後も一部のデータしか戻らなかったり、後日追加の要求をされるケースも少なくありません。また、支払いは犯罪組織の資金源となり、さらなる攻撃を助長することにもつながります。このような二重・多重恐喝は、企業の評判やブランド価値に長期的なダメージをもたらす可能性があり、金銭的損失だけでは測れない深刻な被害を引き起こします。

被害調査やシステム復旧に1,000万円以上を要する経済的損失

ランサムウェア被害による経済的損失は想像以上に深刻です。警察庁の調査によると、感染時の調査・復旧費用の総額が1,000万円以上に達した企業が約4割にも上っています。この金額には、システム復旧のための専門家チーム招集費用、データ復元作業、セキュリティ強化のための追加投資などが含まれます。

しかし、直接的な復旧費用はあくまで氷山の一角に過ぎません。業務停止による売上機会の喪失、取引先との契約不履行によるペナルティ、そして最も深刻なのは顧客からの信頼低下によるブランドイメージの毀損です。これらの間接的損失を含めると、実質的な被害額は数億円規模に膨れ上がることも珍しくありません。

さらに見落とされがちなのが、事後対応にかかる膨大な人的・時間的コストです。セキュリティベンダーとの連携、警察や監督官庁への報告、顧客への説明、再発防止策の構築など、通常業務に加えて行わなければならない業務が山積みとなります。こうした「見えない負担」も含め、ランサムウェア被害からの完全回復には数年を要するケースもあるのです。

参考：警察庁｜令和５年におけるサイバー空間をめぐる脅威の情勢等について

企業が優先して取り組むべきランサムウェア対策方法

ランサムウェア対策は「完全防御」ではなく「多層防御」の考え方が重要です。企業が優先すべきは、攻撃者の侵入を困難にする対策と、万が一感染した場合の被害を最小化する対策の両方を組み合わせることです。

技術的対策としては、OSやソフトウェアの定期的なアップデート、エンドポイント保護ソリューションの導入、ネットワークセグメンテーションが効果的です。特に重要なのはバックアップ戦略で、3-2-1ルール（3つのコピー、2種類の媒体、1つはオフサイト）に基づいた運用が推奨されます。

管理的対策では、アクセス権限の最小化、多要素認証の導入、インシデント対応計画の策定が必須です。また、従業員教育も重要な柱となります。

物理的対策としては、重要システムの隔離や入退室管理の徹底が挙げられます。

これらの対策は経営層のコミットメントのもと、全社的な取り組みとして実施することが成功の鍵です。一人ひとりがセキュリティポリシーを理解し遵守する文化を醸成することで、組織全体のレジリエンスが高まります。

対策の分類	具体的なアクション
管理者による対策	OS・ソフトウェアのアップデート管理認証強化（MFA導入）定期的なバックアップと隔離保管アクセス権限の最小化
ユーザーによる対策	不審なメール・リンクの開封禁止強力なパスワード設定社内ルールの遵守異常時の迅速な報告

OSやソフトウェアを常に最新の状態に保つ脆弱性対策

ランサムウェア対策の基本中の基本は、OSやソフトウェアの脆弱性を放置しないことです。セキュリティパッチは、サイバー攻撃からシステムを守る「ワクチン」のような役割を果たします。多くの攻撃者は、修正されていない既知の脆弱性を狙って侵入を試みるため、定期的なアップデートが最も効果的な予防策となります。

特に重要なのは、Windows、macOSなどの基本OSだけでなく、Adobe製品、ブラウザ、オフィスソフト、さらにはファイアウォールやルーターなどのネットワーク機器のファームウェアまで、すべての更新プログラムを迅速に適用することです。「後で」という先送りが被害を招く原因になります。

企業では以下の運用を徹底しましょう。

脆弱性対策は、高額なセキュリティ製品を導入するよりも、この基本的な「更新習慣」を組織文化として定着させることが、最も費用対効果の高いランサムウェア対策となります。

ネットワークから物理的に隔離した場所への定期バックアップ

ランサムウェア対策において最も効果的な方法の一つが、ネットワークから物理的に隔離した場所への定期バックアップです。重要なのは、バックアップデータ自体もランサムウェア攻撃の標的になるという点です。オンラインに常時接続されたバックアップは、本番環境と同時に暗号化される危険性があります。

効果的なバックアップ戦略として、「3-2-1ルール」の採用をお勧めします。

また、バックアップの作成だけでは不十分です。定期的な復元テスト（リストアテスト）を実施し、有事の際に確実にデータを復旧できることを確認しましょう。バックアップが破損していたり、復元手順に不備があったりすると、いざという時に役立ちません。

最新のバックアップソリューションでは、改ざん防止機能や書き込み禁止オプションを備えたものもあります。これらを活用し、バックアップデータの完全性を確保することも重要です。

多要素認証（MFA）の導入やアクセス権限の最小化

IDとパスワードだけでは不十分な時代です。ランサムウェア攻撃者は、盗んだ認証情報を悪用して侵入するケースが増加しています。多要素認証（MFA）を導入することで、パスワードが漏洩しても、スマートフォンの認証アプリやUSBセキュリティキーなど「所有しているもの」、指紋や顔認証などの「生体情報」を組み合わせることで不正アクセスのリスクを大幅に低減できます。

また、全てのユーザーに管理者権限を与えることは避け、「最小権限の原則」に基づいて業務に必要最低限のアクセス権限のみを付与することが重要です。

さらに、ネットワークセグメンテーションを実施し、部門や機能ごとにネットワークを分離することで、一部が感染しても被害の拡大を防止できます。これらの対策は導入コストに比べて得られる防御効果が非常に高く、優先的に実施すべき対策といえるでしょう。

従業員のセキュリティ意識を高めるための継続的な教育

ランサムウェア対策において、技術的な防御策だけでは不十分です。最も脆弱なポイントは往々にして「人」であるため、従業員への継続的な教育が不可欠となります。

まず、「添付ファイルを安易に開かない」「不審なリンクはクリックしない」といった基本的なセキュリティルールを定期的な研修で繰り返し周知することが重要です。特に新入社員や部署異動者には入念な教育が必要です。

また、組織内に「報告しやすい文化」を醸成することも効果的です。不審な兆候に気づいた従業員が、叱責を恐れずに情報システム部門へ即座に報告できる環境づくりが、被害の拡大防止につながります。

さらに、以下のような実践的な訓練プログラムの導入も有効です。

これらを通じて従業員の判断力を向上させることで、組織全体のセキュリティレベルを高めることができます。

感染が疑われる・発生した際の初動対応と対処の手順

ランサムウェア感染の兆候を発見した場合、迅速かつ冷静な対応が被害を最小限に抑える鍵となります。

ネットワークからの物理的な隔離	・端末のネットワーク遮断 ・外部デバイス・共有機能の停止 ・全体遮断の検討
証拠保全と社内報告	・電源を落とさない ・不審な操作の禁止 ・担当部署への即時報告
公的機関・専門機関への相談と通報	・警察への通報 ・外部機関への協力依頼 ・情報の提供

まず最優先すべきは、感染が疑われる端末を社内ネットワークから物理的に切り離すことです。LANケーブルを抜き、Wi-Fi機能をオフにして、マルウェアの拡散を防止します。

この際、重要なのは端末の電源を落とさないことです。電源を切ってしまうとメモリ上の証拠が消失し、後の調査が困難になります。また、勝手にファイルを削除したり、システムを復元しようとする行為も避けてください。

次に、あらかじめ策定しておいたインシデント対応計画（CSIRP）に従って、情報システム部門やCSIRT（Computer Security Incident Response Team）に速やかに報告します。

報告の際は、

• いつ、どのような症状に気づいたか
• どの端末が影響を受けているか
• どのような操作をした後に発生したか

などの情報を正確に伝えることが重要です。

同時に、最寄りの警察署サイバー犯罪対策課や情報処理推進機構（IPA）などの専門機関への相談・通報も行います。専門家の助言を仰ぐことで、適切な対応策を講じることができるでしょう。

被害端末を即座にネットワークから物理的に隔離する措置

ランサムウェア感染が疑われる端末を発見した場合、最初に行うべき対応は即座にネットワークからの物理的隔離です。感染端末がLANケーブルで接続されている場合は直ちにケーブルを抜き、Wi-Fi接続の場合は機内モードに切り替えるか無線機能をオフにしましょう。

この措置は他の端末への感染拡大（横展開）を防ぐために極めて重要です。同時に、USBメモリや外付けHDDなどの外部ストレージも直ちに取り外し、共有フォルダやNASとの接続も切断してください。

感染の範囲が不明確な場合や、複数の端末での異常が確認された場合には、より大きな対応として組織全体のネットワークをインターネットから一時的に切断する判断も必要になります。これは業務に影響を与える可能性がありますが、被害の拡大を防ぐためには躊躇せず実行すべき措置です。

隔離後は端末の電源を切らず、画面の状態を保存するためにスクリーンショットを撮影しておくことも有効です。これらの初動対応の速さが、被害の規模を最小限に抑える鍵となります。

証拠保全のために端末の電源を切らずに担当部署へ報告

ランサムウェアの感染が疑われる場合、端末の電源をすぐに切ってしまうのは大きな間違いです。メモリ上には重要な証拠や復旧に必要な情報が残っている可能性があるため、強制終了せずに現状を維持することが重要です。

感染の疑いがある端末を発見した場合は、まずネットワークケーブルを抜くなどして隔離した上で、画面の状態をスマートフォンなどで撮影しておきましょう。OSのログやセキュリティソフトのアラート情報は、後の調査で感染経路や被害範囲を特定する貴重な手がかりとなります。

また、自己判断でファイルの削除や復元作業を試みることは避け、速やかに社内の情報システム部門やCSIRT（Computer Security Incident Response Team）などの担当部署に報告してください。多くの企業ではインシデント対応計画が策定されており、責任者への報告フローが定められています。正確な状況を伝え、指示を仰ぐことで、組織として適切な対応が可能になります。

最寄りの警察署や専門機関への速やかな相談・通報

ランサムウェア被害を確認したら、自社を管轄する警察署のサイバー犯罪相談窓口への通報が最優先事項です。全国の都道府県警察本部にはサイバー犯罪対策課が設置されており、専門的な対応が可能です。また、警察庁のサイバー犯罪相談窓口やオンライン受付も利用できます。

通報の際には、被害状況を正確に伝えるために以下の情報を準備しておくと効果的です。

また、独立行政法人情報処理推進機構（IPA）やJPCERT/CCといった専門機関への連絡も重要です。これらの機関は技術的な助言や、同様の被害を防ぐための情報共有を行っています。特にIPAの「情報セキュリティ安心相談窓口」では、復旧に向けた具体的なアドバイスを受けられます。早期の通報は、被害の拡大防止だけでなく、犯罪者の特定や類似被害の防止にも貢献します。

まとめ

ランサムウェアは企業の事業継続を脅かす深刻なサイバー脅威です。攻撃手法は日々巧妙化し、特に標的型攻撃へのシフトや二重恐喝など、被害の質が変化しています。

効果的な対策としては、

• 定期的なソフトウェアの更新
• オフラインバックアップの実施
• 多要素認証の導入
• 従業員への継続的な教育

が重要です。

万が一感染した場合は、被害端末の即時隔離、証拠保全、専門機関への相談という手順を踏むことが被害最小化につながります。サイバーセキュリティは「いつか起こるかもしれない」ではなく「いつか必ず起こる」問題として捉え、事前の備えと迅速な対応体制の構築を経営課題として優先すべきでしょう。