ランサムウェアとは？会社の業務が止まる仕組みと備えを順に解説します

ランサムウェアとは、端末やサーバーのデータを暗号化して使えなくし、元に戻す対価として金銭や暗号資産を求める不正プログラムです。警察庁の説明によると、近年はデータを盗んだ上で公開すると脅す二重恐喝が、被害の多くを占めます。

今日やることは、紙1枚⁠の書き出しです。止まると一番困る業務を3つ挙げ、それぞれを動かしているサーバーやクラウド、データの置き場所、バックアップの保管先を横に書きます。埋まらない欄が、備えを始める場所です。

ファイルが開かないだけで済まないのはなぜ？

画面に脅迫文が出た時点で、攻撃はすでに終わりに近づいています。警察庁の2026年上半期の資料は、代表的な流れを次の順に示しています。

1. VPN機器など、インターネットに露出した箇所から社内のネットワークへ入る
2. 管理者権限の奪取やセキュリティの無効化を試みながら、重要なデータとバックアップを探す
3. データをクラウドなどへアップロードして盗む
4. ランサムウェアを起動して暗号化する
5. 脅迫状を残して支払いを求め、ログや使った道具の痕跡を消す

会社が最初に気づくのは、たいてい4か5です。IPAのランサムウェア被害から学ぶ教訓集も、データの暗号化で気づいた時点は事案の最終段階であり、時間の余裕が限られると説明しています。

だから被害は「ファイルを戻せば終わり」⁠になりません。暗号化で仕事が止まる問題と、盗まれた情報が公開される問題の2つを、同時に抱えます。

警察庁の統計データでは、2026年上半期に手口別で集計された66件⁠のうち、61件⁠が二重恐喝型でした。暗号化せずにデータを盗んで対価を求める「ノーウェアランサム」⁠も⁠、別に9件報告されています。

会社の一日のどこで止まる？

業務の止まり方は、システムのつながり方で決まります。たとえば、受注から出荷までを社内のサーバーで管理している部品メーカーの場合で考えます。実際の会社の記録ではなく、説明のための流れです。

機械そのものが無事でも、何を、いくつ、いつまでに作るかが分からなければ、ラインを回す判断ができません。ここが、製造業で業務が止まりやすい理由だと私たちは見ています。

図面の扱いにも注意が要ります。取引先から預かった図面や仕様書が共有サーバーにあれば、盗まれた可能性は自社だけの問題で終わりません。

実際に公表された例でも、影響は受注と出荷に及びました。警察庁の2025年の資料は、飲料メーカー大手の事案で、製品の受注・出荷が停止したことと、約191万件⁠の個人情報が漏えい又はそのおそれがあることを紹介しています。政府広報オンラインも、大手メーカーで受発注システムが感染し、工場の操業を一時停止した事案に触れています。

被害はどのくらい起きている？

被害は会社の大きさで線を引けません。警察庁によると、2026年上半期の被害報告は123件で、統計を取り始めた2020年下半期以降の半期で最多です。2025年⁠は年間で226件でした。

IPAの情報セキュリティ10大脅威 2026でも、組織向けの1位⁠はランサム攻撃による被害です。この脅威は11年連続で選ばれています。

費用と期間は、被害に遭った組織へのアンケートで確かめられます。回答した組織だけの数字で、全体の平均ではありません。

• 調査と復旧の費用：回答35件⁠のうち21件⁠が1,000万円以上⁠。1億円以上は4件
• 復旧の期間：回答48件⁠のうち、1か月未満で復旧したのは23件⁠。調査時点で復旧中が13件

身代金を払えば元に戻る？

支払いは解決策として計算に入れないほうが安全です。警察は「復号が保証されるわけではない」「犯罪グループ等の活動資金となることが懸念される」⁠と被害者に説明しています⁠。

JPCERT/CCのFAQも、支払いを選択するべきではないとしています。理由は、ファイルが戻る保証がないこと、侵入の原因が残ったままであること、支払った後に別の攻撃や要求を受ける恐れがあることです。

盗まれた情報についても同じです。IPAの教訓集は、支払ってもデータの回復や暴露の中止は保証されないという前提で備えるよう書いています。

何を備えておけばよい？

備えは、攻撃の流れに合わせて3つ⁠に分けると整理しやすくなります。入口を塞ぐ、社内での広がりを止める、データを戻せるようにする、の3つです。自社の穴の見つけ方は、入口・拡大・復旧の順に見る点検表⁠にまとめました。

• 入口：多くの被害がVPN機器とリモートデスクトップから始まります。機器の見直し方はVPNとRDPの点検手順で扱います
• 広がり：侵入後の不審な動きを見つける仕組みです。IPAは従来型のウイルス対策ソフトだけでは十分に検知できない場合があるとしています。EDRの製品比較で、検知の後に誰が対応するのかまで見てください
• 戻す：バックアップは、暗号化されない形で保管し、実際に戻せるか試すところまでが備えです。法人向けバックアップの製品比較が、方式の違いを見るときの入口になります
• お金：調査や復旧の費用をどう賄うかも決めておきます。サイバー保険の比較で、補償の範囲と事故時の支援を確かめられます

IPAが紹介するサイバーセキュリティお助け隊サービスのように、見守りや駆けつけ、保険をひとまとめにした中小企業向けの民間サービスもあります。専任の担当者がいない会社では、候補に入ります。

社長が先に決めておくことは？

技術の対策と並んで、社長にしか決められないことがあります。IPAの教訓集は、発覚の直後から業務の中断や脅迫、メディア対応で経営判断を迫られるとして、次の準備を挙げています。

• 判断の基準と、誰が決めるかをあらかじめ整えておく
• 情報システムだけでなく、総務、広報、法務、営業まで役割を分けておく
• システムを止める、戻すの判断に、事業部門が加わる形を業務継続計画に入れる
• 個人情報を含むデータの台帳を作っておく

台帳が要るのは、盗まれたデータや暗号化されたデータの中身を後から特定するのが、調査をしても難しいことが多いからです。

それでも被害が起きたときは、感染した直後の1時間⁠の動き方⁠に沿って動けるように、連絡先まで紙にしておきます。冒頭の書き出しの紙と並べておけば、社内で話し合う材料になります。ほかのテーマはランサムウェア対策のカテゴリ⁠にまとめています。