ランサムウェア対策ソフトで防げるのか？入れても残る穴と足す手順を解説

ランサムウェア対策ソフトは必要ですが、それだけでは被害を防ぎ切れません。ソフトの主な持ち場は端末やサーバーの上で、侵入の入口になる機器の穴や、盗まれた権限の悪用、消えたデータの復旧までは補えないからです。

今日やることは、管理画面か台帳で2つ⁠の数を出すことです。社内のパソコンとサーバーの総数、そのうち対策ソフトが動いて更新されている台数です。差があれば、そこが最初の穴です。

統計では対策ソフトはどこまで効いている？

警察庁の2026年上半期の統計には、被害を受けた組織の回答が載っています。

導入している組織でも被害を受け、検出がなかったという回答が多数を占めます。

ただし、ここから「ソフトは効かない」⁠と⁠は読めません。統計に載るのは被害を受けた組織だけです。ソフトが途中で止めて被害にならなかった攻撃は、この数字に入りません。分かるのは、導入だけでは被害を防ぐ保証にならない、という点までです。

ソフトを外す理由にはならず、ほかの対策を足す理由になります。警察庁のランサムウェア対策のページも、ウイルス対策ソフトやEDR、ネットワーク監視製品の導入は有効としつつ、導入するだけでなく最新の状態に保ち、適切に運用するよう求めています。

入れても残る穴はどこ？

穴は、攻撃の流れに沿って見ると分かります。警察庁の2026年上半期の資料⁠が示す代表的な流れに、ソフトの届きにくい部分を重ねました。この表の整理は私たちの見方で、製品ごとの性能比較ではありません。

入口：VPN機器にはパソコン用のソフトが入らない

同じ統計で、侵入経路が分かった36件⁠の内訳は、VPN機器が18件⁠、リモートデスクトップが9件⁠、その他が9件でした。VPN機器のようなネットワーク機器は、パソコン用の対策ソフトを入れて守る対象とは別に考える必要があります。

更新も同じです。侵入経路とされる機器のセキュリティパッチについて、回答のあった29件⁠のうち17件⁠に未適用のものがありました。入口の機器は別の管理項目として扱う必要があります。

権限：奪われると正規の操作に見える

警察庁の資料には、攻撃者が管理者権限の奪取やセキュリティの無効化を試みる流れが書かれています。2024年上半期の資料は、正規のアプリから悪意のあるファイルを読み込ませる手法について、ウイルス対策ソフトからは正規のアプリの実行に見えるため検出が難しいと説明しています。

ソフトの力が足りないというより、見分けにくい動きがあるということです。

設定：機能があってもオフのことがある

ソフトや機能を持っていても、有効にしていなければ働きません。例として、Microsoft Defender のフォルダーアクセス制御は、信頼されたアプリだけに保護フォルダー内の変更を許す機能です。Microsoftの説明では、これは既定でオフです。業務アプリを止めないよう、影響を確かめてから使うものでもあります。

自社のソフトにも、同じように確かめる項目があるはずです。入っている製品の管理画面で、ランサムウェア向けの保護機能が有効か、利用者が停止できる設定になっていないかを見ます。

復旧：防げなかったときの備えはソフトの外にある

ソフトが守り切れなかった場合、頼りになるのはバックアップです。ところが統計では、復元結果の回答40件⁠のうち、戻せたのは11件でした。理由と取り方は一緒に暗号化されないバックアップの取り方⁠で詳しく扱っています。

何をどの順番で足す？

順番は、費用の大きさではなく、穴の大きさと始めやすさで決めます。公的に定まった順序ではなく、警察庁やIPAの資料が挙げる対策を、専門家が社内にいない会社向けに私たちが並べたものです。

1. 今のソフトを全台で動かす。サーバー、古いパソコン、休眠中の端末も確かめる
2. 入口を点検する。VPN機器の更新、不要な外部接続の停止、多要素認証を行う
3. 権限を絞る。管理者アカウントを減らし、ふだんの業務には使わない
4. バックアップを分ける。オフラインの世代を持ち、戻す試験をする
5. 検知の幅を広げる。EDRを検討し、通知を見る人と夜間の扱いを決める
6. 手順を試す。異変の連絡から復旧までを訓練する

4を5より先にしたのは、検知が間に合わなかったときでも事業を立て直せるからです。逆に、すでにバックアップと権限の整理が済んでいる会社なら、EDRから始めても構いません。

1で全台が動いているなら、新しい製品を買う前に2と3へ進めます。ここは製品代より、確かめる時間が主な負担です。

EDRは何を足すもので、何が要る？

EDRは、端末で起きた動きを記録し、攻撃の兆しを見つけて調査と対応につなげる製品です。MicrosoftのEDR機能の説明では、侵害を想定してプロセスやネットワークの活動などを継続的に集め、検出時にアラートを出し、アナリストが調査する流れになっています。

ここで大切なのは「アナリストが調査する」⁠の部分です。通知が来ても、見る人がいなければ止まりません。導入前に次の点を決めます。

• 通知を誰が受けるか。夜間と休日はどうするか
• 重要な通知が来たら、誰の判断で端末を切り離すか
• 自社で見られないとき、監視を外部に任せられるか
• どのプランで、どの対応機能まで使えるか

最後の点は製品ごとに違います。同じMicrosoftの説明でも、Defender for Endpoint Plan 1 と Defender for Business の手動対応は一部の操作に限られる、と書かれています。製品名だけで判断せず、契約に含まれる機能を確かめます。

機能と運用の負担を並べて見るには、EDRの製品比較が使えます。今の対策ソフトそのものを見直すならセキュリティソフトの製品比較です。

工場のパソコンに入れられないときは？

製造業では、ソフトを入れにくい端末が残ることがあります。たとえば、検査装置や加工機につながった専用のパソコンの場合です。動作保証の条件で、ソフトの追加や更新を制限されていることもあります。

この場合に、黙って例外にするのが一番困ります。台帳に載せて、次の4点⁠を決めます。

• 装置のメーカーに、入れられるソフトと更新の条件を聞く
• 事務用のネットワークから分け、通信先を必要な範囲に絞る
• USBメモリなどでデータをやり取りするときの手順を決める
• 設定と専用ソフトの控えをオフラインで持つ

ソフトを入れられなくても、つながる範囲を絞ることはできます。工場側の対策は装置ごとに事情が違うので、作業の前に保守の会社と確かめてください。

導入後に何を毎月見る？

入れた後の確認項目は、多くなくて構いません。次の4つ⁠を毎月、数字で見ます。

• ソフトが動いている台数と、総台数の差
• 定義ファイルやソフトの更新が止まっている端末
• 検知した件数と、未対応のまま残っている件数
• VPN機器など入口の機器で未適用の更新

検知が0件⁠のときこそ、ソフトが動いているのかを確かめます。社員が異変に気づいたときの連絡は感染画面と社員が気づく兆候に、止まった場合の損失の計算は復旧にかかる期間と費用の見積もり⁠に載せました。

バックアップの製品を比べるなら法人向けバックアップの比較、対策全体の位置づけはランサムウェア対策のカテゴリ⁠にまとめています。ソフトを入れて終わりにせず、次の一つを足す判断に使ってください。

参考にした公的な枠組みは？

対策の全体像は、IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版⁠で確かめられます。第4.0版では最初に取り組む項目が6か条になり、バックアップが加わりました。IPAの10大脅威2026では、組織向けの1位⁠が引き続きランサム攻撃による被害です。

自社の点検票を作るときは、製品のカタログより先に、こうした資料と今日数えた台数の差を見比べると、足りない順番が見えてきます。