ランサムウェアの仕組みをやさしく解説　侵入から脅迫までの5段階と止める手

ランサムウェアとは、社内のデータを暗号化して使えなくし、元に戻す対価を要求する不正プログラムです。今の攻撃は1台⁠の感染で終わらず、侵入、権限の奪取、情報の窃取、暗号化、脅迫の5段階で進みます。

今日やることは、社外とつながる入口の一覧を作ることです。VPN機器、リモートデスクトップ、保守会社のための接続を書き出し、それぞれの持ち主と最後に更新した日を埋めます。埋まらない行が、最初に確かめる場所です。

5段階の分け方は、警察庁の令和8年上半期の資料⁠にある攻撃の代表的な流れを、私たちが対策と対応させやすいように整理したものです。警察庁も、手口は実行者によって様々だと書いています。全体の対策はランサムウェア対策のカテゴリ⁠にまとめています。

5段階と止める手を一覧で見る

早い段階で止めるほど被害は小さくなります。ただ、警察庁は攻撃を完全に防ぐのは困難だとしており、後ろの段階の備えも要ります。

第1段階：どこから入られるのか？

今の主な入口はメールではなく、インターネットに出ている機器です。警察庁は、遠隔操作で内部に侵入する手口が多くを占め、標的型メールの添付ファイルによる感染は少なくなっていると説明しています。

令和8年上半期の統計データでは、経路の回答36件⁠のうち、VPN機器が18件⁠、リモートデスクトップが9件でした。不明と未回答を除いた数で、母数は多くありません。

入られ方は、未修正の弱点、漏れたIDと簡単なパスワード、設定の不備です。だから対策も、機器を最新にする、多要素認証にする、使っていない入口を閉じる、の3つ⁠に集まります。古い機器を入れ替えるなら、法人向けVPNの製品比較で違いを確かめられます。

第2段階：入られたあと、社内で何が起きるのか？

攻撃者は、より広く触るために管理者の権限を奪い、セキュリティ製品の無効化を試みます。同時に社内を調べ、重要なデータとバックアップの場所を探します。警察庁の資料が「バックアップを物色」⁠と書いている点は、覚えておく価値があります。

ここで効くのは、管理者IDを増やさないことです。警察庁も、権限と触れる範囲を最小にし、管理者権限の付与先を絞るよう求めています。共用の管理者IDが残っている会社は、特権ID管理（PAM）⁠の製品比較が参考になります。管理者権限の貸し出しや操作の記録の違いを見比べられます。

侵入に気づく手段は、端末側とネットワーク側に分かれます。端末の不審な動きを見るのがEDRの製品比較、社内の通信の異常を見るのがNDRの製品比較です。警察庁は、不審な挙動を検知して遮断できれば深刻な被害を防げる可能性があるとする一方、導入するだけでなく最新に保ち、適切に運用する必要があるとしています。通知を誰が見るかを決めないまま入れても、役に立ちません。

第3段階：なぜ暗号化より先に情報を盗むのか？

暗号化だけなら、バックアップから戻した会社は脅せません。そこで攻撃者は、先にデータをクラウドなどへ持ち出します。「対価を支払わなければ公開する」⁠と迫る二重恐喝が、警察庁によれば被害の多くを占めています。

IPAの解説は、暗号化をせずに盗んで脅す「ノーウェアランサム」⁠に⁠も触れています。ファイルが普通に開けても、被害が無いとは言い切れません。

この段階の対策は地味です。全員が全部のフォルダーを見られる状態をやめる。退職者のIDを消す。使わなくなった古いデータを置き続けない。持っていない情報は漏れません。

第4段階：バックアップがあれば戻せるのか？

取っているだけでは足りません。同じ統計データでは、取得していたと答えたのが50件中44件でした。一方、復元の結果を答えた40件⁠のうち、復元できなかったのが29件です。理由は「バックアップの暗号化・消去」⁠が14件⁠、「運用の不備」⁠が8件でした。

対策は、攻撃者の手が届かない場所に1つ置くことと、実際に戻してみることです。警察庁はネットワークから切り離した保存を、IPAは書き換えできないWORM機能や復旧訓練を挙げています。社内のNASを使っている場合の設定は、NASのランサムウェア対策とスナップショットの設定⁠で扱います。

第5段階：脅迫されたら、まず何をするのか？

脅迫文を置いたあと、攻撃者はログや使った道具の痕跡を消して終わります。だから、ログを攻撃者の触れない場所へ日頃から残しておくと、後の調査の材料になります。

身代金について、IPAは原則として支払わずに復旧するよう求めています。支払ってもデータ復元や流出防止の保証はなく、別の攻撃者から再び狙われるおそれがあるためです。

相談先は先に控えておきます。警察は最寄りの警察署かサイバー犯罪相談窓口、IPAには企業向けの相談窓口⁠があり、初動の助言や対応業者の一覧の紹介を受けられます。情報の流出で何が起き、どう発表したかは、KADOKAWAの公式発表を読み解いた記事⁠が参考になります。

製造業の会社で5段階を当てはめると？

たとえば、部品加工の会社が、設備メーカーの遠隔保守のためにVPNを開けている場合で考えます。

• 入口：保守用のVPN機器。更新の担当者が社内にいない
• 権限：サーバーの管理者IDを複数人で共用している
• 窃取の対象：ファイルサーバーの図面、見積もり、取引先との契約書
• 暗号化の対象：生産管理と受発注のサーバー
• 脅迫のあと：取引先への納期の連絡を誰がするか決まっていない

こう書き出すと、やることが製品選びの前に見えてきます。保守の接続は使うときだけ開ける。管理者IDを人ごとに分ける。図面フォルダーの権限を見直す。受発注が止まった場合の連絡手順を紙に残す。自社が止まると取引先にも影響が及ぶ点は、トヨタの工場停止と部品メーカーの被害を整理した記事⁠で扱います。

被害の数字はどのくらいか？

攻撃の仕組みを知る目的なので、数字は規模の確認にとどめます。警察庁によると、令和8年上半期の被害報告は123件で、半期としては統計開始以降で最多です。規模別では中小企業が約6割⁠、業種別では製造業が約3割⁠を占めます。

復旧に総額1,000万円以上かかった組織は全体の6割で、1か月未満で復旧できた組織は5割弱にとどまります。いずれもアンケートに答えた組織の数字です。IPAの情報セキュリティ10大脅威2026でも、組織編の1位⁠はランサム攻撃による被害でした。

予算が限られるなら、どこから手を付けるか？

私たちなら、第1段階の入口の点検と、第4段階の消されないバックアップから始めます。前者は入られる機会を減らし、後者は入られても事業を続ける手段を残すからです。どちらも、新しい製品を買う前に今の状態を確かめることから始められます。

検知の製品は、そのあとで構いません。通知を受ける担当と、夜間や休日の対応を決めてから比べると、自社に合う形が選びやすくなります。