ランサムウェア対策：入口を塞ぎ、広がりを止め、戻せるようにする順番

ランサムウェアとは、データを暗号化して使えなくし、元に戻す対価を要求する不正プログラムです。最近はデータを盗んだうえで「公開されたくなければ払え」⁠と迫る二重恐喝が多くを占めると、警察庁の令和8年上半期の報告⁠は説明しています。

何から手を付けるか

順番は、入口を塞ぐ、広がりを抑える、戻せるようにする、起きたときの動きを決める、です。

1. VPN機器とリモートデスクトップを書き出す
2. 更新の状況を確かめ、使っていないものは止める
3. 社外から入るアカウントに多要素認証を付ける
4. 管理者の権限を持つアカウントを減らす
5. バックアップを切り離して保管し、復元を試す
6. 事故のときの連絡先と判断する人を1枚に書く

統計で見る、入口の偏り

入口はかなり偏っています。警察庁の報告の統計編では、令和8年上半期の感染経路は有効回答36件⁠のうち、VPN機器が18件⁠、リモートデスクトップが9件でした。過去5年⁠の合計でも、485件⁠のうちVPN機器が293件⁠、リモートデスクトップが105件です。

報告の本文は、インターネットに露出した箇所から遠隔操作で侵入する手口が多くを占め、メールの添付ファイルによる感染は少なくなっていると述べています。使われるのは、修正していない弱点や、漏えいした認証情報です。

だから最初の仕事は難しいものではありません。社外から社内に入れる機器が何台あり、誰が管理し、いつ更新したのかを一覧にすることです。工場の設備メーカーが保守のために置いた接続口も、忘れずに数えます。

入口の見直しは法人向けVPNの更新時期に合わせて考えると、費用の話がまとまりやすくなります。詳しくはネットワーク・ゼロトラスト⁠で扱います。

入られたあとに、何が起きるのか

報告が示す代表的な流れはこうです。攻撃者は侵入したあと、管理者権限の奪取とセキュリティ機能の無効化を試み、内部を探索して重要なデータやバックアップを探します。データを外へ持ち出してから暗号化し、脅迫文を残して痕跡を消します。

この流れからわかるのは、止められる場面が入口だけではないことです。管理者の権限を絞っておけば広がりにくくなり、EDRのように端末の不審な動きを記録する仕組みがあれば、暗号化の前に気づける可能性があります。

戻せるバックアップとは

バックアップの統計には、はっきりした傾向があります。令和8年上半期は、有効回答50件⁠のうち44件⁠がバックアップを取っていました。ところが復元の結果を答えた40件⁠のうち29件は、復元できませんでした。過去5年⁠の合計でも547件⁠のうち427件⁠が復元不可です。

攻撃者がバックアップも探すことを考えると、同じネットワークに置いたままでは足りません。IPAの10大脅威の解説書は、対策として取得の日時と頻度を検討した運用を挙げ、バックアップ自体を書き換えられにくくする機能にも触れています。

止まる期間を見積もっておく

報告によると、復旧に1か月未満で済んだ組織は全体の5割弱でした。受注、生産計画、出荷のどの仕組みが何日止まると取引先に影響するのか。これを平時に出しておくと、バックアップの頻度も決めやすくなります。

たとえば受注データが1日⁠分消えても電話とメールで取り戻せるなら毎日の取得で足りますが、生産計画が消えて工程が組めなくなるなら、もっと細かく取る必要があるかもしれません。

身代金を払うかどうかは、社内だけで決めない

事故の最中に、初めてこの判断を考えるのは大変です。払ってもデータが戻る保証はなく、盗まれたデータが公開されない保証もありません。一方で、業務の停止が長引くほど、経営の圧力は強くなります。

私たちが言えるのは、社長と担当者だけで決めないことです。警察、弁護士、調査会社、加入していれば保険会社に相談して判断します。だから連絡先を平時に揃えておきます。戻せるバックアップがあれば、この判断に追い込まれる場面そのものが減ります。

感染したときに、慌てないために

機器をネットワークから切り離し、担当者に連絡し、証拠を消さないこと。この3つ⁠を社員全員に伝えておきます。JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」⁠と⁠、IPAの不正アクセス特別相談窓口は、平時のうちに連絡先へ入れておきます。

原因の調査を頼むフォレンジック調査や、費用を補うサイバー保険を考える場合も、事故の前に比べておくほうが落ち着いて選べます。連絡体制の作り方は監視・運用・社内体制に、全体の順番はセキュリティ対策の全体像⁠に書きました。