ランサムウェアは、感染した端末やシステム内のデータを暗号化し、復号と引き換えに金銭などを要求する不正プログラム（マルウェア）の一種です。単なるマルウェア感染にとどまらず、業務停止や情報漏えい、社会的信用の失墜など、組織全体に深刻な影響を及ぼします。

本章では、ランサムウェアの定義と基本的な仕組み、被害が拡大する背景を整理します。

ランサムウェアの定義と基本的な仕組み

ランサムウェアとは、「身代金（ランサム）」と「ソフトウェア」を組み合わせた造語で、感染した端末やシステム内のデータを暗号化し、その復号と引き換えに金銭などを要求する不正プログラムです。警察庁では、ランサムウェアを次のように定義しています。

なお、ランサムウェアは「不正プログラム（マルウェア）の種類」を指す言葉です。一方で近年よく使われる「侵入型ランサムウェア」は、マルウェアの別種を意味するのではなく、攻撃の進め方に着目した呼び方です。以降では、この「侵入（入口の突破）→内部活動→被害実行」という流れも意識しながら整理します。

ランサムウェアは主に、PCなどのエンドポイントデバイスに侵入し、対処が遅れるとネットワークを経由して他の端末やサーバーへと被害を拡大させます。暗号化には AES や RSA などの高度な暗号技術が用いられるため、復号鍵がなければ被害者自身でデータを元に戻すことは現実的に困難です。

ランサムウェアは、一般的に次のようなプロセスで被害を拡大します。

1. 侵入（入口の突破）

攻撃者は、フィッシングメール、改ざんされたWebサイト、不正リンクなどを通じて、組織のエンドポイントやサーバーへの侵入を試みます。近年の侵入型ランサムウェアでは、単に不正プログラムを送り込むだけでなく、業務用ソフトウェアの脆弱性や不適切なアクセス権限設定、VPN・RDPなどのリモートアクセス経路が悪用されるケースも多く確認されています。

2. 内部活動（権限昇格・横展開など）

侵入に成功すると、攻撃者は組織内部で活動を開始します。管理者権限の奪取（権限昇格）や、他の端末・サーバーへの横展開を行い、被害範囲を拡大します。この段階では、正規ツールや認証情報が悪用されることも多く、管理者が異常に気づきにくい点が特徴です。

3. 暗号化・身代金要求（＋二重恐喝など）

十分な内部展開が進んだ後、文書ファイルやデータベース、業務システムなどが一斉に暗号化され、利用不能な状態に陥ります。その後、画面上にメッセージが表示され、復号鍵と引き換えに身代金の支払いが要求されます。近年は、暗号化に加えて、事前に窃取した機密データを公開すると脅す「二重恐喝」などの手口も確認されています。

4. 再侵入に備えた仕掛け（バックドア等）

一部のランサムウェアでは、復旧後の再侵入に備え、バックドアや不正な管理アカウントを残すケースがあります。このため、表面的な復旧だけでは根本的な解決に至らず、再度攻撃を受けるリスクが残ることがあります。

この一連の流れが短時間で行われるため、感染後の復旧や再発防止は容易ではありません。

ランサムウェアの情勢と被害の拡大

ランサムウェア被害は国内外で急増しています。警察庁によると、2021年以降、企業や団体における被害報告は高水準で推移しています。また、IPAの「情報セキュリティ10大脅威 2024」では、2023年の組織向け脅威の1位が「ランサムウェアによる被害」とされています。

近年は、「二重恐喝」と呼ばれる手口が増加しています。これは、身代金を要求するだけでなく、支払いに応じない場合に窃取した機密データを公開すると脅迫するものです。さらに、データを暗号化せず、公開を脅し文句とする「ノーウェア（暗号化なしの恐喝型）ランサム」も確認されています。

ランサムウェアの進化と社会的影響

ランサムウェアが初めて確認されたのは、1989年の「AIDS Trojan」です。初期はフロッピーディスクを介した感染が主流で、暗号化技術も限定的でした。

その後、インターネットの普及により無差別に感染を広げる「ばらまき型」攻撃が登場し、近年では特定の企業や組織を狙う「標的型」、侵入してから内部で準備を進める「侵入型」へと攻撃手法が高度化しています。暗号化技術の高度化に伴い、被害は経済的損失にとどまらず、社会的責任や法的リスクにまで及ぶようになりました。

例えば、情報漏えいが発生した場合には法的責任を問われる可能性があり、医療機関では診療システムの停止が患者の生命に影響を及ぼすおそれもあります。

現在、ランサムウェアは経済活動や社会インフラを脅かす、極めて深刻な脅威となっています。

ランサムウェア対策では、事前に感染を防ぐことが最も重要です。しかし、どれほど対策を講じていても、感染リスクを完全にゼロにすることはできません。本章では、万が一ランサムウェアに感染した場合、企業内で何が起こるのかを具体的に整理します。

データの暗号化とシステムロック

ランサムウェアに感染すると、PCやサーバーに保存されているデータや業務システムが暗号化され、利用できなくなります。暗号化されたファイルやシステムには通常の方法ではアクセスできません。
多くのランサムウェアでは、AESやRSAといった高度な暗号技術が用いられるため、被害者が自力で暗号を解除（復号）することは現実的に困難です。さらに感染が拡大すると、同一ネットワーク上のPCや各種サーバーにも影響が及び、企業全体で業務が停止してしまうケースも少なくありません。
このような状況では、復旧作業に多大な時間とコストを要し、通常業務の再開まで長期間を要することもあります。

身代金要求のメッセージと支払い要求

データやシステムの暗号化が完了すると、画面上に身代金の支払いを要求するメッセージが表示されます。多くの場合、「暗号化を解除するための鍵を提供する代わりに、身代金を支払うよう指示する」内容です。
支払い方法には、追跡が困難な暗号資産（ビットコインやイーサリアムなど）が指定されるケースが増えています。また、期限内に支払いが行われなければ、データを完全に削除する、あるいは復旧不能にすると脅されることもあります。
ただし、要求通りに身代金を支払ったとしても、データが確実に復旧する保証はありません。復号鍵が提供されない、あるいは提供されても正常に復号できないといった事例も報告されています。

感染後の企業への影響

ランサムウェア感染後、企業は深刻な経営リスクに直面します。業務停止による直接的な経済損失に加え、取引の遅延や機会損失が発生する可能性があります。
また、攻撃者によってデータが窃取され、情報漏えいが発生した場合には、個人情報保護法などの法令に基づく対応や、賠償責任が生じることもあります。さらに、顧客や取引先からの信頼低下により、長期的な事業活動に悪影響を及ぼすケースも少なくありません。
このように、ランサムウェア被害は一時的なITトラブルにとどまらず、企業経営そのものに大きな影響を与えるリスクとなります。

ランサムウェアは、単一の手口ではなく、複数の感染（侵入）経路を組み合わせて企業ネットワークへ入り込みます。本章では、特に被害報告が多い代表的な感染経路を整理します。

VPN機器の脆弱性を利用した感染

VPN（Virtual Private Network）は、社外から社内ネットワークへ安全に接続するための仕組みです。しかし、設定不備や運用管理の甘さがあると、攻撃者にとって格好の侵入口となります。
特に、ファームウェアが更新されていないVPN機器や、不要なアカウントが残ったままの状態では、ネットワーク全体の脆弱性につながります。警察庁の調査によると、2024年上半期のランサムウェア感染経路のうち、47件中22件（47％）がVPN機器を経由したものでした。これは、リモートアクセス環境が主要な攻撃対象となっていることを示しています。

リモートデスクトッププロトコル（RDP）の悪用

リモートデスクトッププロトコル（RDP）は、遠隔地からPCやサーバーを操作するための通信プロトコルです。リモートワーク環境の普及により、業務効率化の手段として広く利用されています。
一方で、認証情報の漏えいや弱いパスワード設定、アクセス制御の不備といった問題があると、不正アクセスのリスクが高まります。警察庁の調べでは、2024年上半期のランサムウェア感染経路のうち、47件中17件（36％）がRDPを経由したものでした。VPNとあわせると、リモートアクセス関連の経路が全体の8割以上を占めていることになります。

フィッシングメールと添付ファイルによる感染

フィッシングメールは、依然として代表的な感染経路の一つです。攻撃者は、契約書や請求書の送付を装うなど、業務メールと見分けがつきにくい内容でメールを送信し、添付ファイルの開封やリンクのクリックを誘導します。
特に近年は、特定の企業や担当者を狙った標的型攻撃が増えており、従業員一人の操作ミスが組織全体の感染につながるケースも少なくありません。

ソフトウェアの脆弱性を狙った攻撃

ランサムウェアは、OSやアプリケーション、ネットワーク機器の脆弱性を悪用して侵入します。未更新のソフトウェアにはセキュリティホールが残りやすく、攻撃者はこれを突いて不正アクセスを行います。
特に、修正パッチが公開される前の脆弱性を悪用する「ゼロデイ攻撃」は、防御が難しく、短期間で被害が拡大するリスクがあります。そのため、定期的なアップデートに加え、未知の脆弱性を前提とした多層的な対策が求められます。

不正なソフトウェアのダウンロード

信頼性の低いWebサイトからのソフトウェアダウンロードや、不正なインストーラーの実行も、ランサムウェア感染の原因となります。攻撃者は、人気のあるアプリケーションを装った改ざんインストーラーを配布し、利用者に気づかれないままマルウェアを侵入させます。
企業内でソフトウェア利用に関するルールや管理が徹底されていない場合、従業員の不用意な操作が感染拡大の引き金になることがあります。

ランサムウェア対策では、単一の施策に頼るのではなく、侵入経路をふさぐ対策と、被害拡大を防ぐ運用を組み合わせて実施することが重要です。本章では、企業が実務として取り組むべき代表的な対策を整理します。

VPN機器の更新とセキュリティ強化

VPN機器は、リモートアクセス環境の要となる一方で、設定不備や管理不足があると大きなリスクとなります。特に、古いファームウェアや未更新の設定は、攻撃者に悪用されやすい状態です。
ファームウェアは定期的に更新し、常に最新の状態を保つことが基本です。また、不要なアカウントやアクセス権限、使われていないVPN設定は無効化し、接続設定を定期的に見直しましょう。加えて、VPN接続ログを監視することで、不正アクセスや異常な挙動を早期に検知しやすくなります。また侵入型では、侵入後に内部へ移動されることも多いため、接続後にアクセスできる範囲を最小化する設計（権限・到達範囲の制御）も重要になります。

RDPのセキュリティ強化

RDP（リモートデスクトップ）は、設定の不備があるとランサムウェア攻撃の標的になりやすいポイントです。弱いパスワードの使用や、インターネットから直接アクセス可能な状態は、ブルートフォース攻撃などによる侵入リスクを高めます。
対策としては、強固なパスワード設定に加え、多要素認証（MFA）の導入が有効です。また、アクセス可能なIPアドレスを限定する、不要なRDP接続は無効化するといったアクセス制御も重要です。利用していないRDPを放置しないことが、不正侵入のリスク低減につながります。

フィッシング対策

フィッシングメールは、依然として主要な感染経路のひとつです。疑わしいメールを受信した場合は、送信者のアドレスやドメインを確認し、不自然な点があれば開封しないことが重要です。
特に、添付ファイルの開封やメール内リンクのクリックは、感染の引き金になりやすいため注意が必要です。加えて、セキュリティソフトやメールフィルタリングを導入し、メールを受信段階でスキャンすることで、ランサムウェアを含むマルウェアの侵入リスクを大幅に低減できます。

ソフトウェアの定期的なアップデート

OSやアプリケーション、ブラウザなどのソフトウェアには、日々新たな脆弱性が発見されています。これらを放置すると、攻撃者に悪用されるリスクが高まります。
定期的に提供されるセキュリティパッチや更新プログラムを適用し、常に最新の状態を維持することが重要です。ネットワーク機器のファームウェアについても同様に、定期的な更新を行いましょう。また、脆弱性スキャンツールなどを併用することで、潜在的なリスクの把握と対策につなげることができます。可能であれば、自動更新機能を活用し、更新漏れを防ぐ運用も検討するとよいでしょう。

正規のソフトウェアを使用すること

エンドポイントデバイスでは、正規のソフトウェアのみを使用することが基本です。信頼性の低いWebサイトや提供元不明のソフトウェアをダウンロードすると、ランサムウェア感染のリスクが高まります。
ソフトウェアを導入する際は、公式サイトや信頼できる提供元から入手し、デジタル署名や提供元の情報を確認することが重要です。あわせて、社内で使用を許可するソフトウェアを明確にし、利用ルールを定めることも、感染リスクの低減につながります。

ランサムウェア対策では、感染を防ぐことが最優先ですが、万が一感染が確認された場合には、初動対応と復旧判断が被害の大きさを左右します。本章では、感染後に取るべき対応を整理します。

感染を確認した際に最初に取るべき行動

ランサムウェア感染が疑われる場合、最初に重要となるのは被害拡大を防ぐための初動対応です。感染を確認したら、対象となるデバイスを速やかにネットワークから切り離し、隔離してください。具体的には、LANケーブルの抜去や無線LANの無効化が有効です。
これにより、ネットワークを介した他の端末やサーバーへの感染拡大リスクを低減できます。一方で、調査や原因特定に必要なログを保全するため、デバイスの電源は原則として切らないようにしましょう。
その後、IT部門やセキュリティ担当部門へ迅速に連絡し、感染範囲や影響度を評価する体制を整えます。システム管理者やセキュリティ担当者が状況を把握し、復旧や再発防止に向けた対応方針を判断することが重要です。初動を適切に行うことで、被害を最小限に抑え、復旧に要する時間やコストの削減につながります。

データ復旧の方法とバックアップの重要性

ランサムウェアに感染した場合でも、定期的に取得されたバックアップがあれば、業務復旧を比較的スムーズに進めることが可能です。暗号化されたデータについても、感染前の状態まで復旧できるケースがあります。
ただし、バックアップデータから復旧を行う前には、バックアップ自体がランサムウェアに感染していないことを必ず確認する必要があります。感染した状態のまま復元すると、再び被害が発生するおそれがあります。
また、単にバックアップを取得するだけでなく、過去の複数時点に遡って復元できるバージョン管理（変更履歴管理）を行っておくことが重要です。これにより、感染時点より前の安全な状態へ戻せる可能性が高まります。

安易に身代金を支払わない

ランサムウェアに感染した場合でも、身代金を支払うことは推奨されていません。支払いに応じたとしても、データが確実に復旧する保証はなく、結果として被害が拡大する可能性があります。また、身代金の支払いは、さらなる犯罪活動を助長することにもつながります。
被害を受けた場合は、デバイスの操作ログや通信ログを保存した上で、速やかに警察のサイバー犯罪相談窓口に通報・相談することが重要です。警察庁では、次のように案内しています。

ランサムウェア被害を正しく理解し、適切な対策を講じるためには、関連するサイバーセキュリティ用語や概念を正確に把握しておくことが重要です。本章では、ランサムウェアと深く関係する代表的な用語を整理します。

• マルウェア
• コンピュータウイルス
• トロイの木馬

ランサムウェア対策の検討において、特に確認されやすい内容をQ&A形式でまとめました。 感染経路の押さえどころから、感染時の初動、バックアップ運用の注意点まで要点を整理しています。