ランサムウェア（Ransomware）は、企業や個人のPC・サーバー・クラウド環境に侵入し、ファイルを暗号化して利用不能にしたうえで「復号のための身代金（ransom）」を要求するマルウェアです。近年は単に暗号化するだけでなく、窃取した情報を公開すると脅す「二重恐喝（double extortion）」が主流化し、被害は金銭面だけでなく、信用失墜・法的責任・事業停止へと波及します。本記事では、ランサムウェアの仕組みと代表的手口、そして現場で効く予防・復旧の要点を専門家の視点で整理します。
ランサムウェアの基本：何が起きるのか
感染すると、端末やサーバー上の文書・画像・データベースなどが暗号化され、拡張子の変更や「README」などの脅迫文（身代金要求メモ）が作成されます。要求は暗号資産（暗号通貨）での支払いが多く、期限を切って金額を引き上げる、被害範囲を拡大する、といった圧力がかけられます。
重要なのは「支払えば元に戻る」とは限らない点です。復号ツールが正常に動作しない、復号キーが提供されない、追加で恐喝される、すでに情報が流出している等のリスクがあります。したがって、対策の中心は“侵入させない”“横展開させない”“暗号化されても復旧できる”の三本柱になります。
なぜ被害が拡大するのか：攻撃者の現代的ビジネスモデル
ランサムウェアは「RaaS（Ransomware as a Service）」として分業化が進んでいます。開発者がランサムウェアを提供し、別の実行犯（アフィリエイト）が侵入・展開を担い、身代金を分配する形です。この仕組みにより、攻撃の数が増え、標的も幅広くなりました。
さらに、暗号化の前段階として、攻撃者は権限昇格・認証情報の窃取・バックアップ破壊・監視回避などを行い、復旧を困難にします。つまり「暗号化」は最終局面であり、その前に検知・封じ込めできるかが被害規模を左右します。
主な侵入経路：まず疑うべき入口
実務上、侵入経路はある程度パターン化しています。以下は優先して点検すべき代表例です。
脆弱なリモートアクセス（VPN/RDP等）
VPN装置やリモートデスクトップ（RDP）の設定不備、弱いパスワード、未適用パッチは格好の入口になります。特にインターネットに露出した管理系ポートは、総当たり攻撃や既知脆弱性の悪用を受けやすい領域です。
フィッシングと悪性添付ファイル
請求書や配送通知を装ったメールから、マクロ付き文書や不正URLへ誘導し、初期侵入を成立させます。最近は生成AIの影響もあり、文面の自然さが増して見分けにくくなっています。
サプライチェーン／管理ツールの悪用
ソフトウェア更新経路や委託先、リモート管理ツール（RMM）を足がかりに侵入されるケースもあります。単一組織の対策だけでは防ぎきれないため、取引先管理や権限分離が重要です。
攻撃の流れ：暗号化までに何が行われるか
典型的には、攻撃者は侵入後すぐに暗号化を始めるのではなく、まず環境調査（AD/資産/共有フォルダ）を行い、管理者権限を狙って横展開します。そのうえで、バックアップの削除・スナップショット破壊・セキュリティソフト停止など「復旧の芽」を潰し、最後に一斉暗号化を実行します。二重恐喝の場合は、暗号化より先に機密情報を外部へ送出（データ持ち出し）する工程が含まれます。
身代金を払うべきか：判断の現実とリスク
法令・規制・契約条件、流出時の通知義務、反社会的勢力・制裁対象との関係など、支払いは単なる経営判断に留まりません。加えて「支払い＝復旧」ではなく、再侵入や追加恐喝のリスクも残ります。基本方針としては、まず封じ込めと復旧を優先し、支払いは法務・セキュリティ・経営が一体で慎重に検討すべき最終手段です。何より、平時のバックアップ設計と復旧訓練があれば、支払いを回避できる可能性が大きくなります。
今日からできる実践対策：優先順位を付けて備える
対策は多岐にわたりますが、効果の高い順に実装することが肝心です。
バックアップの強化（復旧可能性が命綱）
「3-2-1ルール」（データを3つ保持し、2種類の媒体に分け、1つはオフライン/別環境）を基本に、バックアップが改ざんされない設計（イミュータブル、WORM、別アカウント/別テナント）を検討します。加えて、定期的なリストア検証（実際に戻せるか）を行わないバックアップは“保険証書のない保険”になり得ます。
多要素認証と特権アクセス管理
VPN、メール、管理コンソール、クラウド管理者など、侵入されると被害が最大化するポイントに多要素認証（MFA）を必須化します。特権IDの常用を避け、JIT（必要時のみ）や端末制限、アクセスログ監視も組み合わせます。
パッチ運用と資産の可視化
侵入の多くは既知脆弱性の放置から始まります。何がどこで動いているか（資産台帳・SBOM的視点）を把握し、外部公開資産から優先して更新する運用が重要です。
EDR/ログ監視と封じ込め手順
ランサムウェアは暗号化に至るまでの“前兆”が存在します。異常な権限昇格、横展開、バックアップ削除、監査ログ停止などを検知するため、EDRやSIEMでログを集約し、アラート時にネットワーク隔離・アカウント停止・端末隔離ができる手順書を整備します。
メール対策と利用者教育（ただし教育頼みは危険）
訓練や啓発は必要ですが、人的注意だけで防ぎ切るのは現実的ではありません。添付ファイルのサンドボックス、URLフィルタリング、DMARC/DKIM/SPF、実行ファイルブロックなど技術的対策で“失敗しても突破されない”構造を作ることが要点です。
感染が疑われたときの初動：被害を最小化する
暗号化が始まった、または不審な挙動を検知した場合、初動の遅れが被害範囲を決定づけます。ポイントは「拡大を止める」「証拠を残す」「復旧と通知に備える」です。
- 感染端末・サーバーをネットワークから隔離（可能なら物理/論理で分断）
- 不審アカウントの停止、特権IDのパスワード変更、トークン失効
- ログやメモリ/ディスクの保全（復旧・原因究明・保険/法務対応に重要）
- バックアップ環境の保護（バックアップに攻撃が波及していないか確認）
- CSIRT/外部専門会社・法務・広報を含めた体制起動（対外説明の整合性確保）
まとめ：ランサムウェア対策は“復旧設計”まで含めて完成する
ランサムウェアは、暗号化という分かりやすい被害の裏で、侵入・横展開・情報窃取・復旧妨害が連鎖する複合型インシデントです。だからこそ、MFAやパッチといった入口対策に加え、権限管理、監視・封じ込め、そして実際に戻せるバックアップと復旧訓練が不可欠です。自組織の業務継続（BCP）と結びつけ、「止まってはいけない業務」を基準に優先順位を付けて備えることが、最も現実的で強い対策になります。
参照リンク：