ランサムウェアとは？感染経路や被害、対策・感染時の対処法を初心者向けにわかりやすく解説

はじめに

情報セキュリティについて勉強していると、ランサムウェアという言葉が登場します。

ランサムウェアは、パソコンやサーバーに保存されたデータを暗号化するなどして利用できない状態にし、元に戻すことと引き換えに金銭を要求するマルウェアです。

近年では、単にファイルを暗号化するだけではありません。

攻撃者が組織のネットワークへ侵入し、重要なデータを盗み出してから暗号化し、

「身代金を支払わなければ、盗んだ情報を公開する」

と脅す攻撃も行われています。

そのため、バックアップからシステムを復旧できたとしても、情報漏えいの問題が残る可能性があります。IPAやNISTも、暗号化に加えてデータを窃取し、公開しないことの対価を要求する攻撃について注意を促しています。

しかし、初めてランサムウェアについて学ぶ方にとっては、

• ランサムウェアは何の略なのか
• コンピューターウイルスやマルウェアとは何が違うのか
• どのような経路から感染するのか
• ファイルを暗号化されると、なぜ開けなくなるのか
• 二重脅迫やノーウェアランサムとは何か
• バックアップを取っていても被害に遭うのか
• 身代金を支払えばデータを戻してもらえるのか
• 感染した端末の電源を切ってよいのか
• 個人のパソコンでも被害に遭うのか
• 企業はどのような対策を行えばよいのか

といった点が分かりにくいのではないでしょうか。

ランサムウェアを一言で表すと、

「データやシステムを人質に取り、復旧や情報の非公開と引き換えに身代金を要求するマルウェアや攻撃」

です。

重要なのは、ランサムウェアを単なる「怪しいメールから感染するウイルス」と考えないことです。

現在の攻撃では、VPN機器などの脆弱性、弱い認証情報、盗まれたアカウントなどを利用して組織内へ侵入し、時間をかけて内部を調査した後、サーバーやバックアップをまとめて攻撃することがあります。IPAの2026年向け資料でも、脆弱性や弱い認証情報を利用した侵入、データ窃取、暗号化、情報公開を組み合わせた脅迫が示されています。

この記事では、ランサムウェアの意味、主な種類、感染・侵入経路、被害、予防策、バックアップの守り方、感染時の初動対応について、会話を中心に初心者向けにわかりやすく解説します。

ランサムウェアとは？

ランサムウェアは、パソコンやサーバーのデータを暗号化するなどして使えなくし、元に戻すことと引き換えにお金を要求するマルウェアだよ。

ファイルを勝手に削除しちゃうの？

削除する場合も考えられるけれど、代表的なのは暗号化して、正しい鍵がなければ読めない状態にする攻撃だよ。

ランサムウェアは、英語でRansomwareと書きます。

次の二つの言葉を組み合わせた名称です。

つまり、ランサムウェアは「身代金を要求するソフトウェア」という意味です。

警察庁は、ランサムウェアを、端末などに保存されたデータを暗号化して使用できない状態にし、復号の対価として金銭や暗号資産を要求する不正プログラムと説明しています。

ランサムウェアを金庫で例えてみよう

暗号化されるというのは、どんな状態なの？

自分の書類を、知らない人が勝手に金庫へ入れて鍵をかけるようなものだよ。

会社の重要書類を、自分の机で管理していたとします。

ある日、攻撃者が事務所へ侵入し、書類をすべて特殊な金庫へ入れてしまいました。

攻撃者しか持っていない鍵がなければ、金庫を開けられません。

その後、机の上には次のような紙が置かれています。

書類を取り戻したければ、指定した金額を支払え。

これが、ランサムウェアによる暗号化と身代金要求のイメージです。

さらに、攻撃者が金庫へ入れる前に書類をコピーして持ち出し、

支払わなければ、コピーした書類をインターネットで公開する。

と脅すこともあります。

バックアップから書類を作り直せても、盗まれたコピーまでは取り戻せないんだね。

そう。それが二重脅迫型の怖いところだよ。

ランサムウェアとマルウェアの違い

マルウェアは、利用者やシステムへ害を与える目的で作られたソフトウェアの総称です。

ランサムウェアは、マルウェアの一種です。

マルウェア
├─ ウイルス
├─ ワーム
├─ トロイの木馬
├─ スパイウェア
├─ ボット
└─ ランサムウェア

ランサムウェアとマルウェアは別物ではなく、マルウェアの中にランサムウェアが含まれるんだね。

その理解で大丈夫だよ。

ランサムウェアに感染すると何が起こる？

ランサムウェアの種類や攻撃者の目的によって異なりますが、代表的な被害は次のとおりです。

• ファイルが暗号化される
• パソコンへログインできなくなる
• サーバーが停止する
• 業務システムを利用できなくなる
• バックアップが削除・暗号化される
• 機密情報や個人情報を盗まれる
• 身代金を要求される
• 情報公開を予告される
• 顧客や取引先へ連絡される
• Webサイト上で被害を暴露される
• 復旧や調査に長期間を要する
• 事業やサービスが停止する

ランサムウェアは、データの問題だけではありません。

受注、生産、物流、決済、顧客対応などがシステムに依存している場合、システム停止によって事業そのものを続けられなくなる可能性があります。NISTは、ランサムウェアへの備えを、予防だけでなく、検知、対応、復旧を含む組織全体のリスク管理として整理しています。

ランサムウェア攻撃の基本的な流れ

現在の組織向けランサムウェア攻撃では、感染後すぐに暗号化するとは限りません。

攻撃者がネットワーク内へ侵入し、内部を調査した後、被害が最大になるタイミングで一斉に暗号化することがあります。

一般的な流れは次のとおりです。

1. 組織のネットワークへ侵入する
2. 内部のシステムやアカウントを調査する
3. 管理者権限を取得する
4. ほかの端末やサーバーへ侵入範囲を広げる
5. 機密情報を外部へ持ち出す
6. バックアップやセキュリティ機能を無効化する
7. データやシステムを暗号化する
8. 身代金を要求する

初期侵入
  ↓
内部調査
  ↓
権限の奪取
  ↓
感染範囲の拡大
  ↓
情報窃取
  ↓
バックアップの破壊
  ↓
一斉暗号化
  ↓
身代金要求

メールを開いた瞬間に、すぐ暗号化されるとは限らないんだね。

そう。侵入後、数日以上かけて重要なサーバーやバックアップの場所を調べる攻撃もあるんだ。

ランサムウェアの主な感染・侵入経路

VPN機器や外部公開機器の脆弱性

企業では、社外から社内ネットワークへ接続するためにVPNを利用することがあります。

VPN機器やリモートアクセス機器に未修正の脆弱性があると、攻撃者に侵入される可能性があります。

対策としては、次のようなものがあります。

• セキュリティ更新を適用する
• 不要な外部公開を停止する
• サポートが終了した機器を交換する
• 管理画面をインターネットへ公開しない
• 利用状況やログを監視する

弱いパスワードや盗まれた認証情報

リモートデスクトップ、VPN、クラウドサービスなどのアカウントが、侵入の入口として悪用されることがあります。

特に注意したいのは、次のような状態です。

• 短く単純なパスワード
• 複数サービスでの使い回し
• 初期パスワードのまま
• 退職者アカウントが残っている
• 多要素認証を設定していない
• 管理者アカウントを日常利用している

IPAやCISAは、ランサムウェア対策として多要素認証や強固な認証、外部公開サービスの保護を重視しています。

メールの添付ファイルやURL

攻撃者は、不審な添付ファイルや偽のWebサイトを利用してマルウェアへ感染させることがあります。

例えば、次のようなメールです。

• 請求書を装った添付ファイル
• 配送通知を装ったURL
• 取引先を装ったファイル共有通知
• パスワード変更を求める偽メール
• 採用応募を装った文書ファイル

ただし、ランサムウェア対策を「怪しいメールを開かない」だけで終わらせるのは不十分です。

外部公開機器の脆弱性や盗まれた認証情報から侵入される場合もあるため、複数の防御策を組み合わせる必要があります。

Webサイトやソフトウェアからの感染

改ざんされたWebサイト、不正広告、偽のソフトウェア更新、非公式サイトから入手したプログラムなどを通じて感染する可能性もあります。

ソフトウェアは、公式サイトや信頼できる管理方法を通じて入手することが重要です。

委託先や取引先を経由した侵入

自社の対策が十分でも、委託先や取引先のアカウント、保守用の接続経路、ソフトウェア更新経路などが悪用される場合があります。

これをサプライチェーン上のリスクとして管理する必要があります。

ランサムウェアの主な種類

暗号化型ランサムウェア

ファイルを暗号化し、復号と引き換えに身代金を要求します。

代表的な対象は次のとおりです。

• 文書ファイル
• 表計算ファイル
• 画像
• データベース
• 仮想マシン
• ファイルサーバー
• バックアップ

画面ロック型ランサムウェア

端末の画面をロックし、操作できない状態にして金銭を要求します。

ファイル自体が暗号化されていない場合もありますが、利用者は端末を操作できなくなります。

二重脅迫型ランサムウェア

データを暗号化する前に外部へ持ち出し、次の二つを組み合わせて脅迫します。

1. データを復旧したければ支払え
2. 情報を公開されたくなければ支払え

これを二重脅迫またはダブルエクストーションと呼びます。

IPAは、暗号化したデータの復旧に対する金銭要求に加え、事前に窃取したデータを公開すると脅す手口として説明しています。

三重・四重の脅迫

攻撃者が、さらに次のような圧力を加える場合があります。

• DDoS攻撃を行うと脅す
• 顧客や取引先へ直接連絡する
• 被害を受けた事実を公表する
• 経営者や従業員へ圧力をかける

IPAの2026年向け資料でも、情報暴露に加えてDDoS攻撃などを組み合わせる脅迫手法が示されています。

ノーウェアランサム

ノーウェアランサムは、データを暗号化せず、窃取した情報を公開すると脅して金銭を要求する攻撃です。

厳密には暗号化を行うランサムウェアそのものを使わない場合がありますが、身代金要求を目的とする攻撃として関連付けて扱われます。

RaaSとは？

RaaSは、Ransomware as a Serviceの略です。

ランサムウェアの開発者が、攻撃に利用できるプログラムや管理画面などをほかの攻撃者へ提供する仕組みです。

攻撃を実行する側は、高度なランサムウェアを一から開発しなくても、提供された仕組みを利用できます。

攻撃によって得た身代金を、開発者と実行者で分ける形もあります。

攻撃者側の分業やサービス化によって、高度な攻撃へ参加するハードルが下がる可能性があります。

ランサムウェアと標的型攻撃の違い

従来のランサムウェアは、不特定多数へ大量のメールを送り、感染した端末から身代金を得る手口が中心でした。

一方、侵入型ランサムウェアでは、特定の組織へ侵入し、重要なシステムを調査してから攻撃します。

IPAは、侵入型ランサムウェアを、標的型攻撃に近い技術を利用し、組織のネットワーク内へ侵入してシステム全体へ被害を与える攻撃として注意喚起しています。

バックアップがあっても被害を防げないことがある理由

バックアップがあれば、暗号化されても元に戻せるよね？

バックアップは重要だけれど、保存方法によってはバックアップも暗号化されるよ。

攻撃者は、システムを暗号化する前にバックアップ環境を探すことがあります。

次のようなバックアップは、同時に被害を受ける可能性があります。

• パソコンへ常時接続した外付けディスク
• 通常のファイルと同じ権限でアクセスできるNAS
• 同じ管理者アカウントで操作できるバックアップサーバー
• ネットワークから常時書き込み可能な保存先
• 世代管理をしていないクラウド同期
• 削除や上書きが簡単にできるバックアップ

CISAは、攻撃者がアクセス可能なバックアップを削除・暗号化しようとするため、オフラインで保管することが重要だとしています。

ランサムウェアに強いバックアップとは？

ランサムウェア対策では、単に「コピーを一つ作る」だけでは不十分です。

次のような考え方が重要です。

複数のコピーを持つ

元のデータとは別に、複数のバックアップを保管します。

一つが破損・暗号化されても、別のコピーから復旧できる状態を目指します。

異なる媒体や場所へ保存する

同じサーバー内の別フォルダーだけでは、サーバー全体が被害に遭うと復旧できません。

例えば、次のように保存先を分けます。

• 別のストレージ
• 別のネットワーク
• クラウド
• 外部保管媒体
• 遠隔拠点

オフラインバックアップを持つ

取得後にネットワークや端末から切り離し、攻撃者が直接アクセスできない状態で保管します。

例えば、バックアップ後に外付け媒体を取り外す方法があります。

イミュータブルバックアップを利用する

イミュータブルとは、一定期間、変更や削除ができない状態を指します。

攻撃者が管理者権限を取得しても、保存済みのバックアップを簡単に削除できない仕組みを利用します。

バックアップ管理用の認証を分ける

通常のシステム管理者アカウントと、バックアップ環境の管理者アカウントを分けます。

同じID・パスワードを使い回すと、一つのアカウントを奪われただけで両方へ侵入される可能性があります。

世代管理を行う

最新のバックアップだけを保存していると、感染後の暗号化データで正常なバックアップを上書きする可能性があります。

複数の日付や世代のバックアップを残します。

復旧テストを行う

バックアップファイルが存在していても、実際に復元できなければ意味がありません。

定期的に次の点を確認します。

• ファイルを読み出せるか
• システムを再構築できるか
• 復旧にどの程度の時間がかかるか
• 必要な担当者や手順が明確か
• バックアップ自体が感染していないか

IPAは、バックアップについて、取得するだけでなく、適切な保管と復旧訓練を含む運用を求めています。

バックアップ対策の整理

ランサムウェア対策

ランサムウェア対策では、侵入させないことだけでなく、侵入されても被害を広げず、早期に検知し、復旧できる状態を作る必要があります。

NISTは、ランサムウェア対策を、ガバナンス、特定、防御、検知、対応、復旧という広い観点から扱っています。

ソフトウェアや機器を更新する

OS、アプリケーション、VPN機器、ルーター、セキュリティ製品などの更新を適用し、既知の脆弱性を修正します。

特にインターネットへ公開されている機器は、優先的に管理します。

多要素認証を利用する

パスワードに加えて、認証アプリ、セキュリティキー、生体認証などを組み合わせます。

パスワードが盗まれた場合でも、追加の認証要素によって不正ログインを防げる可能性があります。

不要な外部公開を停止する

使用していないリモート接続、管理画面、ポートなどを外部へ公開し続けないようにします。

「将来使うかもしれない」という理由だけで公開している機能も見直します。

最小権限を徹底する

利用者やプログラムには、業務に必要な最低限の権限だけを与えます。

一般社員が管理者権限を持っていると、感染時の被害が大きくなる可能性があります。

ネットワークを分割する

すべての端末やサーバーが自由に通信できる状態では、一台の侵害から被害が広がりやすくなります。

業務、サーバー、管理、バックアップなどのネットワークを分け、必要な通信だけを許可します。

セキュリティソフトやEDRを利用する

既知のマルウェアを検知するウイルス対策ソフトに加え、端末上の不審な動作を監視するEDRを利用する方法があります。

ただし、製品を導入するだけでは不十分です。

検知したアラートを誰が確認し、どのように対応するかを決める必要があります。

ログを収集・監視する

次のような記録を収集します。

• 認証成功・失敗
• 管理者権限の利用
• VPN接続
• ファイルへの大量アクセス
• セキュリティ設定の変更
• バックアップの削除
• 外部への大量通信
• セキュリティ製品の停止

ログを端末内だけに保存すると、攻撃者に消される可能性があります。

別のログ管理環境へ転送する方法も検討します。

メールやWebの対策を行う

• 不審な添付ファイルを検査する
• 危険なURLへのアクセスを制限する
• マクロやスクリプトの実行を制御する
• 送信元を確認する
• 従業員教育を行う
• 不審なメールを報告できる窓口を作る

利用者の注意だけに頼らず、技術的な対策と組み合わせます。

インシデント対応計画を作る

被害が発生してから連絡先や役割を考えていると、初動が遅れます。

平時から次の内容を決めます。

• 最初に報告する相手
• 対応責任者
• 端末を隔離する判断
• システム停止の判断
• 証拠を保全する方法
• 外部専門家への連絡
• 経営層への報告
• 顧客や取引先への説明
• 警察や関係機関への相談
• バックアップからの復旧手順

訓練を行う

「ランサムウェアによって基幹システムが停止した」という想定で、机上訓練や復旧訓練を行います。

手順書を読むだけでは分からない問題を発見できます。

ランサムウェア対策のメリット・注意点

ランサムウェアそのものに、被害を受ける側のメリットはありません。

ここでは、代表的な対策のメリットと注意点を整理します。

ランサムウェアに感染したときの対処法

感染端末をネットワークから隔離する

有線LANを利用している場合は、LANケーブルを抜きます。

無線LANを利用している場合は、Wi-Fiなどの通信を停止します。

感染端末をネットワークから隔離することで、ほかの端末やサーバーへ被害が広がるのを防ぎます。

警察庁も、感染拡大を防止するため、感染した端末をネットワークから隔離するよう案内しています。

勝手に電源を切らない

感染したら、すぐに電源を切った方が安全では？

状況によっては、調査や復号に必要な情報が失われる可能性があるよ。

感染端末のメモリ上などに、調査や復旧に必要な情報が残っている場合があります。

組織では、担当部署やセキュリティ専門家の指示に従います。

警視庁も、感染端末はネットワークから隔離する一方、復号などに必要な情報が失われる可能性があるため、電源を切らないよう案内しています。

ただし、攻撃が進行中でデータ破壊が続いているなど、緊急の判断が必要な場合もあります。

事前に組織の対応手順を決めておくことが重要です。

社内の担当者へ報告する

次のような相手へ速やかに報告します。

• 情報システム部門
• セキュリティ担当者
• CSIRT
• 上司
• 契約しているセキュリティベンダー
• システムの保守事業者

一人で復旧を試みると、証拠を消したり、被害を広げたりする可能性があります。

被害範囲を確認する

• どの端末が感染したか
• どのアカウントが悪用されたか
• どのサーバーへアクセスされたか
• データが外部へ送信されたか
• バックアップが被害を受けたか
• 現在も攻撃者が内部にいるか

などを調査します。

暗号化された端末だけを直しても、攻撃者の侵入経路や不正アカウントが残っていれば、再び攻撃される可能性があります。

証拠を保全する

次のような情報を保存します。

• 身代金要求画面
• 脅迫文
• 暗号化されたファイル
• 不審なファイル
• 通信ログ
• 認証ログ
• メール
• 発生時刻
• 実施した対応
• 攻撃者との連絡内容

調査や警察への相談に役立つ可能性があります。

パスワードや認証情報を変更する

侵入に使われた可能性のあるアカウントを停止し、安全な端末からパスワードを変更します。

管理者アカウント、VPN、クラウド、バックアップ環境など、関連する認証情報も確認します。

警察や関係機関へ相談する

警察庁は、ランサムウェア被害について、都道府県警察のサイバー事案相談窓口や警察署への相談・通報を案内しています。

組織の業種や被害内容によっては、監督機関、所管省庁、個人情報保護に関する窓口などへの報告が必要になる場合もあります。

復号ツールを確認する

ランサムウェアの種類によっては、復号ツールが公開されている場合があります。

ただし、すべてのランサムウェアへ対応しているわけではありません。

同じ名称でもバージョンが違えば利用できないことや、一部のファイルしか戻せないこともあります。警察庁も、復号ツールが利用できるのは一部の種類に限られ、すべてのファイルを復号できるとは限らないと説明しています。

不明なツールをインターネット上から安易にダウンロードすると、別のマルウェアへ感染する危険もあります。

信頼できる公的機関やセキュリティ専門家の案内を確認します。

安全を確認してから復旧する

侵入経路やマルウェアが残った状態でバックアップを戻すと、再び暗号化される可能性があります。

次の順番を意識します。

1. 被害を封じ込める
2. 原因と侵入経路を調べる
3. 不正アカウントやマルウェアを除去する
4. 脆弱性や設定不備を修正する
5. 正常なバックアップを確認する
6. 安全な環境へ復元する
7. 監視を強化する

身代金を支払えば元に戻る？

どうしても必要なデータなら、身代金を払えばいいのでは？

支払っても、データが戻る保証はないよ。

身代金を支払ったとしても、次のような可能性があります。

• 復号鍵が送られてこない
• 復号プログラムが正常に動かない
• 一部のデータしか戻らない
• データが破損している
• 窃取情報を公開される
• 再び金銭を要求される
• 同じ攻撃者に再侵入される
• 別の攻撃者から狙われる

CISAなどの公的機関は、身代金の支払いによってファイルが復旧する保証はないとして、支払いを推奨していません。

また、相手や送金先によっては法令上の問題が生じる可能性もあります。

組織だけで判断せず、経営層、法務、警察、保険会社、セキュリティ専門家などと連携して対応する必要があります。

個人ができるランサムウェア対策

個人のパソコンやスマートフォンでも、基本的な考え方は同じです。

• OSやアプリを更新する
• セキュリティ機能を有効にする
• 不審な添付ファイルを開かない
• 非公式サイトからソフトウェアを入れない
• パスワードを使い回さない
• 多要素認証を設定する
• 重要な写真や文書をバックアップする
• バックアップ媒体を常時接続しない
• クラウド同期をバックアップと同一視しない
• 警告画面に表示された連絡先へ安易に連絡しない

クラウド同期とバックアップの違い

クラウドへ自動保存しているから、バックアップは不要？

同期とバックアップは同じではないよ。

クラウド同期では、一つの端末でファイルが暗号化・削除されると、その変更がクラウド側へ反映される場合があります。

クラウドサービスに履歴やごみ箱、復元機能がある場合は、保存期間や復旧方法を確認しておきましょう。

ランサムウェアと似た脅威の違い

ランサムウェア対策と情報セキュリティの3要素

情報セキュリティの基本には、次の3要素があります。

• 機密性
• 完全性
• 可用性

ランサムウェアは、この三つすべてへ影響する可能性があります。

従来、ランサムウェアは主に可用性を脅かす攻撃と考えられました。

しかし、二重脅迫型ではデータを盗まれるため、機密性にも大きな影響を与えます。

ITパスポート・基本情報・応用情報の試験対策

ランサムウェアは、情報セキュリティ分野の代表的なマルウェアとして、ITパスポート、基本情報技術者試験、応用情報技術者試験で押さえておきたい用語です。

試験別に押さえたい内容

試験で覚えたい重要用語

試験問題で注目する表現

類似用語の試験対策比較

よくある誤解

ランサムウェアは怪しいメールからしか感染しない

添付ファイルを開かなければ、ランサムウェアには感染しないよね？

メール以外にも、VPN機器の脆弱性や盗まれた認証情報などから侵入されることがあるよ。

メール対策は重要ですが、それだけでは不十分です。

ランサムウェアは感染したパソコン一台だけの問題である

攻撃者がネットワーク内へ侵入した場合、ファイルサーバー、認証サーバー、仮想基盤、バックアップなどへ被害が広がる可能性があります。

バックアップがあれば被害は発生しない

バックアップから復旧できても、データが盗まれていれば情報漏えいの問題が残ります。

また、常時接続されたバックアップは、元のデータと同時に暗号化・削除される可能性があります。

クラウドへ同期していればバックアップになる

暗号化されたファイルや削除操作がクラウドへ同期される場合があります。

世代管理や復元機能、保存期間を確認する必要があります。

セキュリティソフトがあれば完全に防げる

セキュリティソフトは重要ですが、未知の攻撃、正規ツールの悪用、認証情報を使った侵入など、検知が難しい攻撃もあります。

更新、多要素認証、権限管理、ネットワーク分割、バックアップなどを組み合わせます。

中小企業や個人は狙われない

攻撃者は、規模だけでなく、侵入しやすさや停止した場合の影響も見ています。

自動的な探索や、委託先を経由した攻撃によって被害に遭う可能性もあります。

身代金を払えば必ず復旧できる

支払っても、復号鍵が届く保証や、すべてのデータが戻る保証はありません。

盗まれた情報が削除される保証もありません。

感染したらすぐに電源を切る

ネットワークからの隔離は重要です。

一方、電源を切ると、調査や復旧に必要な情報が失われる可能性があります。

組織の対応手順や専門家の指示に従います。

暗号化されたファイルを削除すれば解決する

暗号化されたファイルだけを削除しても、ランサムウェア本体、侵入経路、不正アカウントなどが残っている可能性があります。

原因を取り除かず復旧すると、再び攻撃される恐れがあります。

ランサムウェアはデータの可用性だけを脅かす

二重脅迫型では、暗号化前にデータを窃取されます。

そのため、可用性だけでなく、機密性や完全性にも影響します。

バックアップは最新の一つだけあればよい

最新バックアップが暗号化済みデータで上書きされている可能性があります。

複数世代を残し、正常だった時点へ戻せるようにします。

従業員教育だけで防げる

人がミスをしないことを前提にしてはいけません。

教育に加え、技術的な制御、監視、権限管理、バックアップ、対応訓練などが必要です。

まとめ

ランサムウェアとは、データやシステムを利用できない状態にし、復旧や情報の非公開と引き換えに身代金を要求するマルウェアや攻撃です。

ランサムウェアは、RansomとSoftwareを組み合わせた名称です。

代表的な攻撃では、端末やサーバーに保存されたファイルを暗号化し、復号鍵を渡す条件として金銭や暗号資産を要求します。

近年では、攻撃者が組織のネットワークへ侵入し、重要な情報を窃取してからシステムを暗号化する、侵入型ランサムウェアが問題になっています。

暗号化したデータの復旧だけでなく、

「支払わなければ、盗んだ情報を公開する」

と脅す手口を二重脅迫と呼びます。

ランサムウェア対策では、次のような複数の対策を組み合わせます。

• ソフトウェアや機器を更新する
• 多要素認証を利用する
• 不要な外部公開を停止する
• 最小権限を徹底する
• ネットワークを分割する
• EDRやログ監視を利用する
• バックアップをオフラインまたはイミュータブルに保管する
• 管理アカウントを分離する
• 複数世代のバックアップを残す
• 復旧訓練を行う
• インシデント対応手順を整備する

感染が疑われる場合は、端末をネットワークから隔離し、情報システム部門、CSIRT、セキュリティ専門家などへ速やかに報告します。

証拠や復旧に必要な情報を失う可能性があるため、状況を確認せずに電源を切ったり、ファイルを削除したりしないことも大切です。

身代金を支払っても、データやシステムが戻る保証はありません。

平時から「侵入を防ぐ」「早く見つける」「被害を広げない」「安全に復旧する」という複数の視点で準備することが、ランサムウェア対策の基本です。

最後に要点を整理します。

ランサムウェアは、ファイルを暗号化するウイルスというだけではないんだね。

そう。情報を盗んでから暗号化し、公開すると脅す攻撃もあるんだ。

バックアップがあっても、同じネットワークから操作できれば、一緒に暗号化される可能性があるんだね。

オフライン保管やイミュータブル化、管理アカウントの分離も大切だよ。

感染したら、まずネットワークから隔離して、担当者やCSIRTへ報告するんだね。

そう。独断で電源を切ったり復旧を始めたりせず、証拠と被害状況を確認しながら対応するよ。

身代金を払っても、データが戻る保証はないんだね。

うん。だからこそ、「侵入させない」だけでなく、「侵入されても被害を広げず、安全に復旧できる状態」を平時から作ることが重要なんだ。

クマノくらげ

X

難しいIT用語やビジネス用語を、できるだけ身近な例えで解説するブログです。 「専門用語を見ると眠くなる人」でも読めるように、画像や会話形式を多めにしています。 AWS12冠達成済み。