ランサムウェアとは？仕組み・感染経路・中小企業の対策をわかりやすく解説

ランサムウェアとは、パソコンやサーバー内のデータを暗号化したり、機密情報を盗み出したりして、復旧や情報公開の停止と引き換えに金銭を要求するマルウェアです。

「大企業だけが狙われる」というイメージがありますが、実際には中小企業も被害に遭っています。特に、VPN機器の脆弱性、リモートデスクトップ（RDP）の設定不備、フィッシングメールなどを起点に、社内ネットワーク全体へ被害が拡大するケースがあります。

本記事では、ランサムウェアの意味や仕組み、主な感染経路、中小企業が取り組むべき対策、感染した場合の初動対応をわかりやすく解説します。

ランサムウェアとは？

ランサムウェアは、「身代金」を意味するRansomと、「ソフトウェア」を意味するSoftwareを組み合わせた言葉です。

感染すると、次のような被害が発生します。

• ファイルやデータが暗号化され、開けなくなる
• データを盗まれ、公開すると脅迫される
• 社内システムや業務が停止する
• 取引先や顧客への連絡を迫られる
• 復旧費用や調査費用が発生する

攻撃者は、暗号化したデータを復元するための金銭を要求します。ただし、身代金を支払ってもデータが復元される保証や、盗まれた情報が公開されない保証はありません。

ランサムウェアの仕組み

ランサムウェア攻撃は、一般的に次のような流れで進みます。

1. 企業のネットワークや端末へ侵入する
2. 管理者権限や認証情報を奪う
3. 社内ネットワークを探索する
4. サーバーやバックアップへアクセスする
5. データを窃取・暗号化する
6. 身代金を要求する

近年は、単にデータを暗号化するだけではありません。攻撃者が事前に機密情報を盗み出し、支払いに応じなければ公開すると脅迫するケースもあります。

二重恐喝・多重恐喝とは？

二重恐喝とは、データを暗号化するだけでなく、事前に盗み出した情報の公開も脅迫材料にする手口です。

「身代金を支払わなければ、顧客情報や社内文書を公開する」と脅すため、バックアップから復旧できる企業も標的になります。

多重恐喝では、次のような攻撃が組み合わせられます。

• 盗み出したデータの公開
• 取引先や顧客への直接連絡
• WebサイトやネットワークへのDDoS攻撃
• 従業員や関係者への脅迫

ランサムウェアは、単なるウイルス感染ではなく、企業活動そのものを狙う犯罪へと変化しています。

RaaS（ランサムウェア・アズ・ア・サービス）とは？

RaaSとは、ランサムウェア本体や攻撃用のインフラ、身代金要求の仕組みなどをサービスとして提供する犯罪ビジネスモデルです。

高度な技術を持たない攻撃者でも、RaaSを利用することでランサムウェア攻撃を実行できる場合があります。そのため、企業規模に関係なく、さまざまな組織が標的になる可能性があります。

中小企業が狙われる主な理由は、次のとおりです。

専任の情報システム担当者がいない企業では、機器の更新やアカウント管理が後回しになりがちです。

VPN機器やルーターに脆弱性が残っていると、外部から社内ネットワークへ侵入される可能性があります。

中小企業への侵入を足がかりに、取引先や親会社など、より大きな組織を攻撃する「サプライチェーン攻撃」につながることがあります。

生産、受発注、物流、会計などが停止すると、売上の減少だけでなく、取引先からの信用低下にもつながります。

ランサムウェアの主な感染経路

更新されていないVPN機器やネットワーク機器は、攻撃者に侵入経路として悪用される可能性があります。

機器の脆弱性情報を確認し、メーカーが提供する修正プログラムを適用しましょう。

RDPは、社外から社内のパソコンを操作できる機能です。

パスワードが弱い、インターネット上に直接公開されている、多要素認証を導入していないといった状態では、不正ログインのリスクが高まります。

取引先や金融機関、配送会社などを装ったメールから、偽サイトへ誘導する手口です。

近年は文章が自然になっており、メールの文面だけで真偽を判断することが難しくなっています。

他のサービスと同じパスワードを使い回していると、漏えいした認証情報を使って社内システムへ不正アクセスされる可能性があります。

出所の不明なUSBメモリや外付け記憶媒体を接続すると、マルウェアに感染する可能性があります。

中小企業が実施すべきランサムウェア対策5選

WindowsなどのOSだけでなく、次の機器やソフトウェアも更新しましょう。

• VPN機器

• ルーター

• ファイアウォール

• サーバー

• 業務用ソフトウェア

• ウイルス対策ソフト

更新状況を一覧で管理し、サポートが終了した製品は計画的に入れ替えることが重要です。

多要素認証とは、パスワードに加えて、認証アプリやセキュリティキーなど、複数の認証要素を組み合わせる仕組みです。

パスワードが漏えいした場合でも、不正ログインのリスクを下げられます。特に、管理者アカウント、VPN、クラウドサービスには優先的に導入しましょう。

EDRは、パソコンやサーバーの不審な挙動を検知し、調査や封じ込めを支援する仕組みです。

大量のファイル変更、権限の不正利用、通常とは異なる通信などを検知することで、被害の拡大を抑えられる可能性があります。

専任の担当者を置くことが難しい場合は、監視や緊急対応を含む外部サービスの利用も選択肢です。

バックアップは、ランサムウェアからの復旧に欠かせません。

ただし、ネットワークに常時接続されたバックアップは、攻撃時に同時に暗号化・削除される可能性があります。

次の点を確認しましょう。

• 定期的にバックアップを取得する

• 本番環境とバックアップ環境を分離する

• オフラインまたはアクセス制限された場所に保管する

• 複数世代を保存する

• 実際に復元できるか定期的にテストする

  
  バックアップは「取得すること」だけでなく、「復元できること」が重要です。

従業員には、次のような基本ルールを周知しましょう。

• 不審なリンクや添付ファイルを開かない

• パスワードを使い回さない

• 不審なメールは返信せず、担当者へ報告する

• 出所不明のUSBメモリを接続しない

• 異常を感じたらすぐにネットワークから切り離す

  
  定期的な訓練を通じて、「迷ったら報告する」習慣を作ることが大切です。

ランサムウェアに感染した場合の初動対応

感染が疑われる場合は、次の手順で対応します。

1. ネットワークから隔離する
   感染した可能性がある端末は、LANケーブルを抜く、Wi-Fiを切る、機内モードにするなどしてネットワークから隔離します。

他の端末への感染拡大を防ぐため、社内ネットワーク全体の状況も確認してください。

2. 端末をむやみに操作しない
   証拠が失われる可能性があるため、自己判断で初期化したり、ファイルを削除したりしないようにします。

電源を切るかどうかは、社内の専門担当者や外部の専門機関へ相談して判断しましょう。

3. 画面やメッセージを記録する
   身代金要求文、ファイルの拡張子、発生時刻、対象端末などを記録します。画面を撮影する場合は、別の端末を使用すると安全です。

4. 警察や専門機関へ相談する
   被害が発生した場合は、警察やサイバー犯罪相談窓口、IPA、契約しているセキュリティ事業者へ速やかに相談してください。

一部のランサムウェアには、無償の復号ツールが公開されている場合もあります。ただし、復号できるかどうかは種類や感染状況によって異なります。

5. 身代金の支払いは慎重に判断する
   身代金を支払っても、データが復元される保証や、盗まれた情報が公開されない保証はありません。

また、支払いが犯罪グループの活動資金になる可能性もあります。独断で判断せず、警察、弁護士、セキュリティ専門会社などに相談しましょう。

経営層に説明するときのポイント

ランサムウェア対策を「IT部門だけの課題」と考えると、必要な予算や体制を確保しにくくなります。

経営層には、次の観点で説明するとよいでしょう。

システム停止は、受注、製造、出荷、請求など、会社の業務全体に影響します。セキュリティ対策は、事業継続計画（BCP）の一部として考える必要があります。

被害時には、復旧費用だけでなく、売上減少、追加人件費、取引先対応、信用低下などのコストが発生します。

取引先からセキュリティ対策を求められる

サプライチェーン全体の安全性を確保するため、取引先からセキュリティチェックや対策状況の提出を求められることがあります。

セキュリティ対策は、リスク回避だけでなく、取引を継続するための条件になる可能性があります。

ランサムウェア対策チェックリスト

自社の状況を、次の項目で確認してみましょう。

• OSやソフトウェアを定期的に更新している
• VPNやルーターの更新状況を管理している
• 多要素認証を導入している
• 管理者権限を必要最小限にしている
• RDPをインターネットへ直接公開していない
• 重要データを定期的にバックアップしている
• バックアップからの復元テストを実施している
• EDRや監視サービスを導入している
• 従業員向けの訓練を行っている
• 感染時の連絡先と対応手順を決めている

一度にすべてを実施するのが難しい場合は、まず「脆弱性の修正」「多要素認証」「バックアップ」の3つから始めるとよいでしょう。