ランサムウェアは、ファイルを暗号化して使えなくし、元に戻す代わりに身代金を要求するマルウェアです。仕組みと、身代金を払わずに済ませるための防御を解説します（攻撃手順は載せません）。
仕組み：分業化された犯罪ビジネス
古典的なランサムウェアは、端末やサーバの中のファイルを片っ端から暗号化し、「復号鍵が欲しければ払え」という脅迫文を残します。しかし現在の脅威の本質は、技術というより収益化の仕組みにあります。
**二重恐喝（ダブル・エクストーション）**では、攻撃者は暗号化する前にデータを盗み出します。だから被害者が自前のバックアップから復旧できても、「払わなければ盗んだデータを公開する」という第二の脅迫が残ります。「バックアップがあるから大丈夫」が通用しにくくなったのは、この変化が理由です。さらに RaaS（サービスとしてのランサムウェア）によって、ツールを作る者と実際に攻撃する者が分業化し、攻撃のハードルが大きく下がりました。
主な侵入経路
ランサムウェアは突然現れるのではなく、ほぼ決まった経路から入ります。その経路を塞ぐことが第一の防御です。
① フィッシング
メールの添付・リンクから。最も多い侵入経路。対策＝MFA・メール対策・教育
② 露出したVPN/RDP
弱い／MFAなしのリモート接続。対策＝MFA必須・露出を絞る
③ 未修正の脆弱性
公開ソフトの既知の脆弱性。対策＝速やかなパッチ適用
実例として、当サイトでも扱った MOVEit Transfer の大量侵害 は、ランサムウェア集団にインターネットに面したソフトの未修正の脆弱性を突かれ、修正パッチが出る前に大量のデータを盗み出された二重恐喝型の事例です。「メールの添付ファイル」だけがランサムウェアの侵入経路ではない、という良い教訓になります。
ランサムウェアと一般的なマルウェアの違い
ランサムウェアはマルウェアの一種ですが、目的と気づくタイミングが大きく違います（→ マルウェアとは）。
| 一般的なマルウェア（スパイウェアなど） | ランサムウェア | |
|---|---|---|
| 目的 | 気づかれずに情報を盗む、端末を操る | 業務を止めて身代金を払わせる |
| 気づくタイミング | 気づかないまま長く続くことが多い | 暗号化と脅迫文で、ある日突然表に出る |
| 主な被害 | 情報漏えい、不正送金、踏み台にされる | 業務停止に加え、盗まれたデータの暴露 |
| 決め手になる備え | 検知（EDR）と認証情報の保護 | オフラインのバックアップと侵入対策 |
具体例：国内のランサムウェア被害
当サイトで扱った国内の事例です。侵入口の多くは、外部に公開されたVPN装置か、盗まれた認証情報でした。
| 事例 | 侵入口とされたもの | 被害と復旧 |
|---|---|---|
| カプコン（2020） | 廃止されずに残っていた旧型のVPN装置 | 最大約39万人分の個人情報が漏えいの可能性。支払わずにバックアップから復旧 |
| 半田病院（2021） | 修正していないVPN装置の脆弱性 | バックアップも同じネットワークにあり一緒に暗号化。電子カルテの復旧まで約2か月 |
| 大阪急性期・総合医療センター（2022） | 給食委託事業者のVPN機器 | 委託先から侵入され、外来・手術・救急を制限。完全復旧まで2か月強 |
| KADOKAWA（2024） | フィッシングで盗まれた認証情報と説明 | グループの多くのサービスが長期停止、約25万人分の個人情報が漏えい |
| メディカ出版（2026） | 正規のアカウント情報を使った侵入と説明 | 約64万人分を「漏えいのおそれ」として通知 |
共通しているのは、外部に公開された入口の管理と、バックアップの置き場所です。VPN装置の守り方は VPN機器はランサムウェアの主な侵入口 にまとめています。
防御：払わずに戻せる状態をつくる
オフライン／改ざん不能なバックアップを持つ（最重要）
復旧の決め手はバックアップです。ただし常時オンラインで書き換え可能なバックアップは一緒に暗号化される恐れがあるため、オフライン、または改ざん不能（イミュータブル）なコピーを少なくとも1つ持つこと。そして定期的に、本当に戻せるか復元テストをする。詳しくは バックアップと復旧の基本（3-2-1） を参照。
侵入を防ぐ：MFAとパッチ
最大の侵入経路であるフィッシングと露出したリモート接続には多要素認証（MFA）を必須に。公開しているソフトは既知の脆弱性を速やかに修正する。これだけで侵入の多くを止められます（→ MFAの選び方）。
被害範囲を狭める：最小権限とネットワーク分離
万一入られても全社が暗号化されないように、権限は必要最小限に、ネットワークは分離（セグメント化）する。1台の侵害が全体に広がらない設計にすることで、被害を局所化できる。
検知と“感染した後”の手順を用意する
侵入対策を固めても完全な予防は不可能。だから異常を早く検知し、感染時に誰が何をするかのインシデント対応手順（隔離・連絡・復旧の順番）を事前に決めておく。慌てて支払う前に、まず封じ込めと復元を試せる体制を作る。
当サイトの視点：支払いに頼らず、事前の備えで対処する
身代金を払うべきか、という問いに当サイトの立場ははっきりしています。払わずに済む備えを先に作ることです。支払っても復号できる保証はなく、二重恐喝なら暴露も止められず、犯罪資金を提供して「払う相手」として再標的化されるリスクまで負います。
だから重要なのは事故対応ではなく事前準備です。オフラインバックアップで戻せる状態と、MFA・パッチで侵入させない状態。この2つが揃っていれば、ランサムウェアの被害を「面倒だが復旧できる事故」にとどめられます。
感染に気づいたときの初動
ネットワークから切り離す
LANケーブルを抜き、Wi-Fiを切って、ほかの端末やバックアップへの広がりを止めます。不用意な再起動や電源断は、調査に必要な記録を消すことがあるので避けます。
社内の担当と外部の窓口に連絡する
組織なら決めてある連絡先へ。警察（都道府県警察のサイバー事案の相談窓口）に通報・相談し、個人情報が漏れたおそれがあれば個人情報保護委員会への報告も検討します。
復号ツールとバックアップを確かめる
脅迫文の内容から種類が分かれば、No More Ransom に無料の復号ツールがないか確認します。並行して、汚染されていないバックアップがあるかを確かめます。
自分の環境で確認する方法
- 外部に公開しているVPN装置やファイアウォールの製品名とバージョンを書き出し、ベンダーのセキュリティ情報と CVE / KEV ルックアップ で、悪用されている脆弱性が残っていないか確認する
- リモートデスクトップ（RDP、通常は3389番ポート）がインターネットから直接つながる状態になっていないかを確認する
- VPNやリモート接続のアカウントに多要素認証（MFA）がかかっているか、使っていないアカウントが残っていないかを見る
- バックアップの少なくとも1つが、本番と同じ認証情報では消せない場所（オフライン、または改ざん不能な設定）にあるか確認し、実際に1つのファイルを復元してみる
「バックアップがあるから安全」ではなくなった
かつてはバックアップさえあればランサムウェアは怖くありませんでした。しかし二重恐喝が主流になった今、バックアップで戻せることと、データを盗ませないことは別の問題です。攻撃者は暗号化の前にデータを抜き取り、「払わなければ公開する」と迫ります。だから防御は、戻せる（バックアップ）だけでなく、そもそも入らせない・盗ませない（侵入対策）まで含めて初めて完成します。「うちはバックアップがあるから」で止まらないことが、現代のランサムウェア対策の出発点です。
出典（一次情報）
- 警察庁「ランサムウェア被害防止対策」 — npa.go.jp（被害時の対応と予防策）
- 警察庁「サイバー事案に関する相談窓口」 — npa.go.jp
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」 — ppc.go.jp
- No More Ransom「プロジェクトについて」 — nomoreransom.org（無料の復号ツール）
- CISA「#StopRansomware Guide」 — cisa.gov（オフラインバックアップと初動の手順）
次に読む
- 入門：バックアップと復旧の基本（払わずに戻すための基本・3-2-1ルール）
- 入門：二要素認証（MFA）の選び方（最大の侵入経路を塞ぐ）
- 用語：フィッシングとは（最大の侵入経路そのものを断つ）
- 事例：MOVEit Transfer の大量侵害（未修正の脆弱性を突いた二重恐喝の実例）／ カプコン ランサムウェア事件（2020）（旧型VPN装置が侵入口・払わずに復旧）
- 用語：C2（指令サーバー）とは（感染後に外部から遠隔操作される指令通信）
- 用語：マルウェアとは（ランサムウェアを含む不正ソフト全体の分類と共通の守り方）