ランサムウェア対策を事例で学ぶ｜実名企業の被害・侵入経路と自社が取るべき対策・初動

取引先や同業他社がランサムウェアで長期間システムを止めた、というニュースを見て「自社は大丈夫だろうか」と不安になっていませんか。警察庁によると、令和7年（2025年）のランサムウェア被害報告件数は226件と依然として高水準で、製造業や小売業、医療機関まで業種を問わず被害が広がっています。

被害への備えを考えるとき、まず知りたいのは「実際にどの企業が、どんな手口で入られ、どれだけの被害を受け、その後どう対応したか」という具体的な事例のはずです。他社の失敗と対応をたどることで、自社に足りない備えが見えてきます。

本記事では、実名の被害事例を一覧で整理し、事例に共通する侵入経路、そこから導く優先順位をつけた対策、万一感染したときの初動対応までを解説します。まず実名の被害事例一覧から確認したい方は、そちらへ進んでください。自社の弱点に当たりを付け、社内で対策を検討・判断する材料として使える形でまとめました。

ランサムウェアとは（被害事例を読む前に）

ランサムウェアは、企業のサーバーや端末内のデータを暗号化して使えなくし、その復旧と引き換えに身代金（ランサム）を要求するマルウェアです。近年は、暗号化に加えて事前に盗み出したデータを「公開する」と脅す「二重脅迫」や、暗号化せずにデータ窃取だけで脅す「ノーウェアランサム」など、手口が多様化しています。

IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威 2026」の組織向けランキングでは、この脅威（IPAは2026年から名称を「ランサム攻撃による被害」に変更）が11年連続で1位に選ばれています。2位は「サプライチェーンや委託先を狙った攻撃」で、後述する事例のとおり、委託先や子会社を踏み台にした侵入も企業にとって大きなリスクになっています。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2026｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2026.html）

近年の被害状況｜件数の推移と深刻化

警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年（2025年）のランサムウェア被害報告件数は226件で、依然として高水準で推移しています。被害企業を規模別に見ると中小企業が約6割を占め、業種別では製造業が約4割で最も多く、卸売・小売業やサービス業、情報通信業が続きます。「自社は狙われない」と考えられる企業はほとんどないのが実情です。

被害の深刻さも増しています。同資料では、復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまると報告されています。いったん被害に遭うと、金銭面でも事業停止の面でも影響が長期化しやすいことがうかがえます。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

ランサムウェア被害の事例一覧【実名・被害規模・出所】

ここからは、企業の公式発表や警察庁・IPAの資料で確認できる被害事例を一覧で紹介します。どの企業が、どんな経路で入られ、どれだけの被害を受け、その後どう対応したかを横に並べました。自社と業種や規模が近い事例を手がかりに、想定されるリスクを具体的にイメージしてください。

国内の主な被害事例

出典・参考資料（9件）

• 出典：ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第13報）｜アスクル株式会社（https://pdf.irpocket.com/C0032/PDLX/O3bg/N4O3.pdf）
• 出典：情報漏えいに関する調査結果と今後の対応について｜アサヒグループホールディングス（https://www.asahigroup-holdings.com/newsroom/detail/20251127-0104.html）
• 出典：ランサムウェア攻撃による情報漏洩に関するお知らせ｜株式会社KADOKAWA（https://group.kadokawa.co.jp/information/media-download/1356/d3f77b589c58d083/）
• 出典：情報セキュリティインシデント調査報告書 概要｜大阪急性期・総合医療センター（https://www.gh.opho.jp/pdf/reportgaiyo_v01.pdf）
• 出典：2022年3月 国内工場の稼働について（2/28時点／稼働再開）｜トヨタ自動車（https://global.toyota/jp/newsroom/corporate/36960974.html、https://global.toyota/jp/newsroom/corporate/36964714.html）
• 出典：保険見直し本舗グループへのランサムウェア攻撃に関する報道｜日本経済新聞（https://www.nikkei.com/article/DGXZQOUB304BK0Q5A430C2000000/）、Security NEXT（https://www.security-next.com/169916）
• 出典：不正アクセスによる個人情報漏洩の可能性に関するお知らせ｜株式会社サンリオエンターテイメント（https://corporate.sanrio.co.jp/information/20250812/）
• 出典：ランサムウェア攻撃による情報流出に関するお詫びとお知らせ｜学校法人横須賀学院（https://www.yokosukagakuin.ac.jp/2025-12-24oshirase）
• 参考資料：株式会社イセトーへのランサムウェア攻撃に伴う委託先（信用金庫等）の個人情報漏えいに関する解説（https://rocket-boys.co.jp/security-measures-lab/5216/）

海外の被害事例

海外では、社会インフラを狙った攻撃で操業停止と身代金支払いに至った事例が知られています。ここでは、身代金を支払ってもその後の損失や回収の実態がどうだったかまで公的機関が公表している代表例として、米国のColonial Pipelineを取り上げます。

身代金を支払っても被害額の全額が戻るわけではなく、暗号資産の回収は捜査機関による例外的な成果です。身代金の支払いが復旧や損失回避を保証しないことを示す事例といえます。

出典・参考資料（1件）

• 出典：Department of Justice Seizes $2.3 Million in Cryptocurrency Paid to the Ransomware Extortionists Darkside｜U.S. Department of Justice（https://www.justice.gov/archives/opa/pr/department-justice-seizes-23-million-cryptocurrency-paid-ransomware-extortionists-darkside）

事例に共通する侵入経路と攻撃の流れ

ここからは、事例の手口を「どこから入られたか（侵入経路）」と「入られた後どう広がるか（攻撃の流れ）」に分けて整理します。自社のどこに穴があるかを見極める手がかりになります。

事例に共通する侵入経路

警察庁の調査では、被害組織への侵入経路はVPN機器が6割以上を占めています。攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定不備などを悪用してネットワークへ侵入します。事例で目立つのは、次の4つの経路です。

VPN機器の脆弱性

最も多い侵入経路が、社外から社内へ安全につなぐためのVPN機器の脆弱性です。修正プログラムが適用されないまま放置された機器が、そのまま侵入口になります。大阪急性期・総合医療センターの事例では、給食委託業者が保守用に設置していたVPN機器の脆弱性が突破口となり、院内システムまで被害が及びました。自社が管理する機器だけでなく、委託先が設置した機器まで含めて更新状況を把握することが重要です。

RDP・認証情報の窃取

RDP（リモートデスクトップ）は、離れた場所からPCやサーバーを操作する仕組みですが、外部に公開されたまま簡易なパスワードで運用されていると、窃取した認証情報を使った不正アクセスに悪用されます。前述の医療機関の事例でも、攻撃者は窃取した認証情報を使いRDP通信で院内サーバーに侵入しました。

IPAも、外部に公開されたポート（リモートデスクトップ等）を悪用した不正アクセスを主要な手口として挙げています。

フィッシングメール

従業員をだましてIDやパスワードを入力させ、そのアカウントで社内に侵入する手口です。KADOKAWAは、フィッシングなどにより従業員のアカウント情報が窃取されたことが根本原因だったと公表しています。機器の脆弱性を塞いでも、人を介した認証情報の窃取は残るため、多要素認証や従業員教育と組み合わせた対策が欠かせません。

委託先・子会社・サプライチェーン経由

自社の守りを固めても、取引先や委託先、グループ会社が突破口になる経路が近年目立ちます。アスクルは、多要素認証を適用していなかった業務委託先の管理者アカウントが窃取されて侵入されました。トヨタ自動車は、仕入先の小島プレス工業の被害を受けて国内全14工場28ラインの停止に追い込まれています。

IPAの10大脅威でも「サプライチェーンや委託先を狙った攻撃」が2位に挙がっており、委託先を含めた対策が求められます。

出典・参考資料（2件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
• 出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）

攻撃の流れ｜初期侵入から暗号化まで

侵入した攻撃者は、すぐに暗号化するとは限りません。警察庁は、攻撃者が内部でどう動くかを次のように説明しています。まず管理者権限の奪取やセキュリティの無効化を試みながら社内ネットワークを探索し、重要データやバックアップを物色します。そのうえでデータをクラウドストレージなどへ持ち出して窃取し、最後にランサムウェアを起動して暗号化を実行します。

注意すべきは、復旧を妨害するためにバックアップも一緒に暗号化される場合が多い点です。医療機関の事例では、全ユーザーに管理者権限が付与され、サーバーごとのパスワードが共通だったことで、1つの認証情報の窃取から一気に横展開されました。侵入を完全に防ぐだけでなく、「入られた後に広げさせない」「バックアップを守る」という視点が、後述する対策で重要になります。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

事例から導く、優先順位をつけた対策

ここからは、事例の侵入経路と攻撃の流れを踏まえ、限られた予算・人員でも段階的に取り組める対策を、優先順位をつけて解説します。まず「何にいくらかかるか」の物差しを持ってから、着手する順に見ていきます。

被害額と対策コストの対比｜先に何に投資すべきか

対策の優先順位を考えるうえで、被害に遭った場合のコスト感を押さえておくと判断しやすくなります。IPAの「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」は、VPN装置の脆弱性を悪用されてランサムウェアに感染し、クラウド上のバックアップまで暗号化された中小製造業（従業員80名・売上約10億円規模）のモデルケースを示しています。この事例の想定被害額は4,600万円と積算されています。

内訳は初期対応費用 約3,050万円、復旧費用 約350万円、報告・公表費用 約300万円、弁護士・訴訟費用 約150万円、再発防止費用 約750万円です。

これはモデルケースの想定額ですが、実在の事例では大阪急性期・総合医療センターが調査・復旧費用で数億円以上、逸失利益として十数億円以上を見込むと公表しています。

一方、対策側の費用は被害額に比べればはるかに小さく収まります。記事後半で紹介するサービスの公開料金を目安にすると、多要素認証やアクセス制御を担うIDaaSは1ユーザーあたり月数百円台から、脆弱性診断と復旧・補償をまとめた中小向けパッケージは1台あたり月1,000円台からが一つの水準です。

EDR／NDRのように規模に応じた個別見積りになる対策もありますが、数千万円から数億円という被害額と並べれば、「まず何に投資すべきか」を金額感で判断できます。

出典・参考資料（1件）

• 出典：中小企業のための実例で学ぶサイバーセキュリティリスク事例集｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/reports/sme/rcu1hd0000009k82-att/sme-jirei.pdf）

まず着手すべき対策｜基本対策の徹底

警察庁は、被害を防ぐうえで最も重要なのは基本的なセキュリティ対策の徹底を継続することだとし、ソフトウェア更新、パスワードの適切な管理、アクセス権限等の適切な設定を挙げています。とくに主要な侵入経路であるVPN機器等は速やかな対応が必要だとしています。事例で繰り返し突破口になった箇所と重なるため、次の4点は費用対効果が高く、最初に着手すべき対策です。

• OS・ソフトウェア・ネットワーク機器の更新：VPN機器を含め、公表された脆弱性の修正プログラムを速やかに適用します。委託先が設置した機器の更新状況も確認します。
• 多要素認証（MFA）の導入：ID・パスワードが窃取されても、もう一段の認証で不正ログインを防ぎます。アスクルの事例では委託先アカウントにMFAが適用されていなかったことが侵入の一因でした。フィッシングに強いパスキー（FIDO2）方式が有効です。
• アクセス権限の最小化：全ユーザーに管理者権限を与えない、サーバーごとにパスワードを分けるなど、1つの認証情報が窃取されても横展開されにくい設計にします。医療機関の事例はこの逆で、被害が拡大しました。
• 従業員教育：フィッシングメールを見分ける訓練を繰り返し実施します。人を介した認証情報の窃取は、技術対策だけでは防ぎきれません。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

バックアップは暗号化されない前提で設計する

事例が示すとおり、攻撃者は復旧を妨害するためにバックアップも狙います。アスクルは、オンラインバックアップは取得していたものの、ランサムウェア攻撃を想定したバックアップ環境を構築していなかったため一部バックアップも暗号化され、迅速な復旧が困難になったと公表しています。バックアップは「取っているか」だけでなく「攻撃者から切り離されているか」が重要です。

具体的には、ネットワークから切り離したオフラインバックアップや、いったん書き込んだデータを変更・削除できないWORM（Write Once Read Many）などの改ざん耐性を持つ保管方法が有効だと、警察庁・IPAはともに指摘しています。

一般に「3-2-1ルール」（データを3つ持ち、2種類の媒体に保存し、1つは別の場所に置く）と呼ばれる考え方も、この「多重化・隔離・改ざん耐性」を実践する目安として広く使われています。あわせて、バックアップから実際に復旧できるかの訓練も行っておくと安心です。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）

ランサムウェアを想定したバックアップでは、ネットワークから切り離す・改ざんできない形で保管するといった隔離のしかたや、対象範囲・復元のしやすさが製品ごとに異なります。自社に合うバックアップの実装先を比較検討したい場合は、以下の記事で法人向けサービスを整理しています。

EDR／NDR・脆弱性診断で検知・可視化する

基本対策で侵入口を狭めても、突破された後に「入られたことに気づけるか」が被害の大きさを左右します。攻撃者は暗号化までの間に内部を探索し横展開するため、その不審な動きを検知できれば、被害が広がる前に止められる可能性が高まります。

端末側の不審な挙動を検知・対応するEDR、ネットワーク上の不審な通信や内部の水平移動を検知するNDR（Network Detection and Response）が、この「入られた後の検知」を担います。

あわせて、VPN機器をはじめとする外部に公開された資産に脆弱性が残っていないかを定期的に確認する脆弱性診断・ASM（攻撃対象領域の把握）も有効です。事例の多くが「放置された脆弱性」を突かれていることを踏まえると、自社の弱点を定期的に洗い出す仕組みが再発防止につながります。この記事の後半では、これらの対策を実装できる具体的なサービスを紹介します。

脆弱性診断は、外部に公開された機器やWebシステムに既知の弱点が残っていないかを、ツールや専門家が疑似的な調査で洗い出す取り組みです。診断方法（手動・ツール自動）や費用相場、自社に合う依頼先の選び方は、以下の記事で詳しく解説しています。

委託先・子会社・サプライチェーンの対策

アスクルやトヨタ、医療機関の事例が示すように、被害は委託先や子会社、仕入先を経由して波及します。自社の対策だけでなく、取引先を含めた守りが必要です。委託先が設置・運用する機器（VPN・保守用の接続経路など）の更新状況やアクセス権を把握する、委託先アカウントにも多要素認証を必須にする、取引契約にセキュリティ要件を盛り込むといった対応が考えられます。

グループ会社間のネットワークも、1拠点の被害が全体に広がらないよう分離しておくことが望まれます。

万一感染したときの初動対応

備えていても被害に遭う可能性はゼロにはなりません。感染が疑われたときに慌てないよう、公的機関が示す初動対応を押さえておきましょう。順番を誤ると、被害の拡大や、後の原因調査に必要な証拠の消失につながります。

感染端末をネットワークから隔離する

まず、感染した端末をネットワークから隔離し、被害の拡大を防ぎます。有線LANならケーブルを抜き、無線LANなら接続を切ります。外部ストレージを接続している場合は、それも切り離します。アスクルも、異常検知後に感染が疑われるネットワークを物理的に切断し、データセンターや物流センター間の通信も遮断して拡大防止に努めたと公表しています。

電源は切らない・再起動しない

隔離はしても、慌てて電源をオフにするのは避けます。警察庁は、慌てて電源をオフにするとログなどの侵入の痕跡が失われ、その後のフォレンジック調査が困難になる可能性があるため注意が必要だとしています。初動では被害拡大の防止とログなどのデータ保全を優先し、態勢を整えたうえで調査・復旧に取り組むことが推奨されます。

専門家・警察・JPCERT/CCへ報告する

被害が発覚した際は、早期に警察や関係機関へ通報することが求められます。セキュリティの専門企業やJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）など、外部の専門機関に相談することで、調査・復旧を適切に進められます。自社だけで抱え込まず、初動の段階で連携先を確保しておくことが重要です。

バックアップから復旧する

被害範囲を特定したうえで、暗号化されていないバックアップからの復旧を検討します。前章で触れたとおり、攻撃者はバックアップも狙うため、オフラインや改ざん耐性のある保管があるかどうかがここで復旧の可否を分けます。復旧の前に、感染経路や被害範囲の調査を済ませ、同じ経路から再び侵入されない状態にしてからシステムを戻すことが大切です。

身代金は支払わない

攻撃者から身代金を要求されても、支払わずに復旧することが原則です。IPAは、身代金を支払ってもデータ復元や流出防止の保証はなく、支払いに応じた企業として攻撃者間で情報共有され、別の攻撃者から再び狙われるおそれがあると指摘しています。警察庁も、身代金の支払いは犯罪グループの活動資金になることが懸念され、復号が保証されるわけではないと説明しています。

アスクルも、犯罪行為を助長させないという観点から身代金の支払いも交渉も一切行っていません。

出典・参考資料（2件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）
• 出典：ランサムウエア対策特設サイト｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/magazine/security/nomore-ransom.html）

事例の手口を踏まえた対策サービス

ここまで見た侵入経路と攻撃の流れに対して、実際にどのサービスで手を打てるかを紹介します。入口をふさぐ・侵入後に気づく・暗号化される資産を減らす・予防から復旧、補償まで備えるという、事例の手口の異なる段階に対応する4サービスを取り上げます。まず主な違いを比較表で確認してください。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、シングルサインオン（SSO）・多要素認証（MFA）・アクセス制限・ID管理を統合した、ゼロトラストの考え方に基づくクラウド型IDaaS（Identity as a Service）です。事例で侵入口となったフィッシングによるアカウント窃取や、多要素認証が適用されていない委託先アカウントの悪用といった「入口」の弱点をふさぐ役割を担います。

認証方式には、フィッシングへの耐性が高いパスキー（FIDO2）によるパスワードレス認証を全プラン・全ユーザーで無制限に利用できます。加えて、端末・場所・時間の3つの軸でアクセスを細かく制限でき、私用端末からのアクセス禁止や業務時間外の制限も設定可能です。提供元のインターナショナルシステムリサーチは、情報セキュリティマネジメントの国際規格ISO/IEC 27001（ISMS）を取得しています。

料金は月額400円／ユーザー（税抜）からで、30日間の無料トライアルが用意されています。

2. Network Blackbox（株式会社クワッドマイナージャパン）

ネットワークを流れるパケットを収集・分析し、脅威を検知・調査するのが、NDR（Network Detection and Response）製品のNetwork Blackboxです。事例で見たように、攻撃者は侵入後に管理者権限を奪いながら社内を横展開します。

Network Blackboxは、こうした侵入後の内部活動や不審な通信、データの持ち出しといった「ネットワーク上に痕跡が残る」動きの検知・事後調査を得意とし、「入られた後に気づく」層を担います。

フルパケットキャプチャを基盤に、収集・検知・脅威ハンティング・フォレンジック・対応の機能を備え、攻撃者の手法を体系化したMITRE ATT&CKフレームワークに基づく脅威ハンティングにも対応します。ミラーリング方式で導入するためネットワークへの影響を抑えられ、EDRやSIEMと連携して運用する設計です。

端末単体の操作やクラウドへの不正ログインなど、ネットワークに現れない事象は対象外のため、前述のIDaaSやEDRと組み合わせて使うことで守りが厚くなります。料金は要問い合わせで、個別見積りとなります。

3. Shadow Desktop（アップデータ株式会社）

PC本体にデータを物理的に残さない「データレスクライアント」という考え方の製品がShadow Desktopです。PC内のユーザーデータ（デスクトップ・ドキュメントなど）をクラウドやオンプレミスの外部ストレージへ自動でアップロードして端末側を空にすることで、ランサムウェアに暗号化される端末上の資産を減らし、盗難・紛失時の情報漏洩リスクも下げられる点が特徴です。

ローカルに一時保存されるキャッシュは暗号化（AES256bit）され、ファイル名も変換されます。オプションのバックアップ機能では最大99世代のバージョンを保持し、ランサムウェア感染時に感染前の日時を指定して復旧できます。VDI（仮想デスクトップ基盤）と異なりOSやアプリを仮想化しないため、通常のPCと同じ操作感で使える点も導入のしやすさにつながります。

最小5ライセンスから契約でき、最大30日間の無料トライアルがあります。料金は要問い合わせです。

4. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

KATABAMIは、サイバー攻撃対策を「予防・復旧・補償」の3本柱でまとめて提供するパッケージ型サービスです。専任のセキュリティ人材が乏しく、何から手を付けるか迷いやすい中小企業や、経営層が主導して対策を進めたい企業に向いています。事例で繰り返し問題になった「放置された脆弱性」と「バックアップごと暗号化」の両方に、一式で備えられる構成です。

予防にあたるKATABAMI VDPは、ネットワーク内部から月次（年12回）で脆弱性を診断し、対策案を提示します。復旧にあたるKATABAMI CRAは、攻撃者からたどり着けない隔離した経路でバックアップを保管する仕組みで、バックアップごと暗号化される被害への備えになります。

さらに、あいおいニッセイ同和損害保険のサイバー保険を自動付帯した補償も用意されています（賠償損害1億円・費用損害3,000万円、所定の評価で改善した事業者が対象）。料金は1台あたり月額1,250円からで、初回のヒアリングは無料です。

ここで取り上げた4サービスは、侵入の入口・侵入後の検知・暗号化される資産の削減・復旧という異なる段階に対応する代表例です。各層で他にどのような対策製品があるかまで見比べたい場合は、以下の記事で主要な製品を層ごとに整理しています。

まとめ

ランサムウェア被害は、中小企業から大企業、医療機関まで業種・規模を問わず広がっており、いったん被害に遭うと復旧に数千万円から数億円規模の費用と、1か月を超える事業停止を招くことがあります。事例が共通して示すのは、VPN機器の脆弱性・RDP・フィッシング・委託先経由という侵入口の弱点と、侵入後に横展開してバックアップごと暗号化されるという流れです。

まずは基本対策（機器の更新・多要素認証・アクセス権の最小化・従業員教育）を徹底し、バックアップを暗号化されない前提で設計したうえで、EDR／NDRや脆弱性診断で「入られた後に気づく」層を補うのが現実的な順序です。委託先・子会社まで含めて守ることも欠かせません。自社の弱点に当たりを付けたら、対応するサービスの資料を取り寄せて、具体的な検討を進めてください。

よくある質問（FAQ）

Q. ランサムウェアの「二重脅迫」とは何ですか？

A. 二重脅迫とは、データを暗号化して復旧と引き換えに身代金を要求するだけでなく、暗号化の前に盗み出した情報を「公開する」と脅して、二重に金銭を要求する手口です。近年の攻撃の主流で、IPA（情報処理推進機構）は暗号化・情報公開に加えてDDoSや顧客・取引先への連絡を組み合わせた「三重、四重脅迫」も確認されているとしています。

二重脅迫では、バックアップから復旧できても情報漏えいのリスクは残るため、暗号化への備えだけでなく、データを持ち出されない・持ち出されても被害を抑える対策が必要です。

Q. ノーウェアランサムとは何ですか？

A. ノーウェアランサムとは、データを暗号化せず、盗み出した情報を「公開する」と脅すことだけで金銭を要求する攻撃です。暗号化するマルウェア（ランサムウェア）を使わない点が特徴で、IPAもこうした手口の存在を指摘しています。暗号化を伴わないためシステムは止まらず気づきにくい一方、バックアップがあっても情報漏えいそのものは防げません。データの持ち出しを検知・抑止する仕組みが対策の鍵になります。

Q. 中小企業もランサムウェアの標的になりますか？

A. 中小企業も標的になります。警察庁によると、ランサムウェア被害に遭った企業・団体の約6割を中小企業が占めています。攻撃者は特定の企業を狙い撃ちするだけでなく、インターネット上で脆弱性のある機器を無差別に探し出して侵入するため、企業の規模や知名度に関わらず被害に遭う可能性があります。

むしろセキュリティ対策や専任人材が手薄になりがちな中小企業は、攻撃者にとって侵入しやすい対象になりやすい点に注意が必要です。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

Q. ランサムウェアの身代金は支払うべきですか？

A. 警察庁・IPAは、原則として身代金は支払わずに復旧することを推奨しています。身代金を支払ってもデータの復元や流出防止が保証されるわけではなく、支払いに応じた企業として攻撃者間で情報共有され、別の攻撃者から再び狙われるおそれがあるためです。警察庁も、身代金の支払いは犯罪グループの活動資金になることが懸念されると説明しています。

海外では身代金を支払った後に一部が回収された事例（Colonial Pipeline）もありますが、これは例外的で、支払っても被害額の全額が戻るわけではありません。

出典・参考資料（2件）

• 出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）
• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

Q. サイバー保険に加入していれば、支払った身代金は補償されますか？

A. 日本では、ランサムウェアの被害によって支払った身代金はサイバー保険の対象になりません。IPAがこの点を明確に注意喚起しています。そもそも身代金の支払いは前述のとおり推奨されないため、保険を理由に支払いを前提とするのは適切ではありません。

サイバー保険を検討する場合は、身代金ではなく調査・復旧・賠償など被害対応にかかる費用の補償範囲を確認したうえで、あくまで予防・検知・バックアップといった対策と組み合わせるリスク移転の手段として位置づけることが大切です。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）

Q. ランサムウェアに感染したら、まず何をすればよいですか？

A. まず感染した端末をネットワークから隔離し、電源は切らずにログを保全したうえで、警察やJPCERT/CCなどの専門機関へ連絡することが基本の初動です。有線LANならケーブルを抜き、無線LANなら接続を切り、外部ストレージも切り離して被害の拡大を止めます。そのうえで感染経路と被害範囲を調査し、暗号化されていないバックアップからの復旧を検討します。身代金は支払わないことが原則です。

順番を誤ると被害が広がったり、原因調査に必要な証拠が失われたりするため、慌てず公的機関の手順に沿って対応してください。

Q. ランサムウェア感染が疑われるとき、パソコンの電源は切るべきですか？

A. 電源は切らず、まず感染端末をネットワークから隔離してください。警察庁は、慌てて電源をオフにするとログなど侵入の痕跡が失われ、その後のフォレンジック調査（原因や被害範囲を突き止める調査）が困難になる可能性があると注意を呼びかけています。初動では、電源オフや再起動ではなく、被害拡大の防止とログなどのデータ保全を優先します。

ネットワークからの隔離で感染の広がりを止めたうえで、対応態勢を整えてから調査・復旧に取り組むのが適切です。

出典・参考資料（1件）

• 出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）

Q. バックアップを取っていれば、ランサムウェアに感染しても大丈夫ですか？

A. バックアップがあるだけでは安心できません。攻撃者は復旧を妨害するためにバックアップも狙うため、ネットワークにつながったままのバックアップは本体データと一緒に暗号化・削除されることがあります。実際にアスクルは、オンラインバックアップは取得していたものの、ランサムウェア攻撃を想定した環境を構築していなかったため一部バックアップも暗号化され、迅速な復旧が困難になったと公表しています。

ネットワークから切り離したオフラインバックアップや、書き込んだデータを変更・削除できないWORMなど改ざん耐性のある保管方法にし、実際に復旧できるかの訓練も行っておくことが重要です。加えて二重脅迫では情報漏えいそのものは防げないため、バックアップは復旧策であって漏えい対策にはならない点にも注意してください。

社内セキュリティ・ランサムウェア対策の資料を一括チェック

MCB FinTechカタログでは、ランサムウェア対策に役立つ認証・検知・バックアップなどのサービスの最新資料を無料で一括請求できます。機能や料金、対応範囲をまとめて見比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。