ランサムウェアの感染経路と被害最小化。初期侵入を断ち、復旧できる備えをつくる

ランサムウェアは、組織のファイルやシステムを暗号化して使えなくし、復旧と引き換えに金銭を要求する攻撃です。IPAの「情報セキュリティ10大脅威 2025」では、組織向けの脅威として「ランサム攻撃による被害」が引き続き1位に選ばれており、2016年の初選出以来、近年は首位を維持し続けています。もはや一部の大企業だけの問題ではなく、警察庁の集計では被害報告の過半数を中小企業が占めています。

この攻撃が厄介なのは、一度暗号化が走ってしまうと、技術的にデータを取り戻す手段がほとんど残らない点にあります。攻撃者の鍵がなければ復号は事実上不可能で、身代金を払っても完全に戻る保証はありません。つまりランサムウェア対策の本質は、「感染してから何とかする」のではなく、「侵入させない」ことと「侵入されても復旧できる備えを先に用意しておく」ことの二本柱にあります。

この記事では、実際の被害で多い初期侵入経路、データを盗んでから暗号化する「二重恐喝」の仕組み、そして被害を最小化するためのバックアップ設計と隔離の考え方を、運用担当者が自分の環境に当てはめて判断できる粒度まで掘り下げて解説します。

まず押さえる早見表#

ランサムウェア対策は、攻撃の流れ（侵入、横展開、窃取、暗号化）のどこを断つかで打ち手が変わります。全体像を一枚で把握しておきます。

防御は一点突破ではなく多層で考えます。侵入を完全には防ぎきれない前提で、横展開を遅らせ、最終的に復旧できる備えを置くのが現実的な設計です。

初期侵入経路 ― 今の主流はメールではない#

かつてランサムウェアは、不審なメールの添付ファイルやリンクから感染する「ばらまき型」が中心でした。しかし現在主流の「侵入型（人手による）ランサムウェア」は、攻撃者がネットワークに侵入し、内部を調べて権限を奪いながら、最大の被害を与えられるタイミングで暗号化を実行します。この侵入の入り口として圧倒的に多いのが、外部に公開されたVPN機器とリモートデスクトップ（RDP）です。

警察庁が公表している集計では、ランサムウェアの感染経路はVPN機器が最も多く、リモートデスクトップと合わせると侵入経路の大半を占めています。コロナ禍以降にテレワーク用として急いで導入されたVPNが、その後パッチを当てられないまま放置され、既知の脆弱性を突かれて侵入口になるケースが目立ちます。

警察庁「サイバー空間をめぐる脅威の情勢等」では、ランサムウェアの感染経路としてVPN機器・リモートデスクトップが大きな割合を占めること、被害の多くを中小企業が占めることが公表されています。最新の数値は年次・上半期の各資料を参照してください。

JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」も、主な侵入経路として、(1) リモートアクセスの認証情報の窃取やブルートフォース、(2) 外部公開システムの脆弱性の悪用、(3) 管理を委託しているサービス事業者（MSP）経由、(4) 悪意あるメールによる端末のマルウェア感染、を挙げています。ここで誤解しやすいのは、「うちは怪しいメールを開かないよう教育しているから大丈夫」という考えです。今の主流は人の不注意ではなく、公開された機器の弱点を機械的に探して突く侵入であり、教育だけでは塞げません。

この声が示すように、初期侵入対策で最も費用対効果が高いのは派手なツールの導入ではなく、外部公開している機器の棚卸しとパッチ適用、そしてVPNやRDPへの多要素認証（MFA）の必須化です。特にMFAは、認証情報が盗まれても侵入を一段階で食い止められる効果が大きく、まず着手すべき施策です。

横展開 ― 一台の感染を全体に広げない#

攻撃者は侵入直後に暗号化するわけではありません。多くの場合、まず内部を探索し、より強い権限を持つアカウント（特にドメイン管理者）を奪い、サーバーやバックアップの所在を把握してから、被害が最大になるよう一斉に暗号化を仕掛けます。この「横展開」の段階をいかに遅らせ、検知するかが被害規模を左右します。

横展開を難しくする基本は、権限の最小化とネットワークの分割です。日常業務で管理者権限を常用しない、サーバーごとに到達できる範囲を絞る、といった地道な設計が効きます。とりわけ重要なのは、バックアップ用のサーバーやストレージを、通常の業務ネットワークから論理的・物理的に切り離しておくことです。攻撃者はバックアップを最初に破壊しようとするため、ここが本番系と同じ権限で自由に到達できる状態だと、いざというときに復旧の頼みの綱ごと失います。

二重恐喝 ― 暗号化しないだけでは終わらない#

近年のランサムウェア攻撃で主要な手口になっているのが「二重恐喝（ダブルエクストーション）」です。攻撃者は暗号化を実行する前に、組織内の機微なデータ（顧客情報、契約書、技術資料など）を外部に盗み出しておきます。そのうえで暗号化を行い、「復旧したければ身代金を払え。さらに払わなければ盗んだデータを公開する」と二段構えで脅します。

この手口が広まったことで、防御側の前提が大きく変わりました。かつては「バックアップから復旧できれば、身代金を払う必要はない」と言えました。しかし二重恐喝では、たとえ暗号化されたデータを自前のバックアップで戻せたとしても、すでに盗まれたデータを公開されるという情報漏えいの脅威が残ります。JPCERT/CCも、攻撃者がリークサイトを設けて被害組織名を公開し、ファイルを暴露すると脅して支払いを迫る実態を解説しています。

JPCERT/CCのFAQでは、攻撃者がリークサイト上で攻撃の事実を公開し、ファイルの暴露をちらつかせて身代金支払いを促す二重恐喝の手口が説明されています。被害発生時の初動と相談先も整理されています。

ここで実務上重要な判断基準があります。それは「身代金を払っても、盗まれたデータが本当に削除される保証はない」という点です。相手は犯罪者であり、約束を守る保証はどこにもありません。支払いは攻撃を助長し、次の標的を生むことにもつながります。だからこそ、暗号化への備え（バックアップ）と並んで、そもそもデータを盗まれにくくする対策（外部への大量送信の検知、機微データの保護、通信の監視）が必要になります。詳しい復旧設計は

被害最小化の核心 ― 攻撃者から切り離されたバックアップ#

ランサムウェアに対して最後に効くのは、攻撃者の手が届かないバックアップです。逆に言えば、バックアップが本番系と同じネットワークにつながり、同じ管理者権限で書き換えられる状態なら、それは「あるようでないバックアップ」です。攻撃者は復旧を妨げるため、暗号化の前にバックアップを探して破壊・暗号化しようとします。IPAも、バックアップ自体が標的になることを踏まえ、ネットワークから隔離された場所への保管や、取得時以外は外部記憶装置の接続を物理的に切ることが望ましいとしています。

IPAのランサムウェア対策特設ページでは、ランサムウェアの基本情報のほか、NISC・警察庁・JPCERT/CC等の対策資料や啓発コンテンツが集約されています。バックアップの隔離・オフライン保管の考え方も各資料で示されています。

バックアップ設計の指針として広く使われるのが「3-2-1ルール」です。考え方を分解すると次のようになります。

ただし3-2-1はあくまで土台で、本来の「1」は別拠点保管を指し、ネットワーク経由の攻撃そのものを防ぐ仕組みではありません。ランサムウェア対策で決定的に重要なのは、この退避先を攻撃者の手から切り離しておくことです。具体的には、取得後に接続を切るオフラインのストレージ、書き換えや削除を一定期間禁止できるイミュータブル（変更不可）ストレージ、あるいは本番とは別の認証系を持つクラウドのバックアップなどが該当します。常時マウントされたNASにバックアップを取っているだけでは、本番もろとも暗号化される危険がある点に注意してください。NAS活用時の注意は

加えて見落とされがちなのが、復旧テストです。バックアップは「取れていること」ではなく「戻せること」が価値です。実際に隔離環境へリストアして、業務が再開できるかを定期的に確かめておかないと、いざというときにバックアップが壊れていた、世代が足りなかった、手順が分からず時間がかかった、という事態に陥ります。復旧にかかる目標時間（RTO）と、どの時点まで戻せるか（RPO）を決め、その前提でバックアップの頻度と世代数を設計します。

感染を検知したときの初動#

万一感染が疑われたら、慌てて端末をシャットダウンする前に、被害を広げないことと証拠を残すことを意識します。JPCERT/CCも、まず正常なバックアップを保護し、感染した機器を隔離して感染拡大を止めることを優先するよう示しています。

ここで強調したいのは、初動の巧拙が被害規模を大きく左右するということです。隔離が遅れれば横展開が進み、バックアップを守れなければ復旧の手段を失います。だからこそ、感染してから手順を調べるのではなく、誰が何をどの順で行うかを事前に決めて訓練しておくことが、技術的な防御と同じくらい重要になります。

よくある質問#

まとめ#

ランサムウェアは「侵入を完全には防げない」前提で備える攻撃です。だからこそ、入り口（VPN・RDP・MFA）を固めて侵入の確率を下げつつ、最終的に攻撃者の手が届かないバックアップで復旧できる状態をつくることが、被害最小化の現実的な答えになります。二重恐喝が一般化した今は、暗号化への備えに加えてデータを盗まれにくくする対策も欠かせません。復旧の設計やバックアップの具体的な選び方は、