ランサムウェアとは？被害を防ぐために今すぐ確認したい対策

2026年9月26日、京王電鉄は、同日未明に同社グループのサーバーへのランサムウェア攻撃を確認し、一部グループ会社の営業システムに支障が生じていると公表しました。公表時点では鉄道の運行に支障はなく、情報漏えいについては確認できていないものの、外部専門家とともに攻撃経路や影響範囲を調査中としています。最新状況は京王電鉄の公式発表で確認する必要があります。

この事例からも分かる通り、ランサムウェアは「怪しいメールを開かなければ大丈夫」という種類の脅威ではありません。現在はVPN機器やリモートアクセス環境の脆弱性、漏えいした認証情報、弱いパスワード、設定不備などからネットワークへ侵入し、組織内部を探索したうえで暗号化や情報窃取に進む攻撃が目立ちます。重要なのは、感染を100％防ぐことだけではなく、侵入されても被害を広げず、復旧できる状態を事前に作っておくことです。

ランサムウェアとは何か

ランサムウェアは、端末やサーバー内のデータを暗号化して利用できなくし、復旧と引き換えに金銭や暗号資産を要求するマルウェアの一種です。警察庁は、暗号化を行わずにデータだけを盗み、公開をほのめかして金銭を要求する「ノーウェアランサム」も確認されていると説明しています。つまり、現在の被害は「ファイルが開けなくなる」だけではありません。

さらに、データを暗号化する前に機密情報を外部へ持ち出し、「支払わなければ公開する」と脅す二重恐喝も重要な特徴です。バックアップがあってシステムを復旧できても、窃取された個人情報や取引情報の問題は残る可能性があります。対策を考える際は、可用性、機密性、事業継続の3つを同時に見る必要があります。

詳しい定義と現在の手口は、警察庁「ランサムウェア被害防止対策」でも確認できます。

いま特に確認したいのは「侵入口」が残っていないか

以前は不特定多数に送られる不審メールが典型的な入口として知られていましたが、警察庁は現在、VPN機器などインターネットに露出した箇所から、未修正の脆弱性、漏えいした認証情報、簡単なパスワード、設定不備を悪用して侵入する手口が多いとしています。

たとえば、社員が自宅から社内システムに接続するためのVPN装置を数年間更新しておらず、管理画面がインターネットから到達可能なままになっている場合、メール対策だけを強化しても十分とは言えません。まず「外部から到達できる機器・サービスの一覧」を作り、現在も必要なものか、修正プログラムが適用されているかを確認することが現実的です。

今日確認できる項目

• VPN、ファイアウォール、リモートデスクトップ、NAS、サーバーなど、外部公開されている機器を把握しているか
• OS、アプリ、VPN機器、ネットワーク機器の更新が止まっていないか
• メーカーのサポートが終了した機器を使い続けていないか
• 管理画面をインターネット全体へ公開する必要が本当にあるか
• 退職者や異動者のアカウントが残っていないか

パスワードだけに頼らず、多要素認証を使う

認証情報が漏えいすると、攻撃者は正規ユーザーと同じ入口からログインできる場合があります。そのため、長く推測されにくいパスワードを使い、サービス間で使い回さないことが基本です。しかし、パスワードだけで守る設計には限界があります。

警察庁は、多要素認証の導入やIPアドレスによるアクセス制限の併用を推奨しています。特に、VPN、クラウド管理画面、メール、管理者アカウントなど、侵害された際の影響が大きい場所から優先すると効果的です。

たとえば、攻撃者がフィッシングでパスワードを入手しても、追加の認証要素が必要であれば、そのままログインできない可能性が高まります。ただし、多要素認証を導入しただけで安全になるわけではありません。身に覚えのない承認通知を無条件で許可しないことや、管理者権限のアカウントを日常業務に使わないことも合わせて必要です。

バックアップは「取っているか」ではなく「攻撃者から切り離せるか」で見る

ランサムウェア対策でバックアップは不可欠ですが、同じネットワークに常時接続されたバックアップは、元データと一緒に暗号化される可能性があります。警察庁も、バックアップデータまで暗号化される事例があるため、重要度に応じてオフライン保存などを行うよう推奨しています。

実務では、バックアップの有無だけでなく、次の4点を確認すると判断しやすくなります。

バックアップ装置を接続したまま毎晩コピーしているだけなら、「バックアップはあるが復旧できない」という状態になり得ます。重要なバックアップの一部をネットワークから切り離す、変更不能な保管方式を検討する、復旧訓練を行うなど、攻撃を前提にした設計が必要です。

権限を絞ると、侵入後の被害拡大を抑えやすい

攻撃者は最初の1台に侵入した後、より強い権限を持つアカウントを探し、サーバーや共有フォルダーへ横展開しようとします。全社員が広い共有領域へ書き込みできたり、通常業務のアカウントに管理者権限が付いていたりすると、1つのアカウント侵害が全社的な暗号化につながりやすくなります。

そのため、アカウントの権限は業務上必要な範囲に限定し、特に管理者権限は対象者と利用場面を絞るべきです。ファイルサーバーについても、「誰でも全部見られる」構成より、部署や役割に応じてアクセス可能範囲を分ける方が被害を限定しやすくなります。

セキュリティ製品は「導入済み」より運用状態を確認する

ウイルス対策ソフトやEDR（Endpoint Detection and Response）、ネットワーク監視製品は、不審な挙動を検知して被害拡大を抑えるうえで有効です。ただし、インストールされているだけでは十分ではありません。

端末が管理対象から外れていないか、検知アラートが誰にも確認されず放置されていないか、更新が失敗していないか、夜間や休日の重大アラートを誰が受けるかまで決めておく必要があります。警察庁も、セキュリティ製品は最新の状態に保ち、適切に運用することが重要だとしています。

メール対策も依然として必要

VPNや認証情報が主要な侵入口になっているからといって、不審メール対策が不要になったわけではありません。請求書、配送通知、取引先からの返信などに見せかけた添付ファイルやリンクから、マルウェア感染や認証情報の窃取につながることがあります。

差出人表示だけで信用せず、添付ファイルやリンクを開く前に文脈を確認することが基本です。特に、普段と違う送金依頼、突然のパスワード再入力、クラウドストレージへのログイン要求などは、別の連絡手段で送信者へ確認すると被害を減らせます。

2026年9月にIPAが公開した教訓集から見える重要点

IPAは2026年9月8日に「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」を公開し、9月10日にVer.1.1へ更新しました。そこでは、現在の侵入型ランサムウェアでは、暗号化が発覚した時点ですでに攻撃者の活動が最終段階に入っていることがあり、侵害調査、復旧、業務継続、外部公表などを短時間で判断する必要があるとされています。

この指摘の意味は大きく、「感染してから考える」では遅いということです。連絡先、意思決定者、停止してよいシステム、復旧の優先順位、顧客や取引先への連絡方法などを事前に決めておく必要があります。最新版はIPAの教訓集公開ページで確認できます。

もし被害が疑われたら、最初に何をするべきか

端末で大量のファイルが開けなくなった、見慣れない拡張子へ変わった、身代金要求の文書が表示された、複数端末で同時に異常が起きたといった場合は、被害拡大を止めることが優先です。

警察庁は、感染したパソコン等のLANケーブルを抜く、無線接続をオフにするなどしてネットワークから隔離するよう案内しています。一方で、調査に必要なログが失われる可能性があるため、むやみに電源を落とさないよう注意しています。組織では自己判断で初期化したりファイルを削除したりせず、情報システム担当者やインシデント対応責任者へ連絡するのが基本です。

また、警察への通報・相談も検討すべきです。警察庁は、被害拡大防止の初動支援や、場合によっては復号ツールの案内が可能としています。身代金の支払いについては、犯罪グループの活動資金になる懸念があることに加え、支払っても復号が保証されるわけではないと説明しています。

今すぐ使えるランサムウェア対策チェックリスト

• 更新：OS、アプリ、VPN、ファイアウォール、NASなどに未適用の更新がないか
• 外部公開：インターネットから到達できる機器・管理画面を一覧化できているか
• 認証：重要なサービスで多要素認証を有効にしているか
• パスワード：使い回しや初期パスワードが残っていないか
• 権限：管理者権限や共有フォルダーのアクセス範囲が広すぎないか
• バックアップ：攻撃者から切り離されたコピーがあり、実際に復元できるか
• ログ：VPN、認証、端末、サーバーなどの調査に必要なログを保存しているか
• 監視：EDRやセキュリティ製品の重大アラートを誰が確認するか決まっているか
• 連絡体制：休日・夜間を含むインシデント時の連絡先が最新か
• 訓練：ネットワーク隔離、バックアップ復旧、対外連絡を実際に試したことがあるか

個人利用者が確認したいこと

ランサムウェアは企業だけの問題ではありません。個人のPCでも、OSやブラウザーを最新にし、重要な写真や文書を別媒体や信頼できるバックアップ先へ複製し、メールやSMSの不審なリンクを開かないことが基本です。オンラインサービスでは、多要素認証が利用できる場合は有効にし、パスワードを使い回さないようにします。

ただし、会社支給端末で異常が出た場合は、個人の判断で初期化や復元を始めないでください。証拠やログを失う可能性があるため、会社の手順に従って情報システム部門へ連絡することが優先です。

「完全に防ぐ」より「侵入されても止められる」設計へ

ランサムウェア対策で最も危険なのは、ひとつの製品やひとつの施策だけで安心してしまうことです。更新、多要素認証、最小権限、監視、バックアップ、訓練を重ねることで、攻撃者が突破しなければならない壁を増やし、突破された場合の被害範囲も小さくできます。

2026年9月17日に更新されたIPA「ランサムウェア対策特設ページ」には、最新の教訓集や関連資料が集約されています。実際の被害防止・初動については、警察庁の対策ページも併せて確認すると実務に落とし込みやすくなります。海外拠点を含む組織では、CISAのStopRansomware Guideも予防と対応のチェックに利用できます。

まずは今日、外部公開機器の更新、多要素認証、バックアップの分離と復元テスト、管理者権限、緊急連絡先の5点だけでも確認してください。ランサムウェア対策は、特別な事故が起きたときだけ行う作業ではなく、日常運用の中で継続的に点検するほど効果が高まります。