ランサムウェアとは？被害が過去最多を記録する脅威の全容と実践的対策
企業のデータを人質に取り、身代金を要求するランサムウェア。
2025年上半期だけで国内116件の被害が報告され、過去最多を更新しました。もはや「うちには関係ない」では済まされない時代です。
この記事では、警察庁が把握している企業・団体等におけるランサムウェア被害の報告件数が3期連続で高止まりしている現状を踏まえ、ランサムウェアの仕組みから最新の攻撃手法、そして実践的な対策まで、セキュリティの専門家でなくても理解できる形で解説します。
ランサムウェアの基本を理解する
ランサムウェアとは、企業や個人のコンピューター内のファイルを暗号化し、復号化と引き換えに身代金を要求するマルウェアです。「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語であり、その名の通り「デジタル誘拐」とも言える攻撃手法となっています。
ランサムウェアが「稼げる犯罪」になった理由
ランサムウェアの歴史は1989年まで遡りますが、なぜ今になって爆発的に増加しているのでしょうか。その背景には、攻撃が「ビジネスモデル化」したことがあります。
かつてのサイバー攻撃は、高度な技術を持つ一部のハッカーによる単独犯行が主流でした。ところが現在では、後述する「RaaS」というサービスの登場により、技術を持たない者でも攻撃できる環境が整ってしまったのです。
身代金の相場は企業規模によって異なりますが、数百万円から数億円に及ぶケースもあります。攻撃者側にとっては、成功すれば確実に利益が得られ、国境を越えた追跡の困難さからリスクも低い。このような「収益構造」が、ランサムウェアを産業化させた要因と言えるでしょう。
企業規模も業種も関係ない—狙われるのは「脆弱性」
「うちは中小企業だから狙われないだろう」という認識は、今や危険な思い込みです。2025年上半期の被害を受けた組織の資本金規模を見ると、1億円未満の組織が38%、1億円から10億円未満が31%で、合計69%が10億円未満の中小企業でした。
攻撃者が狙うのは「企業規模」ではなく「セキュリティの脆弱性」です。むしろ中小企業の方が、セキュリティ投資が不十分で侵入しやすいと判断されているのが実情です。
ランサムウェア攻撃の巧妙化する手口
ランサムウェア攻撃は、単にファイルを暗号化するだけではなくなっています。近年の攻撃は複数の段階を経て実行され、被害を最大化する仕組みが構築されています。
攻撃の4つのプロセス
ランサムウェア攻撃は、緻密に計画された4段階のプロセスで実行されます。
①初期侵入
攻撃者はまず、標的となる企業のネットワークへの侵入口を探します。感染経路に関しては、「VPN機器経由」「リモートデスクトップ経由」が2024年時点で全体の83%を占めています。
脆弱性が放置されたVPN機器、弱いパスワードで保護されたリモートデスクトップ、フィッシングメールに含まれる悪意あるリンク—これらが主な侵入経路となっているわけです。
ここで注目すべきは、攻撃者が侵入後すぐにランサムウェアを実行するわけではないという点です。むしろ静かに潜伏し、次の段階へと移行していきます。
②内部活動
ネットワークへの侵入に成功した攻撃者は、数日から数週間、時には数ヶ月にわたって社内システムを調査します。この段階で行われるのは、管理者権限の奪取、バックアップシステムの特定、重要データの所在確認などです。
攻撃者は、被害者が復旧できないよう、バックアップデータを事前に削除したり、セキュリティソフトを無効化したりする準備を進めます。まるで強盗が下見を重ねるように、攻撃の成功率を高めるための周到な準備が行われるのです。
③データの持ち出し
暗号化の前に、機密情報や個人情報を外部サーバーに転送します。これが後述する「二重恐喝」の材料となります。
顧客リスト、財務情報、研究開発データ、個人情報—これらが密かに盗み出され、攻撃者のサーバーに保管されます。企業が身代金の支払いを拒否した場合、これらのデータを公開すると脅すわけです。
④ランサムウェアの実行
準備が整ったところで、攻撃者はランサムウェアを実行します。AESやRSAといった強力な暗号化アルゴリズムを使用し、企業の重要ファイルを使用不可能な状態にします。
暗号化が完了すると、デスクトップには身代金要求のメッセージ（ランサムノート）が表示されます。「72時間以内に○○ビットコインを支払わなければデータを公開する」といった内容が、英語または日本語で記されているのです。
二重恐喝、そして三重恐喝へ
犯行手口を確認すると「二重恐喝」の手口が依然として大半を占めています。二重恐喝とは、データの暗号化に加えて、盗み出したデータの公開を脅すという2段階の恐喝手法です。
さらに進化した「三重恐喝」では、被害企業の顧客や取引先に対しても「あなたのデータが漏洩する」と脅迫メールを送信します。これにより、被害企業は自社への直接的な被害だけでなく、取引先からの信頼失墜というプレッシャーにも晒されることになります。
攻撃者は心理戦のプロです。身代金を支払わせるため、あらゆる圧力をかけてくるのです。
RaaS—誰でも攻撃者になれる時代
ランサムウェア攻撃が急増している最大の要因が「RaaS（Ransomware as a Service）」と呼ばれるビジネスモデルの確立です。
RaaSの仕組みとエコシステム
RaaSはランサムウェアの開発者が攻撃を行うのではなく、アフィリエイターと呼ばれる実行犯を集め、彼らにランサムウェアを提供します。このモデルでは、以下のような役割分担が成立しています。
RaaSオペレーター（開発者）
ランサムウェアの開発、メンテナンス、インフラの提供を担当します。正規のソフトウェア企業と同様に、バグ修正やアップデートも行います。
アフィリエイト（実行犯）
オペレーターからランサムウェアを購入・レンタルし、実際の攻撃を実行します。技術的知識が乏しくても、用意されたツールを使って攻撃できます。
イニシャル・アクセス・ブローカー（IAB）
企業ネットワークへのアクセス権を売買する仲介者です。脆弱なシステムを見つけ出し、侵入経路を確保してアフィリエイトに販売します。
この分業体制により、マルウェア開発の専門知識がなくても、資金さえあればランサムウェア攻撃を実行できる環境が整ってしまったのです。
RaaSの収益モデル
RaaSには主に3つの収益モデルが存在します。
サブスクリプション型
月額数千円から数万円の定額料金でランサムウェアを利用できるモデルです。SaaSと同様の仕組みで、常に最新版のランサムウェアにアクセスでき、技術サポートまで受けられます。
正規のビジネスと変わらないサービス品質に、攻撃のハードルが劇的に下がっているのが現状です。
利益分配型
攻撃が成功し、身代金を回収できた場合のみ、その一部（通常20〜40%）をオペレーターに支払うモデルです。初期投資が不要なため、アフィリエイトにとってリスクが低い選択肢となっています。
混合型（アフィリエイト型）
サブスクリプションと利益分配を組み合わせたモデルで、現在最も一般的です。月額料金を支払いつつ、成功報酬も分配します。
市場化されたランサムウェアは、もはや技術的な知識の問題ではなく、「資金があるか」だけの問題になってしまったのです。
代表的なRaaSグループ
LockBit
過去2年間（2022年～2023年）におけるランサムウェアの検出数全体におけるそのシェアは全体の中で2～3割ほどを占めていました。高い収益分配率（最大80%）とユーザビリティの良さで多くのアフィリエイトを集めていましたが、2024年2月に法執行機関によるテイクダウンを受けました。
ただし、完全に消滅したわけではなく、形を変えて活動を継続している可能性が指摘されています。
Qilin（キリン）
2024年度には日本で被害が確認されていなかったグループとして、ランサムウェアグループ「Qilin」が、2025年度上半期、日本での被害組織の数8件とトップになりました。医療機関や製造業を標的とし、特に日本企業への攻撃を強化している傾向が見られます。
Black Basta
2022年4月に登場した比較的新しいグループですが、Linux環境にも対応したランサムウェアを展開し、攻撃範囲を拡大しています。企業ネットワークへのアクセス認証情報を募集するなど、積極的な分業化を進めています。
Kawa4096
2025年6月下旬から活動開始を確認した「Kawa4096」は、活動開始直後から日本をターゲットにしている新興グループです。日本企業を狙った攻撃の増加が懸念されています。
実際に起きた被害事例から学ぶ
統計や仕組みを理解するだけでは、ランサムウェアの脅威の本質は見えてきません。実際の被害事例を見ることで、攻撃がもたらす影響の深刻さを実感できるはずです。
名古屋港の事例—社会インフラへの影響
2023年7月、名古屋港統一ターミナルシステムがLockBitランサムウェアに感染し、7月4日から6日7時半にかけて、コンテナの搬出入作業が一時中止され、約2万本のコンテナに影響が発生しました。
この事例が示すのは、ランサムウェアが単なる情報セキュリティの問題ではなく、物流という社会インフラを停止させる力を持っているという事実です。港湾機能の停止は、サプライチェーン全体に波及し、経済活動に甚大な影響を及ぼします。
近商ストアの事例—個人情報漏洩のリスク
2023年10月31日にサーバーの異常停止を検知した近商ストアでは、ネットスーパー会員約1万7000人の氏名や住所、電話番号、従業員やその家族約1万2000人、問い合わせした約7,000人の顧客の個人情報が流出した可能性が明らかになりました。
二重恐喝型の攻撃では、暗号化されたデータの復旧だけでなく、流出した個人情報への対応も必要になります。顧客への謝罪、個人情報保護委員会への報告、信用回復のための施策—これらすべてにコストと時間がかかるのです。
医療機関への攻撃—人命に関わる深刻さ
2025年2月10日、宇都宮セントラルクリニックでシステム障害が発生し、調査の結果、当院サーバーがランサムウェア攻撃を受けたことが判明しました。サーバーをネットワークから遮断したため、院内システムが使用できない状態が続き、診察および健診業務が制限されました。
医療機関への攻撃は、患者の命に直結する可能性があります。電子カルテシステムが使えなければ、適切な治療が困難になり、手術の延期や救急患者の受け入れ停止といった事態に陥ります。
アスクルの事例—長期化する復旧作業
2025年8月に発生したアスクル株式会社へのランサムウェア攻撃では、受注・出荷業務が停止し、顧客への商品配送に大きな影響が出ました。幸いにも受注システムは3日程度で復旧しましたが、完全な復旧には数週間を要しています。
この事例から分かるのは、ランサムウェア攻撃からの復旧は「データを戻せば終わり」ではないということです。システムの安全性確認、セキュリティ強化、影響範囲の調査—これらすべてに時間がかかり、その間ビジネスへの影響は続くのです。
ランサムウェア感染を防ぐための実践的対策
ここまで見てきたように、ランサムウェアの脅威は深刻です。しかし、適切な対策を講じることで、感染リスクを大幅に低減できます。
侵入を防ぐ—入口対策の徹底
VPN機器・リモートデスクトップの脆弱性対策
VPN機器やリモートデスクトップからの侵入が全体の大半を占めており、これらのテレワーク等に利用される機器等の脆弱性や強度の弱い認証情報等を利用して侵入したと考えられるものが大半です。
最優先で対応すべきは、これらの機器の脆弱性修正プログラムの適用です。メーカーから提供されるセキュリティパッチは、公開後すぐに適用する体制を整えましょう。「来月のメンテナンス時に」では遅すぎます。攻撃者は脆弱性が公開された直後から、それを狙った攻撃を開始するからです。
強固な認証の実装
パスワードだけの認証は、もはや十分ではありません。多要素認証（MFA）の導入により、たとえパスワードが漏洩しても、第二の認証要素がなければ侵入できない仕組みを構築します。
具体的には、ワンタイムパスワード、生体認証、ハードウェアトークンなどを組み合わせます。「面倒だ」という声もあるでしょうが、侵入を許してランサムウェア被害を受けるコストと比較すれば、この手間は極めて小さな投資です。
メール経由の攻撃への対策
フィッシングメールは依然として有効な侵入手段です。技術的対策としては、メールセキュリティゲートウェイの導入、添付ファイルのサンドボックス解析、URLフィルタリングなどが挙げられます。
しかし、技術だけでは防ぎきれません。従業員教育が不可欠です。「差出人を確認する」「不審なリンクはクリックしない」といった基本的なルールの徹底に加え、定期的な訓練メールの送付により、実践的なスキルを身につけさせる必要があります。
侵入された後の被害を最小化する
完璧な防御は存在しません。「侵入される可能性がある」という前提で、被害を最小化する対策も必要です。
アクセス権限の最小化
すべての従業員に管理者権限を付与していませんか？それは攻撃者に鍵を渡しているようなものです。
各従業員には、業務に必要な最小限の権限のみを付与します。これにより、仮にアカウントが乗っ取られても、攻撃者がアクセスできる範囲を限定できます。特に機密情報や基幹システムへのアクセスは、厳格に管理すべきです。
ネットワークのセグメンテーション
社内ネットワークを複数のセグメントに分割し、それぞれの間にファイアウォールを設置します。これにより、一箇所が侵害されても、他のセグメントへの横展開を防ぐことができます。
例えば、業務システム、開発環境、ゲストネットワークを分離し、相互のアクセスを制限します。ランサムウェアが一つのシステムを暗号化しても、ネットワーク全体への拡散は防げるわけです。
EDRの導入と監視体制の構築
EDR（Endpoint Detection and Response）は、エンドポイントでの不審な動きを検知し、迅速な対応を可能にするツールです。従来のアンチウイルスソフトが「既知のマルウェア」を検出するのに対し、EDRは「不審な挙動」を検知します。
しかし、ツールを導入しただけでは不十分です。24時間365日の監視体制を構築し、アラートに即座に対応できる体制を整える必要があります。自社での運用が難しい場合は、MSS（マネージドセキュリティサービス）の活用を検討しましょう。
バックアップ—最後の砦を確保する
どれほど対策を講じても、ランサムウェアに感染する可能性はゼロにはなりません。最後の砦となるのがバックアップです。
3-2-1ルールの実践
バックアップの基本原則は「3-2-1ルール」です。
3つのコピーを作成（本番データ＋バックアップ2つ）
2種類の異なるメディアに保存（HDDとテープ、クラウドとローカルなど）
1つはオフサイト（物理的に離れた場所）に保管
特に重要なのが「ネットワークから切り離したバックアップ」の存在です。ランサムウェアはネットワーク経由でバックアップデータも暗号化しようとします。物理的に切り離されたバックアップがあれば、最悪の場合でもデータを復旧できます。
定期的な復旧訓練
バックアップを取っているだけでは不十分です。実際にデータを復旧できるか、定期的に訓練を行いましょう。
「いざという時にバックアップが壊れていた」「復旧手順が分からず時間がかかった」といった事態を避けるため、四半期に1回程度の復旧訓練を実施します。また、復旧にかかる時間を計測し、事業継続計画（BCP）に反映させることも重要です。
ランサムウェアに感染してしまったら
万全の対策を講じていても、感染してしまう可能性はあります。その場合、初動対応の質が被害の大きさを左右します。
感染直後の対応—冷静さが鍵
①ネットワークからの隔離
感染した端末を発見したら、すぐにネットワークから切り離します。有線LANケーブルを抜く、Wi-Fiを切断するなど、物理的な遮断が確実です。
ここで重要なのは「電源を切らない」ことです。メモリ上に残る重要な証拠が失われてしまうためです。ネットワークから隔離した状態で、電源は入れたままにしておきます。
②組織全体への通知
情報システム部門だけの問題ではありません。経営層を含めた緊急対策本部を設置し、全社的な対応体制を構築します。
同時に、全従業員に対して不審なファイルを開かないよう注意喚起を行います。初期侵入が1台でも、時間が経てばネットワーク全体に拡散する可能性があるからです。
③専門家への相談
自社だけで対処しようとするのは危険です。フォレンジック調査の専門企業、セキュリティベンダー、警察のサイバー犯罪相談窓口などに、速やかに連絡しましょう。
特に個人情報が漏洩した可能性がある場合、個人情報保護委員会への報告義務が生じます。専門家の助言を得ながら、法的要件を満たした対応を進める必要があります。
身代金の支払いについて—払うべきか、払わざるべきか
結論から言えば、身代金の支払いは推奨されません。その理由は複数あります。
まず、支払ってもデータが戻る保証はありません。攻撃者が約束を守る義務はなく、実際に金銭を受け取った後も復号鍵を提供しないケースも報告されています。
次に、支払いは犯罪組織への資金提供となり、新たな攻撃の資金源になります。あなたの支払った身代金が、他の企業を攻撃するための資金になるのです。
さらに、「支払う企業」というレッテルが貼られ、再び標的にされるリスクも高まります。攻撃者間で情報共有が行われており、「あの企業は支払った」という情報が広まれば、次の攻撃を招きかねません。
復旧に向けた手順
フォレンジック調査の実施
感染経路の特定、影響範囲の確認、データ流出の有無を調査します。これは単なる原因究明ではなく、再発防止と法的対応のために必須のプロセスです。
システムの再構築
感染したシステムは、完全に再構築します。ランサムウェアを駆除しただけでは、バックドアなどの不正プログラムが残っている可能性があるためです。
時間はかかりますが、クリーンな状態からの再構築が、長期的には最も確実な方法です。
関係者への通知
顧客、取引先、従業員など、影響を受ける可能性のあるステークホルダーへの通知を行います。特に個人情報が漏洩した場合、該当する個人への連絡は法的義務となります。
透明性のある情報開示は、短期的には痛みを伴いますが、長期的な信頼回復には不可欠です。隠蔽しようとする姿勢は、発覚した際により大きなダメージをもたらします。
今後のランサムウェアの脅威—変化する攻撃手法
ランサムウェアの脅威は静的ではありません。攻撃者は常に新しい手法を開発し、防御側の対策を回避しようとしています。
AIを悪用した攻撃の高度化
生成AIの登場により、フィッシングメールの文面作成や、標的企業の調査が効率化されています。従来は文法的におかしい日本語で見破れたフィッシングメールも、自然な日本語で書かれるようになり、見分けがつきにくくなっています。
また、AIを使った音声合成技術により、経営者や上司の声を模倣した「なりすまし電話」による攻撃も報告されています。「社長の声」で緊急の送金を指示されたら、疑うことなく実行してしまう従業員もいるでしょう。
クラウド環境を狙った攻撃
特定のIAMユーザーのアクセスキーが不正に使用され、対象のクラウドストレージ上のバケットに対するアクセス・削除操作が行われたという事例が報告されています。
従来のランサムウェアのようにデータを暗号化するのではなく、クラウドストレージから直接データを削除し、身代金を要求する手法です。これは「ノーウェアランサム」とも呼ばれ、マルウェアを使用しないため検知がより困難です。
オンプレミスからクラウドへの移行が進む中、クラウド環境のセキュリティ設定の重要性が増しています。IAM（Identity and Access Management）の適切な設定、アクセスログの監視、定期的な権限見直しなど、クラウド特有の対策が求められます。
サプライチェーン攻撃の増加
大企業のセキュリティが強化される中、攻撃者は「弱いリンク」である中小企業や取引先を経由して侵入する戦略を取り始めています。
2023年に発生した人事労務システムを提供する企業へのランサムウェア攻撃では、個人情報保護委員会への漏えい等報告が3000件を超えました。一つの事業者が攻撃を受けることで、その顧客である数千の企業・団体に影響が波及したのです。
自社の対策だけでなく、委託先や取引先のセキュリティレベルも確認する必要があります。契約時にセキュリティ要件を明確にし、定期的な監査を実施するなど、サプライチェーン全体でのセキュリティ確保が求められる時代になっています。
まとめ—ランサムウェアと向き合うための心構え
ランサムウェアは、もはや「もしも」の脅威ではなく、「いつ」遭遇するかの問題になっています。令和7年上半期におけるランサムウェアの被害報告件数は116件であり、半期の件数としては令和4年下半期と並び最多という状況は、この脅威が減少する兆しがないことを示しています。
しかし、恐れるだけでは何も解決しません。必要なのは、脅威を正しく理解し、適切な対策を講じることです。
完璧な防御は存在しないという前提に立ち、侵入を防ぐ対策と、侵入された後の被害を最小化する対策の両方を実施します。技術的対策に加えて、従業員教育、定期的な訓練、インシデント対応計画の策定など、総合的なアプローチが不可欠です。
また、セキュリティは「一度やれば終わり」ではありません。攻撃手法は日々進化しており、それに対応するには継続的な改善が必要です。定期的な脆弱性診断、最新の脅威情報の収集、対策の見直しを習慣化しましょう。
経営層の理解とコミットメントも重要です。セキュリティ投資は「コスト」ではなく「リスク管理」です。ランサムウェア被害による事業停止、顧客離れ、訴訟リスクを考えれば、予防的な投資の方がはるかに安価であることを、経営判断に反映させる必要があります。
最後に、ランサムウェアは技術の問題である以上に、組織全体の問題です。情報システム部門だけの責任ではなく、全従業員が「自分事」として捉え、日々の業務の中でセキュリティ意識を持つことが、最も強固な防御となるのです。
今日から実践できる小さな一歩—それは、この記事で得た知識を職場で共有することかもしれません。あるいは、長らく放置していたソフトウェアのアップデートを実行することかもしれません。どんなに小さな行動でも、それがランサムウェアから組織を守る盾となります。
参考情報
