ランサムウェア対策の実践：バックアップ・権限・初動対応を中小企業向けに整理

ランサムウェア対策とは、攻撃者が侵入してからデータを暗号化して脅迫するまでの各段階に対して、「侵入を防ぐ」「横展開を止める」「暗号化されても復旧できる」「脅迫されても払わずに済む」という4つの備えを重ねることです。どれか1つで完結する対策はなく、特にバックアップは「あるかどうか」ではなく「攻撃者に消されない形で持っているか」が問われます。

IPAが毎年公表する「情報セキュリティ10大脅威」の組織向けでは、ランサムウェアによる被害が複数年にわたり上位に挙げられており、被害組織の規模は大企業に限りません。中小企業が狙われる理由は「価値がある」からではなく、VPN機器の更新漏れやMFAのない認証情報という「入りやすい入口」が、自動化されたスキャンで見つかるからです。ここでは攻撃の流れを段階ごとに分解し、各段階で効く予防策、消されないバックアップの設計、発覚時の初動、身代金の判断、BCPと訓練の進め方を、専任のセキュリティ担当がいない組織でも実行できる形で整理します。

攻撃の流れ：侵入→横展開→持ち出し→暗号化→脅迫

現在のランサムウェア攻撃は、メールを開いた瞬間に暗号化が始まる「ばらまき型」ではなく、人間の攻撃者が侵入してから数日〜数週間かけて社内を調べ、バックアップを潰し、データを持ち出してから暗号化する「侵入型」が主流です。段階に分けると、各段階で気づく機会と止める手段が違うことが分かります。

予防策：MFA・パッチ・VPN機器・権限・EDR・メール対策

予防策は多く挙げられますが、優先順位は「侵入経路として実際に多いもの」から決めます。効果と費用の比で並べると、順序はほぼ次のようになります。

1. インターネットに面したものすべてにMFA：VPN、リモートデスクトップゲートウェイ、メール、SaaS、管理画面。盗まれたパスワードだけでは入れなくなり、侵入型攻撃の入口の多くが閉じます。手順はMFAの全社導入にまとめています。
2. VPN機器・ファイアウォールの更新を「数日以内」に：これらの脆弱性は公開から数日で悪用が始まります。保守契約の有無、更新の通知を受け取る担当、適用の手順を台帳に書き、サポート終了機器は交換します。
3. RDPをインターネットに公開しない：3389番の公開は総当たりと脆弱性の両方の標的です。必ずVPN（MFA付き）の内側に置きます。
4. 権限の最小化：一般ユーザーからローカル管理者権限を外す。管理者は日常用と管理用のアカウントを分け、管理用は一般PCでメールを読まない。各PCのローカル管理者パスワードはLAPSで端末ごとに変える。これで「1台の侵害＝全社の侵害」の連鎖が切れます。
5. EDRと改ざん防止：横展開の段階で気づき、隔離するための道具です。詳しくはEDRの解説を参照してください。
6. メール対策：SPF・DKIM・DMARCで自社ドメインのなりすましを止め、添付ファイルの検査、リンクの書き換え保護を有効にする。Officeはインターネット由来のファイルのマクロを既定でブロックするので、その設定を緩めない。
7. ネットワーク分離とサーバーの基本設定：サーバー・バックアップ・IoT・ゲストをVLANで分け、SMBv1を無効化し、Linuxサーバーは基本のハードニング（SSH鍵認証・ファイアウォール・自動更新）を済ませておく。

「サポート切れのVPN機器を、管理画面のパスワードを強くして使い続ける」は成立しません。悪用されるのは認証の前段にある脆弱性で、パスワードの強さは関係がないからです。交換予算が下りるまでの間は、管理画面をインターネットから完全に閉じ、接続元IPを制限し、ログを毎日見る運用に切り替えてください。それができないなら、VPNを一時停止する方が事業継続の観点では安全です。

バックアップ：3-2-1-1-0・イミュータブル・オフライン

侵入型の攻撃者は暗号化の前に必ずバックアップを探し、消せるものは消します。ドメイン管理者の権限で消せるバックアップ、NASの共有フォルダに置かれたバックアップ、Windowsのシャドウコピーは、この段階で失われます。設計の基準として使うのが「3-2-1-1-0」ルールです。

「イミュータブル」は、書き込んだデータを一定期間、管理者であっても削除・変更できない状態にする仕組みです。クラウドのオブジェクトストレージではオブジェクトロック（保持期間中は削除不可）、Proxmox Backup ServerやVeeamのような製品ではLinuxの変更不能属性を使った「強化リポジトリ」として提供されています。ここで重要なのは、バックアップサーバーの認証情報を本番のActive Directoryから完全に切り離すことです。ドメイン参加させず、別のパスワードとMFAで管理し、本番側からバックアップサーバーへ接続するのではなく、バックアップサーバー側から本番へ取りに行く（pull型）構成にすれば、本番のドメイン管理者を奪われてもバックアップには届きません。Proxmox環境での具体的な構成はProxmox Backup Serverで3-2-1ルールを実現するで扱っています。

保持期間は最低30日、できれば90日を目安にします。侵入から暗号化まで数週間潜伏されると、7日分の世代しかないバックアップは「侵入済みの状態」しか含まないからです。復元テストでは「ファイルサーバー1台を戻すのに何時間かかるか」を測り、それが事業の許容停止時間（RTO）を超えるなら、バックアップの方式か優先順位を見直します。

NASのスナップショット機能は、NASの管理者アカウントがADに統合されていたり、本番と同じパスワードだったりすると、攻撃者に削除されます。同様に、クラウドストレージの同期（OneDriveやGoogleドライブの同期フォルダ）は暗号化されたファイルをそのまま同期するため、バージョン履歴からの復元機能があっても数万ファイルを戻すには膨大な時間がかかります。どちらも「バックアップの代わり」ではなく「復旧を速くする補助」と位置づけてください。

検知と初動対応の手順：隔離・連絡・証拠保全

発覚のきっかけは、脅迫文の発見、ファイルが開けないという問い合わせ、EDRの重大アラートのいずれかです。最初の1時間にやることの順序を決めておき、印刷して手元に置いてください。メールもチャットも使えない前提です。

1. 拡大を止める（隔離）：該当端末のLANケーブルを抜き、Wi-Fiを切る。電源は切らない（メモリ上の証拠が消え、暗号化途中のファイルが壊れることがある）。EDRがあれば管理画面から隔離する。範囲が不明なら、スイッチやファイアウォールでセグメントごと遮断し、インターネットへの出口を止める。
2. 侵入者の足場を消す：侵害が疑われるアカウントの無効化、ドメイン管理者と全管理者のパスワード変更、Active Directoryの krbtgt アカウントのパスワードを（時間を空けて2回）リセット、VPNの全セッション切断と一時停止。攻撃者がまだ中にいる前提で行う。
3. 連絡する：社内の意思決定者（経営層）、対応チーム、契約しているIT事業者やMDR、サイバー保険の窓口。連絡先一覧は印刷して保管し、連絡手段は個人の携帯電話など社内システムに依存しないものにする。
4. 証拠を保全する：脅迫文の写真とファイル、暗号化されたファイルのサンプル、ファイアウォール・VPN・AD・EDRのログのコピー、可能なら端末のディスクイメージ。時系列で「いつ・誰が・何をしたか」の記録を開始する。証拠は警察への相談と、侵入経路の特定、保険の請求に必要になる。
5. 範囲を特定する：暗号化されたシステム、無事なシステム、バックアップが無事か（バックアップサーバーには触る前に隔離されているかを確認）、データ持ち出しの形跡（外向き通信のログ）。持ち出しの有無が、報告義務と脅迫への対応方針を左右する。
6. 復旧する：侵害された端末とサーバーは掃除ではなく再構築し、検証済みのバックアップからデータを戻す。侵入経路（未修正の機器、MFAのないアカウント）を塞いでからネットワークに戻す。復旧中も監視を続け、再侵入の兆候を見る。

個人データが含まれる場合、個人情報保護法に基づく個人情報保護委員会への報告と本人への通知が義務になります。個人情報保護委員会のガイドラインでは、暗号化により個人データが使えなくなった場合も報告対象に含まれ、速報は概ね3〜5日以内、確報は30日以内（不正な目的による場合は60日以内）とされています（執筆時点。最新はガイドラインで確認してください）。取引先のデータを預かっている場合は、契約上の通知義務も確認します。

身代金を払わない判断と相談先

支払わない方針を事前に決めておく理由は、感情論ではなく実務上の根拠があります。支払っても復号ツールが提供されない、あるいは提供されても不完全で一部のデータが戻らないことがある。持ち出されたデータは支払っても消えたことを確認できない。支払った組織は「払う組織」として再び狙われる。支払いが犯罪組織の資金源となり、相手によっては制裁対象への送金として法的リスクを負う。そして警察庁も支払わないよう呼びかけています。「バックアップがなく事業が続かない」という状況で経営判断として検討する余地は残りますが、それは経営層・顧問弁護士・警察への相談を経て決めることであり、情シスが単独で交渉に応じる場面ではありません。

復号ツールが公開されている攻撃グループもあり、法執行機関とセキュリティ企業が運営する「No More Ransom」プロジェクトで脅迫文やファイルの拡張子から確認できます。過度な期待はできませんが、支払いを検討する前に確認する価値はあります。

BCP・訓練の進め方

BCP（事業継続計画）のランサムウェア版で決めるべきことは、「どの業務を、何日以内に、どの順番で戻すか」と「戻るまでの間、どう業務を続けるか」の2つです。前者は業務ごとに許容停止時間（RTO）と許容データ損失（RPO）を決め、バックアップの方式と復元テストの結果がそれを満たすかを確認します。後者は、受注・出荷・給与・請求といった止められない業務について、紙と電話で回す代替手順を用意し、必要な帳票や連絡先を社内システムの外（印刷物、個人の端末）に置いておくことです。

机上訓練は「月曜8時、出社したらファイルサーバーの全ファイルが開けず、共有フォルダに脅迫文がある。EDRのアラートは金曜22時に出ていたが誰も見ていなかった」というシナリオを読み上げ、参加者が15分刻みで「誰が・何をするか」を答えていく形式で2時間あれば十分です。初回はほぼ確実に「連絡先が分からない」「バックアップが無事か確認する方法が分からない」「経営層に何を報告するか決まっていない」が露見し、それが計画の改善点になります。

チェックリスト

よくある質問

ランサムウェアに感染したらまず何をする？

該当端末をネットワークから切り離し（電源は切らない）、範囲が不明ならセグメントごと遮断します。次に侵害が疑われるアカウントの無効化と管理者パスワードの変更、経営層・IT事業者・警察・保険窓口への連絡、脅迫文とログの保全の順です。掃除や復旧を先に始めると証拠が消え、侵入経路が分からないまま再侵入されます。

バックアップがあれば安全ですか？

「攻撃者が消せないバックアップ」があり、「復元できることを実際に確認している」場合に限って、暗号化に対しては復旧できます。本番と同じ管理者権限で消せるバックアップや、復元したことのないバックアップは、攻撃時には存在しないのと同じです。また、バックアップはデータの持ち出しによる脅迫には効かないので、侵入防止と横展開の抑止は別に必要です。

身代金は払うべき？

原則として払わない方針を事前に決めておくべきです。支払っても復号できない、持ち出されたデータは消えない、再び狙われる、犯罪組織への資金提供や制裁上のリスクがある、という根拠があり、警察庁も支払わないよう呼びかけています。検討せざるを得ない状況でも、経営層・弁護士・警察への相談を経た判断であり、現場が単独で交渉に応じることは避けてください。

まとめ

侵入型のランサムウェアは「侵入→横展開→持ち出し→バックアップ破壊→暗号化→脅迫」と段階を踏むため、対策も段階ごとに重ねます。入口はMFAとインターネットに面した機器の速やかな更新で閉じ、社内ではローカル管理者権限の剥奪・管理アカウントの分離・EDRで広がりを止め、バックアップは本番の権限で消せないイミュータブルかオフラインの世代を持って復元テストで確かめる。発覚時の初動は「隔離→足場の除去→連絡→証拠保全→範囲特定→再構築」の順を印刷して手元に置き、支払わない方針と相談先を平時に決めておく。年1回の机上訓練で、この計画が机上のものでないことを確認してください。

次に読む

• Proxmoxのバックアップ戦略：Proxmox Backup Serverで3-2-1ルールを実現する
• EDRとは？アンチウイルスとの違い・XDRとの関係・中小企業の選び方
• 多要素認証（MFA）を全社導入する手順：Microsoft 365 / Google Workspaceの設定とパスキー移行