こんにちは、InfraAcademyを運営しているryuです。
今回は、ランサムウェアとは何か、どのように侵入し、どんな対策が必要なのかをIT初心者向けに解説します。
ランサムウェアというと、メールの添付ファイルを開くとPCのデータが暗号化され、身代金を要求される攻撃をイメージする方が多いかもしれません。
もちろん、そのような攻撃もあります。ただ、現在の企業を狙ったランサムウェアでは、VPN機器の脆弱性やリモートデスクトップ、盗まれた認証情報などからネットワークへ侵入し、複数のサーバーへ被害を広げるケースも重要になっています。
さらに、最近のランサムウェアはファイルを暗号化するだけではありません。暗号化する前にデータを盗み、公開されたくなければ金銭を支払うよう要求する攻撃もあります。
元の記事は2020年当時の内容だったため、今回は現在の攻撃手法に合わせて、感染・侵入経路から対策、被害が発生したときの初動までまとめて解説します。
ランサムウェアとは？¶
ランサムウェアは、コンピュータやサーバーの利用を妨害し、元に戻すことなどと引き換えに金銭を要求するマルウェアです。
Ransomは身代金という意味です。代表的な攻撃では、PCやサーバーに保存されているファイルを暗号化し、利用者が開けない状態にします。
例えば、会社のファイルサーバーにある見積書、契約書、設計データなどが一斉に暗号化されたとします。データを開けないだけでも業務へ大きな影響が出ます。
企業では、PC1台の問題で終わらず、サーバーやActive Directory、バックアップ環境まで攻撃され、長期間業務を停止するケースがあります。
最近は暗号化だけではない¶
ランサムウェアを、ファイルを暗号化して身代金を要求するだけの攻撃だと覚えていると、現在の被害を十分に理解できません。
攻撃者が先に重要なデータを外部へ持ち出し、そのあとファイルを暗号化するケースがあります。
流れを簡単にすると次のようになります。
ネットワークへ侵入
↓
内部を調査
↓
重要データを盗む
↓
サーバーやPCを暗号化
↓
身代金を要求
↓
支払わなければデータ公開も示唆
このように、暗号化による業務停止と情報漏えいの両方を材料に金銭を要求する手法は、二重恐喝と呼ばれることがあります。
そのため、バックアップから復元できればすべて解決するとは限りません。盗まれた情報がある場合は、情報漏えいへの対応も必要です。
ランサムウェアはどこから侵入する？¶
元記事では、メールによる感染を中心に説明していました。
しかし、企業を狙った現在のランサムウェアでは、インターネットへ公開されている機器やリモートアクセス環境も非常に重要な侵入口です。
IPAの情報セキュリティ白書2025では、警察庁資料をもとに2024年のランサムウェア感染経路100件を整理しています。その内訳では、VPN機器からの侵入が55%、リモートデスクトップからの侵入が31%、不審メールや添付ファイルが2%でした。
これは、メール対策が不要という意味ではありません。企業ではメールだけに注意していても十分ではなく、VPN、RDP、認証情報、インターネット公開機器の脆弱性まで対策する必要があるということです。
VPN機器などの脆弱性から侵入する¶
企業では、社外から社内ネットワークへ接続するためにVPNを利用することがあります。
VPN機器やファイアウォールなどに脆弱性があり、修正プログラムを適用していない場合、その脆弱性を悪用して攻撃者がネットワークへ侵入する可能性があります。
特にインターネットへ直接接続している機器は、外部から攻撃を受けやすい場所です。
PCのWindows Updateだけではなく、VPN機器、ルーター、ファイアウォールなどのファームウェアやソフトウェアも継続的に更新する必要があります。
リモートデスクトップから侵入する¶
WindowsのRDPなど、遠隔操作のためのサービスがインターネットへ直接公開されていると、攻撃対象になることがあります。
パスワードが弱かったり、漏えいした認証情報が使い回されていたりすると、不正ログインされる可能性があります。
リモートアクセスが必要な場合は、不要なRDPを外部公開しないことに加えて、多要素認証やVPN、アクセス元制限などを組み合わせます。
使っていないサービスやポートを開けたままにしないことも重要です。
メールやWebから感染する場合もある¶
不審メールの添付ファイルやURLは、現在も注意が必要です。
攻撃者は、請求書、配送通知、取引先からの連絡などに見せかけて、不正なファイルを開かせたり、偽サイトへ誘導したりします。
ただ、対策を利用者の注意だけに任せるのは危険です。
メールフィルタリング、Webフィルタリング、セキュリティソフト、EDR、権限制御など、複数の対策を組み合わせることが大切です。
ランサムウェア対策1：インターネット公開機器を更新する¶
最初に確認したいのが、外部からアクセスできる機器やサービスです。
例えば、VPN装置、ファイアウォール、リモートアクセス製品、Webサーバーなどです。
これらに既知の脆弱性がある状態でインターネットへ公開していると、攻撃者から狙われやすくなります。
定期的に脆弱性情報を確認し、修正プログラムやファームウェアを適用してください。
単にOSを最新版にするだけではなく、ネットワーク境界にある機器も資産として管理する必要があります。
ランサムウェア対策2：多要素認証を使う¶
パスワードだけの認証では、認証情報が漏えいしたときに不正ログインされる可能性があります。
VPN、クラウドサービス、管理者アカウントなど、重要なシステムでは多要素認証を利用することが重要です。
多要素認証を設定すると、IDとパスワードが漏れた場合でも、それだけではログインできない状態を作れます。
特にリモートアクセスや管理者アカウントは、優先して見直したいところです。
ランサムウェア対策3：バックアップを分離して保管する¶
ランサムウェア対策でバックアップは非常に重要です。
ただし、同じネットワーク上で常に接続されているバックアップだけでは不十分な場合があります。
攻撃者が管理者権限を取得すると、バックアップサーバーやオンラインバックアップまで削除・暗号化することがあるためです。
重要なデータは、攻撃を受けた環境から簡単に書き換えられない場所にもバックアップを保管します。
IPAでは、重要データについて3-2-1ルールも紹介しています。運用データを含めて3つのコピーを持ち、2種類の異なる媒体を利用し、そのうち1つを別の場所へ保管する考え方です。
バックアップは取得しただけで安心せず、実際に復元できるか定期的に確認してください。
ランサムウェア対策4：権限を必要最小限にする¶
普段使うユーザーが必要以上の管理者権限を持っていると、マルウェアがその権限を利用して被害を広げる可能性があります。
そのため、通常作業用アカウントと管理者アカウントを分け、必要なユーザーだけに管理権限を与えます。
ファイルサーバーについても、全社員がすべての共有フォルダーへ書き込める状態より、業務に必要な範囲だけアクセスできる方が被害を限定しやすくなります。
セキュリティでは、侵入を100%防ぐことだけではなく、侵入された場合に被害を広げない設計も重要です。
ランサムウェア対策5：ネットワークを分ける¶
PC、サーバー、バックアップ環境、重要システムがすべて同じネットワークで自由に通信できると、1台の端末から別のシステムへ攻撃が広がりやすくなります。
ネットワークを役割ごとに分割し、必要な通信だけを許可すると、横展開を難しくできます。
例えば、一般社員のPCからバックアップ管理サーバーへ直接自由に接続できる必要があるのかを考えてみましょう。
ファイアウォールやVLANなどを使って通信範囲を整理することは、ランサムウェア対策にもつながります。
ランサムウェア対策6：ログを残して異常を検知する¶
ランサムウェアは、ネットワークへ侵入した直後に暗号化を始めるとは限りません。
内部のサーバーを調べたり、認証情報を盗んだり、データを外部へ送ったりしてから、最後に一斉に暗号化することがあります。
VPN、Active Directory、ファイアウォール、サーバー、エンドポイントなどのログを残し、不審なログインや大量通信を確認できる状態にしておくことが重要です。
EDRやSIEMなどの仕組みも、端末やログから不審な挙動を検知するために利用されます。
ランサムウェアに感染したら最初に何をする？¶
ランサムウェアが疑われた場合、慌ててファイルを削除したり、すぐバックアップを接続したりするのは避けてください。
組織であれば、まず社内の情報システム部門やセキュリティ担当者へ連絡し、決められたインシデント対応手順に従います。
被害端末がネットワークへ接続されたままだと、別の端末へ被害が広がる可能性があります。そのため、状況に応じて有線LANを外したりWi-Fiから切断したりして、影響を受けた端末をネットワークから隔離します。
ただし、調査に必要なメモリ上の情報などが失われるため、端末の電源をすぐ切るべきかどうかは状況によって変わります。企業では、自分の判断で初期化せず、セキュリティ担当者やインシデント対応の専門家へ相談する方が安全です。
バックアップから戻す前に原因を確認する¶
バックアップがある場合でも、すぐに復元を始めればよいわけではありません。
攻撃者の侵入経路やマルウェアが残ったまま復元すると、再び同じ被害を受ける可能性があります。
まず影響範囲を確認し、侵入経路となった脆弱性や認証情報を修正します。その後、クリーンな環境を再構築し、安全性を確認したバックアップからデータを戻します。
復旧では、戻せるかどうかだけでなく、再感染しない状態を作ることが重要です。
身代金を支払えば元に戻る？¶
攻撃者へ金銭を支払っても、必ずデータを復元してもらえる保証はありません。
復号ツールが正常に動かない、盗まれたデータを削除したという約束が守られない、再び攻撃される、といった可能性もあります。
企業で被害が発生した場合は、経営層、法務、セキュリティ専門家、必要に応じて警察などと連携して対応する必要があります。
個人でも、攻撃者とのやり取りだけで解決しようとせず、信頼できる専門窓口へ相談することをおすすめします。
ランサムウェア対策は1つでは足りない¶
ランサムウェア対策というと、セキュリティソフトを入れる、バックアップを取る、といった一つの対策に注目しがちです。
しかし、現在の攻撃は複数の段階で進みます。
外部から侵入
↓
認証情報を盗む
↓
内部ネットワークを移動
↓
重要データを持ち出す
↓
サーバーを暗号化
そのため、脆弱性対策、多要素認証、権限管理、ネットワーク分離、ログ監視、バックアップを組み合わせる必要があります。
一つ突破されたら終わりではなく、次の段階で攻撃を止められるように複数の防御を重ねる考え方が大切です。
Linuxやネットワークを知るとセキュリティも理解しやすい¶
ランサムウェア対策には、Linux、Windows、ネットワーク、認証、ログ、バックアップなど多くの知識が関係します。
例えば、VPN機器から侵入するとはどういうことかを理解するには、IPアドレスやルーター、ファイアウォールなどの知識が必要です。サーバーのログを調べるにはLinuxやWindowsの基本操作も必要になります。
InfraAcademyでは、Linux、ネットワーク、AWS、セキュリティなどを、初心者向けに段階的に学習できます。
用語だけ覚えるのではなく、サーバーやネットワークがどのようにつながっているのかを理解すると、セキュリティ対策の意味も分かりやすくなります。
ランサムウェアとは？まとめ¶
今回は、ランサムウェアの仕組みと対策について解説しました。
ランサムウェアは、ファイルを暗号化して金銭を要求するだけの攻撃ではありません。現在はデータを盗み出し、公開を材料に追加の恐喝を行うケースもあります。
また、企業への侵入経路は不審メールだけではありません。VPN機器、リモートデスクトップ、漏えいした認証情報、インターネット公開機器の脆弱性なども対策する必要があります。
重要な対策を整理すると、次のようになります。
- VPNやサーバーなどへ修正プログラムを適用する
- リモートアクセスや重要アカウントで多要素認証を使う
- 不要なサービスをインターネットへ公開しない
- バックアップを分離して保管し、復元テストを行う
- ユーザーや管理者の権限を必要最小限にする
- ネットワークを分割して被害の横展開を防ぐ
- ログを取得し、不審な通信やログインを検知する
- 不審なメールやファイルにも引き続き注意する
ランサムウェアは、一つの製品を入れれば防げるものではありません。侵入されにくくし、侵入されても広がりにくくし、被害が出ても復旧できる状態を作ることが大切です。
