ランサムウェアという言葉を調べると、「メールの添付ファイルに気をつけましょう」という説明によく行き当たります。しかし実際に国内で起きている被害を警察庁の統計で見ると、侵入経路の6割以上はVPN機器です。メールではありません。
この記事では、ランサムウェアの基本的な仕組みから、いま国内で何が起きているのか、そして情報システム部門が優先して手をつけるべきことまでを、公開されている実データをもとに整理します。
目次
ランサムウェアとは｜身代金を要求するマルウェアの一種
ランサムウェアとは、感染したパソコンやサーバーのデータを暗号化して使えない状態にし、元に戻すことと引き換えに金銭を要求するプログラムのことです。マルウェア（悪意のあるソフトウェア）の一種に分類されます。
語源は「身代金」と「ソフトウェア」
ランサムウェア（Ransomware）は、英語の「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。日本語では「身代金要求型ウイルス」「身代金要求型マルウェア」と訳されることもあります。
感染すると画面に脅迫文（ランサムノート）が表示され、指定された期限までに暗号資産などで支払うよう求められるのが典型的なパターンです。
「ウイルス」「マルウェア」との違い
用語が混ざりやすいので整理しておきます。
- マルウェア：悪意のあるソフトウェア全般を指す総称
- コンピュータウイルス：他のプログラムに寄生して自己増殖するタイプのマルウェア
- ランサムウェア：金銭の要求を目的とするマルウェア
つまりランサムウェアはマルウェアの一種であり、「ウイルス」と呼ばれることもありますが、厳密には増殖の仕組みによる分類とは別の軸の言葉です。社内で説明するときは「身代金を要求してくるタイプの不正プログラム」と伝えれば十分通じます。
国内の被害実態｜2025年は226件、6割超が中小企業
報告件数は高い水準が続いている
2025年に企業・団体から警察へ報告されたランサムウェア被害は226件でした。内訳は上半期116件、下半期110件です。
規模別に見ると、中小企業が143件で63.3％、大企業が64件で28.3％、団体等が19件で8.4％でした。中小企業が最も多い一方で、大企業にも64件の報告があります。「うちは小さいから狙われない」も「大企業だけの話」も、どちらも実態に合っていません。
なお、これはあくまで「警察に報告された件数」です。公表していない被害や、そもそも気づいていない被害は含まれません。実数はこれより多いと考えるのが自然です。
二重恐喝が約9割を占める
恐喝の手口が確認できた153件のうち、暗号化とデータ窃取を組み合わせる二重恐喝型が136件、88.9％を占めました。
二重恐喝とは、データを暗号化して業務を止めたうえで、さらに盗み出した情報について「支払わなければ公開する」と脅す手口です。バックアップから復旧できたとしても、情報漏えいの問題は残ります。この構図が、いまや例外ではなく標準になっています。
委託先・グループ会社を経由して広がる
近年目立つのが、委託先やグループ会社が攻撃を受け、その影響が委託元に波及するケースです。自社のシステムは無事でも、業務を預けている先が止まれば業務は止まりますし、預けていた個人情報が流出すれば説明責任は自社にも生じます。
IPAの「情報セキュリティ10大脅威 2026」でも、「ランサム攻撃による被害」が組織向け脅威の1位、「サプライチェーンや委託先を狙った攻撃」が2位となっています。ランサム攻撃の1位は6年連続です。
感染するとどうなるか｜業務停止だけでは終わらない
実際に感染した組織で起きることを、時系列に沿って整理します。
1. 業務システムが止まる
ファイルサーバー、基幹システム、受発注システムなどが使えなくなります。復旧には数週間から数か月かかることもあり、その間の売上機会の損失や、納期遅延による取引先への影響が発生します。
2. 情報漏えいが発覚する
二重恐喝型の場合、暗号化の前にデータが盗み出されています。顧客情報、従業員の人事情報、取引先との契約書などが、ダークウェブ上のリークサイトに掲載される可能性があります。
3. 報告と公表の対応に追われる
個人データの漏えいが発生した場合、個人情報保護法にもとづく個人情報保護委員会への報告と本人への通知が必要になります。業種によっては所管省庁への報告も求められます。同時に、原因を特定するためのフォレンジック調査が始まります。調査が数か月に及び、続報の公表が何度も必要になる事例は珍しくありません。
4. 取引先への説明が続く
「うちのデータは大丈夫か」という問い合わせが取引先から相次ぎます。調査が終わるまで確定的な答えを返せないため、この対応が現場の負荷として長く残ります。
侵入経路｜メールより先に塞ぐべきはVPNとリモートデスクトップ
ここが、この記事でいちばんお伝えしたい部分です。
侵入経路の内訳
2025年に報告された被害のうち、侵入経路が判明した92件の内訳は、VPN機器が66.3％で最多、次いでリモートデスクトップが19件で20.7％でした。この2つを足すと、侵入経路の約87％になります。
単年の偶然ではありません。過去5年分（有効回答485件）で見ても、VPN機器は293件で6割を占めています。
一般的な入門記事が挙げる「メールの添付ファイル」は、もちろん経路のひとつではありますが、企業・団体の被害という文脈では主役ではありません。限られた予算と人手をどこに投下するかを考えるなら、まず外部に向けて開いている接続口を見るべきだということです。
なぜVPN機器が狙われるのか
警察庁の分析では、VPN機器などからの侵入の原因として次のような点が挙げられています。
- ID・パスワードが非常に容易なものだった
- 不必要なアカウントが適切に管理されずに残っていた
実際に、海外支社などの機器を管理できていなかったためにそこから侵入され、国内の本社が被害に遭った事例や、試験的に作成したアカウントの容易な認証情報を使われて侵入された事例が把握されています。
高度な攻撃技術に破られているというより、「棚卸しされていない入口が開いたままだった」というケースが目立ちます。また、侵入経路とされる機器のパッチ適用状況について、約半数が「適用済み」と回答している点も示唆的です。パッチを当てていれば安心、とは言い切れません。
メール、Webサイト、USBメモリ
もちろん他の経路もあります。業務でよく使う形式のファイルに偽装した添付ファイル、改ざんされたWebサイト、出所の分からないUSBメモリなどです。近年は、偽のエラー画面を表示して利用者自身にコマンドを実行させる「ClickFix」と呼ばれる手口も広がっています。
こうした経路は従業員教育と端末側の対策でカバーする領域です。ネットワーク機器の対策とは別立てで考えてください。
侵入から暗号化までには時間がある
攻撃者は侵入した直後に暗号化を実行するわけではありません。一般的には次のような段階を踏みます。
- VPN機器の脆弱性や認証情報を使って侵入する
- 社内ネットワークの構成を調べる
- 管理者権限を奪う
- 他のサーバーへ横展開する
- データを外部に持ち出す
- バックアップを破壊したうえで暗号化を実行する
暗号化は最後です。つまり、暗号化される前に気づいて止められる時間帯が存在します。ログを取っていて、誰かがそれを見ている体制があるかどうかが、ここで効いてきます。
暗号化しない「ノーウェアランサム」という形
最近は、データの暗号化をまったく行わず、盗み出したデータの公開をちらつかせて金銭を要求する手口が増えています。「ノーウェアランサム」と呼ばれます。
攻撃者にとっては、暗号化の工程を省けるぶん早く目的を達成でき、検知もされにくくなります。一方、狙われる側にとって厄介なのは、バックアップと復旧の備えだけでは対応できないという点です。業務は止まらないので、被害に気づくのが遅れることさえあります。
「バックアップさえあればランサムウェアは怖くない」という説明を見かけたら、それは半分だけ正しい、と考えてください。データが外に出ていく経路を監視すること、アクセス権限を絞ることが、あわせて必要になります。
身代金は払うべきか｜払っても戻るとは限らない
支払い率は下がり続けている
JIPDECの「企業IT利活用動向調査2026」によると、身代金の支払い率は2024年調査の57.0％から2026年調査では43.8％へと、3年連続で低下しています。支払わずに復旧する組織が増えているということです。
背景には、支払っても必ずデータが戻るわけではないという実態があります。復号ツールが渡されない、渡されても正常に復元できない、といったケースが報告されています。さらに、支払った組織が再び標的にされるリスクもあります。
法的なリスクもある
現行の日本の法律に、身代金の支払いを直接禁止する規定はありません。ただし、米国OFACの制裁対象となっている攻撃グループへの支払いは、米国法上のリスクを伴う場合があります。支払いのプロセスに米国関係者が関与している場合はとくに注意が必要です。
警察庁やNISCは一貫して支払いを推奨していません。判断を迫られる状況になったら、社内だけで決めず、サイバーセキュリティに詳しい弁護士と専門事業者に相談してください。そして、その相談先を「被害が起きる前に」確保しておくことが実務上いちばん重要です。
対策｜優先順位をつけて着手する
すべてを一度にはできません。侵入経路のデータをふまえ、効果の大きい順に並べます。
最優先：外部に開いている入口を締める
- VPN機器・ファイアウォールのファームウェア更新：メーカーの脆弱性情報を確認し、適用状況を一覧にする
- 多要素認証（MFA）の導入：VPN、リモートアクセス、管理者アカウントに必ず設定する。ID・パスワードだけの認証は最後の砦になりません
- アカウントの棚卸し：退職者、試験用、ベンダー用、海外拠点用。使われていないアカウントをすべて洗い出して削除する
- リモートデスクトップをインターネットに直接公開しない：外部から接続する場合はVPN経由に限定する
次に：バックアップを「戻せる状態」にする
- 3-2-1ルール：データを3つ以上、2種類以上のメディアに、うち1つはオフラインまたは別環境に保管する
- 復元テスト：バックアップが存在することと、そこから戻せることは別の話です。四半期に1回は実際に復元してみてください
- バックアップ領域への管理者アクセスを絞る（攻撃者は暗号化の前にバックアップを消しにきます）
その次に：見つけられる状態をつくる
- EDRの導入：従来型のウイルス対策ソフトは、既知のパターンに合致しないものを検知しにくい仕組みです
- ログの取得と保全：VPN機器、認証サーバー、ファイルサーバーのログを一定期間残す。被害発生時に「いつ・どこから入られたか」を特定できるかどうかが、調査期間と公表内容を左右します
- 訓練：技術的な対策と並行して、不審なメールや画面に遭遇したときの報告ルートを周知する
感染したときの初動と報告義務
最初にやること、やってはいけないこと
やること
- 感染した端末をネットワークから切り離す（LANケーブルを抜く、Wi-Fiを切る）
- 影響範囲を確認する。可能であれば、組織全体を遮断するのではなく侵害されたセグメントのみを切り離す
- 経営層へ報告し、対応体制を立ち上げる
- 警察と専門事業者に連絡する
やってはいけないこと
- 端末の電源を落とす（揮発性のログが消え、調査が困難になります）
- 復旧を急いで初期化する（原因が特定できなくなります）
- 攻撃者と単独で連絡を取る
報告先と、2026年10月に変わること
ランサムウェア被害では、個人情報保護委員会、所管省庁、警察と、複数への報告が必要になる場合があります。2025年10月からは、ランサムウェアとDDoSの2類型について、これらへの報告を1つの共通様式で行える運用が始まりました。
さらに、いわゆる能動的サイバー防御法（サイバー対処能力強化法）が2026年10月1日に施行されます。直接の対象は基幹インフラ事業者ですが、報告の引き金となる事象が「漏えいが発生したとき」ではなく「不正な通信の受信などを認知したとき」に前倒しされる点が、従来の制度と大きく異なります。
基幹インフラ事業者と取引がある企業は、委託契約を通じて同等の対応を求められる可能性があります。自社が直接の対象かどうかにかかわらず、報告体制を一度整理しておく価値はあります。
よくある質問
ランサムウェアとは何ですか？
感染したパソコンやサーバーのデータを暗号化して使用できなくし、復旧と引き換えに身代金を要求するマルウェアです。近年は暗号化に加えて、盗んだデータの公開をちらつかせる二重恐喝型が主流になっています。
ランサムウェアに感染するとどうなるか？
まず業務システムが使えなくなり、復旧に数週間から数か月かかることがあります。二重恐喝型の場合はデータも盗まれているため、個人情報保護委員会への報告、本人への通知、取引先への説明といった対応が並行して発生します。フォレンジック調査が長期化し、続報の公表を繰り返す事例も多く見られます。
「ランサムウェア」とはどういう意味ですか？
「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。日本語では身代金要求型ウイルス、身代金要求型マルウェアと呼ばれます。
ランサムウェアの侵入原因は何ですか？
2025年に国内で報告された被害のうち、侵入経路が判明した92件ではVPN機器が66.3％、リモートデスクトップが20.7％を占めました。警察庁の分析では、ID・パスワードが非常に容易だったこと、不必要なアカウントが適切に管理されずに存在していたことなどが原因として挙げられています。メールの添付ファイルやWebサイト経由も経路のひとつですが、企業・団体の被害では外部接続機器が大半を占めています。
まとめ
- 2025年に報告されたランサムウェア被害は226件。6割超が中小企業で、企業規模は安全材料になりません
- 侵入経路はVPN機器とリモートデスクトップで約87％。まず外部に開いた入口を締めることが最優先です
- 二重恐喝が約9割。暗号化しないノーウェアランサムも増えており、バックアップだけでは守り切れません
- 身代金を払っても復旧する保証はなく、法的リスクも伴います。支払わずに復旧できる体制を先につくることが現実的です
まずは、自社のVPN機器のファームウェアが最新か、多要素認証が有効か、使われていないアカウントが残っていないか。この3点を確認するところから始めてみてください。
SecuShardでは、社内に専任のセキュリティ担当を置きにくい組織に向けて、こうした点検と運用を支援する情報を発信しています。