こんにちは、スピーディア技術満足室です。
 
最近、ニュースで「ランサムウェア攻撃で企業が業務停止」といった報道を目にすることが増えてきました。「うちは小さい会社だから大丈夫」と思っていませんか？実は、中小企業こそ狙われやすいというのが現実です。
「ランサムウェアって何？」「どうやって感染するの？」「もし感染したらどうなるの？」といった疑問を持つ方も多いと思います。
今回は、ランサムウェアの基礎知識から、なぜ中小企業が狙われるのか、そして今日からできる実践的な対策まで、できるだけわかりやすく解説していきます。
 
 
そもそもランサムウェアって何？
ランサムウェア（Ransomware）とは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語で、マルウェア（悪意のあるソフトウェア）の一種です。
攻撃者はこのランサムウェアを使って、会社のパソコンやサーバーに保存されている重要なデータを暗号化してしまいます。暗号化されたデータは開けなくなり、業務が完全にストップしてしまいます。
そして画面には「データを元に戻したければ、ビットコインで〇〇万円を支払え」といったメッセージが表示されます。これが「身代金要求」です。
 
最近の手口はさらに悪質になっていて、「お金を払わなければ、盗んだ顧客情報をインターネット上に公開する」という二重の脅迫をしてくることもあります。これを「二重脅迫型」と呼びます。
こうなると、データが使えないだけでなく、顧客や取引先への情報漏えいという最悪の事態にもつながります。復旧には数週間から数ヶ月、費用も数百万円から数千万円かかるケースも珍しくありません。業務停止による売上損失や、取引先からの信頼失墜を考えると、被害は金額だけでは測れないほど大きいのが実態です。
 
 
ランサムウェアはどう進化してきたのか？
日本では2015年頃からランサムウェアの被害が発生し始めました。当初は「ばらまき型」と呼ばれる手法が主流でした。これは、ウイルスを添付したメールを不特定多数の組織に無差別に送りつけるというものです。
しかし、2019年後半からは「標的型ランサムウェア攻撃」が主流になってきました。これは特定の組織を狙って、事前に調査を行い、じっくり時間をかけて侵入する手法です。
 
なぜこのような変化が起きたのでしょうか？攻撃者側から見ると、無差別にばらまくより、特定の組織に狙いを定めた方が、より多額の身代金を得られるからです。そして、その標的として選ばれやすいのが、実は中小企業なんです。
 
 
どうやって感染するの？主な3つの侵入経路
攻撃者が狙うのは、セキュリティの「穴」です。代表的な侵入経路を見ていきましょう。
 
① メール経由での侵入
「宅配便の不在通知です」「請求書を添付しました」といった、一見すると普通の業務メールを装って送られてきます。添付されたファイルを開いたり、本文中のリンクをクリックしたりすると、ランサムウェアがダウンロードされて感染してしまいます。
最近は文面も巧妙で、実在する取引先を装ったり、過去のメールに返信する形で送られてきたりするため、見分けるのがとても難しくなっています。
 
② リモートデスクトップ（RDP）への攻撃
在宅勤務のために、外部から会社のパソコンにアクセスできるようにしている企業も多いと思います。この仕組みを「リモートデスクトップ（RDP：Remote Desktop Protocol）」と呼びます。
攻撃者は、このRDPに対して「パスワード総当たり攻撃」を仕掛けてきます。簡単なパスワードや、過去に漏えいしたパスワードを使い回していると、あっという間に侵入されてしまいます。
 
③ 古いNASやVPN機器の脆弱性を狙った攻撃
社内でファイル共有に使っているNAS（ネットワークストレージ）や、外部から安全に接続するためのVPN装置。これらの機器が古いバージョンのままだと、既に公開されている脆弱性（セキュリティの穴）を悪用されて侵入されます。
「そんな古い機器を狙ってくるの？」と思われるかもしれませんが、攻撃者は自動ツールでインターネット上の脆弱な機器を探し回っています。更新を怠っているだけで、格好の標的になってしまいます。
 
 
侵入後、攻撃者は何をするのか？
ランサムウェア攻撃は、侵入して即座にファイルを暗号化するわけではありません。実は、もっと計画的に進められます。
 
ステップ1：侵入
上記のような方法で、まず1台のパソコンに侵入します。
 
ステップ2：ネットワーク内部で情報収集
侵入に成功した攻撃者は、その1台のパソコンを足がかりに、社内ネットワーク全体を調査します。どこに重要なデータがあるのか、管理者権限はどうやって取得できるか、バックアップはどこに保存されているかなどを調べます。
この段階では、まだ攻撃を気づかれないように静かに活動します。数日から数週間かけて、じっくりと準備を進めることもあります。
 
ステップ3：データの窃取
脅迫に使うため、重要なデータを外部のサーバーにコピーします。顧客情報、取引先情報、機密資料などが盗まれます。これが後の「データを公開するぞ」という脅迫材料になります。
 
ステップ4：ランサムウェアの実行と身代金要求
準備が整ったら、一斉にランサムウェアを実行します。社内の複数のパソコンやサーバーのファイルを暗号化し、バックアップデータも削除または暗号化します。
そして画面に身代金要求のメッセージを表示させます。この段階になって初めて、企業側は攻撃に気づくことになります。
 
この一連の流れを「横展開」と呼びます。1台の感染から、社内全体に被害が広がっていくわけです。
 
 
なぜ中小企業が狙われるのか？
「うちは小さい会社だから、わざわざ狙ってこないでしょ」と思っていませんか？実は、それが大きな誤解なんです。
中小企業が狙われる理由は、はっきりしています。攻撃者から見て「侵入しやすい」からです。
大企業はセキュリティ専門の部署があって、24時間監視体制を敷いていることも珍しくありません。一方、中小企業では「担当者が本業の傍らIT管理をしている」「セキュリティソフトは入れているけど、他には何もしていない」というケースが多いのではないでしょうか。
 
具体的には、こんな弱点が狙われます
 
・数年前に導入したNASやVPN機器を更新していない
・バックアップは取っているけど、同じネットワーク上に保存している
・従業員のパスワードが「123456」や「password」のような簡単なもの
・外部からアクセスできるリモートデスクトップに二段階認証をかけていない
・セキュリティ教育を実施していない
 
攻撃者は今、人の手を介さず自動ツールで脆弱な企業を探し回っています。企業規模は関係ありません。「セキュリティの穴がある企業」が標的になります。
実際、IPA（情報処理推進機構）の「情報セキュリティ10大脅威2025」では、ランサムウェアが10年連続で1位になっています。それだけ被害が多く、深刻だということです。
 
 
今日からできる実践的な対策
難しい技術の話はさておき、まず基本的な対策をしっかり固めることが大切です。実は、基本を徹底するだけでも、攻撃の成功率を大きく下げることができます。
 
① バックアップは「3-2-1ルール」で
「バックアップは取っています」という企業は多いのですが、同じネットワーク上のNASだけに保存していませんか？それだと、ランサムウェアに感染したときに、バックアップデータまで暗号化されてしまいます。
 
おすすめは「3-2-1ルール」です
・データのコピーを3つ作る
・2種類の異なる記録媒体に保存する（NASと外付けHDDなど）
・1つは物理的に離れた場所に保管する（クラウドストレージや別拠点）
 
さらに、過去7日分、過去4週分、過去3ヶ月分といった「世代管理」をしておくと、感染に気づかず数日経ってしまった場合でも、感染前のデータに戻せます。
また、いざという時に「バックアップが壊れていて使えない」では意味がないため、バックアップを取るだけでなく、定期的に復元テストを行うことも重要です。
 
② パスワードを見直して、二段階認証を設定する
簡単なパスワードや使い回しは今すぐやめましょう。理想は12文字以上の、英数字と記号を組み合わせたものです。「P@ssw0rd2024!」のように、推測されにくいものにしてください。
それから、リモートデスクトップやクラウドサービスには、必ず二段階認証（二要素認証）を設定してください。これだけで、パスワードが漏れても侵入を防げます。
設定方法は各サービスのヘルプページに載っていますし、多くの場合、スマートフォンアプリ（Google AuthenticatorやMicrosoft Authenticatorなど）を使って数分で設定できます。
 
③ NASやVPN機器のファームウェアを更新する
「購入してから一度も更新していない」という企業、意外と多いんです。
メーカーのサイトから最新のファームウェア（機器のソフトウェア）をダウンロードして更新してください。これで既知の脆弱性が塞がれます。機種によっては自動更新の設定もできるので、ぜひ活用しましょう。
更新作業は月に一度、第一営業日など決まったタイミングで確認する習慣をつけると良いです。カレンダーにリマインダーを設定しておくのもおすすめです。
 
④ メールフィルタリングを導入する
怪しいメールを従業員が開く前に、自動でブロックしてくれる「メールフィルタリング」サービスがあります。
月額数千円から利用できるサービスも多く、危険な添付ファイルやリンクを事前にチェックしてくれます。人間の判断だけに頼るのは危険です。どんなに注意していても、巧妙なメールには騙されることがあります。仕組みで防ぐことが大切です。
 
⑤ 従業員へのセキュリティ教育
技術的な対策だけでなく、従業員一人ひとりの意識も重要です。
「怪しいメールは開かない」「不明な送信者からの添付ファイルは開かない」「リンクをクリックする前にURLを確認する」といった基本的なことを、定期的に周知しましょう。
年に1〜2回、簡単な勉強会を開くだけでも効果があります。実際の攻撃メールの例を見せて「こういうメールが来たら要注意」と伝えるだけでも、意識が変わります。
 
 
さらに一歩進んだ対策：ネットワーク層での防御
基本対策に加えて、もう一段階レベルを上げた防御方法があります。それが「ネットワーク層での防御」です。
 
ランサムウェアは、パソコンに侵入した後も、攻撃者が用意した外部の指令サーバーと通信を続けます。「次はこのファイルを暗号化しろ」「このパスワードを試せ」といった命令を受け取りながら、社内の他のパソコンにも感染を広げていくんです。
つまり、この外部との通信を遮断できれば、たとえランサムウェアが侵入しても、被害を最小限に抑えられます。
 
具体的には、既に危険だと判明している通信先（悪性ドメイン）へのアクセスを、ネットワーク機器の段階で自動的にブロックする仕組みです。従業員が気づく前に、システム側で防いでくれるわけです。
ただ、これを自社だけで実現するのはハードルが高いのが正直なところです。どの通信が危険なのかを判断するには、日々更新される脅威情報を追いかける必要がありますし、ログを監視する専門知識も必要になります。
 
このレベルの対策が必要な場合は、セキュリティベンダーが提供するUTM（統合脅威管理）やEDR（エンドポイント検知・応答）といったソリューションの導入を検討すると良いでしょう。初期投資はかかりますが、専門家のサポートを受けながら運用できるため、中小企業でも現実的な選択肢になってきています。
 
 
まとめ
ランサムウェア攻撃は、もはや他人事ではありません。10年連続でセキュリティ脅威の1位に挙げられているのは、それだけ被害が多く、深刻だということです。
特に中小企業は、セキュリティ体制の弱さから狙われやすい傾向にあります。ただ、裏を返せば、基本的な対策をしっかり実施することで、攻撃のリスクを大きく下げることができます。
 
今回ご紹介した対策をもう一度おさらいしておきましょう
 
・バックアップは3-2-1ルールで、世代管理も忘れずに
・パスワードは12文字以上で、二段階認証を必ず設定
・NASやVPN機器のファームウェアは月1回チェック
・メールフィルタリングで「仕組み」で防ぐ
・従業員へのセキュリティ教育を定期的に実施
 
完璧を目指す必要はありません。まずは一つずつ、できることから始めてみてください。
 
セキュリティは「やったら終わり」ではなく、継続的に見直していくものです。新しい脅威は常に生まれていますし、自社の環境も変化していきます。定期的にチェックして、必要な対策を追加していくことが重要です。
自社の状況に合わせて、無理のない範囲で取り組んでいきましょう。少しずつでも対策を進めることで、攻撃のリスクは確実に下がります。
 
 

当社では、業界20年以上の豊富なノウハウで事業の立ち上げをサポートしています。
ぜひお気軽にお問合せください。