コラム

ランサムウェアに感染したらやってはいけないこと3選
被害を最小化する初動対応

基礎知識社内セキュリティ

ランサムウェアは、企業のデータを暗号化し、身代金を要求する悪質なサイバー攻撃です。感染すると業務停止や情報漏洩といった深刻な被害をもたらし、初動対応の誤りが被害を拡大させる要因となります。

本記事では、ランサムウェアに感染した際に「やってはいけないこと」と「やるべきこと」を整理し、被害を最小限に抑えるための実践的な対応方法を解説します。また、感染を未然に防ぐための予防策として、EDR導入やメール訓練、バックアップ体制の重要性についても紹介します。

ランサムウェアに感染したらどうなる？

ランサムウェアに感染すると、企業の重要なデータやシステムが使用不能になり、業務継続に深刻な影響を及ぼします。まずは、ランサムウェアの基本的な仕組みと、どのような経路で感染するのかを理解することが重要です。

ランサムウェアとは

ランサムウェア（Ransomware）とは、感染したコンピュータ内のファイルを暗号化し、復号と引き換えに身代金（Ransom）を要求するマルウェアです。近年では、データを暗号化するだけでなく、機密情報を窃取し「支払わなければ情報を公開する」と脅迫する「二重恐喝型」の手口も増加しています。

IPA（独立行政法人情報処理推進機構）が公開する「情報セキュリティ10大脅威 2026」では、ランサムウェアによる被害が組織における脅威の第1位にランクインしており、企業規模を問わず深刻な被害が報告されました。ランサムウェアに感染したら、業務停止、復旧コストの増大、顧客や取引先からの信用失墜といった多大な損失につながります。

ランサムウェアは、「情報セキュリティ10大脅威」において長年にわたり上位にランクインしており、依然として企業や組織にとって深刻なセキュリティリスクとなっています。今後もさらなるランサムウェアの脅威が懸念されることから、IPAでは「ランサムウェア対策特設ページ」にて、組織や利用者に対して注意を呼び掛けています。

出典：IPA/ランサムウェア特設ページ

ランサムウェアの感染経路

ランサムウェアは、さまざまな経路で企業ネットワークに侵入します。主な感染経路を以下の表にまとめます。

感染経路	概要	対策のポイント
標的型攻撃メール	業務メールを装った添付ファイルやURLから感染	メール訓練や不審なメールの見分け方教育
脆弱性の悪用	OSやアプリケーションの脆弱性を突いて侵入	定期的なセキュリティパッチの適用
VPN機器への不正アクセス	リモートアクセス機器の脆弱性や認証情報の漏洩を悪用	セキュリティパッチの適用、多要素認証の導入、パスワード管理の徹底
リモートデスクトップ（RDP）	弱いパスワードや設定不備により不正ログイン	RDPの制限、アクセス制御の強化
Webサイトの改ざん	改ざんされたWebサイトを閲覧することで感染	セキュリティソフトの導入、不審なサイトへのアクセス制限

これらの経路を理解し、多層的な防御策を講じることが、ランサムウェア感染のリスクを低減させます。ランサムウェアに感染したら被害は甚大になるため、感染経路ごとの対策を事前に講じておくことが不可欠です。

ランサムウェアに感染したらやってはいけないこと3選

ランサムウェアに感染した際、焦って誤った対応を取ると、被害が拡大する恐れがあります。ここでは、絶対にやってはいけない行動を3つ紹介します。

実際に被害にあった際に焦らずに対処するためには、日ごろからセキュリティに関するトレーニングを受けておくことが重要です。セキュリティ意識向上トレーニングの課題と解決策について、次の記事で解説していますので参考にしてみてください。

感染後にバックアップを取る

ランサムウェアに感染した場合、慌ててバックアップを取ろうとしてはいけません。バックアップ先にもランサムウェアが感染し、暗号化されたファイルがバックアップされてしまう可能性があります。特に、ネットワーク上に常時接続されているバックアップ先は、本番環境と同時に暗号化される危険性が高く、復旧手段を失う原因となります。

感染後のバックアップ作業は避け、既存のバックアップデータが安全に保管されているかを確認することが重要です。バックアップは感染前の平常時に、ネットワークから分離された場所や、改ざん不可能なイミュータブルストレージに定期的に保管しておく必要があります。

身代金を支払う

ランサムウェアに感染した際、攻撃者から身代金を要求されても、支払いに応じてはいけません。身代金を支払ったとしてもデータが復号される保証はなく、復号ツールが提供されない、または不完全なツールしか渡されないケースも多く報告されています。

また、身代金の支払いは犯罪組織に資金を提供する行為であり、将来の攻撃を助長することにつながります。さらに、一度支払いに応じた企業は「支払う企業」として再び標的にされるリスクも高まります。身代金の支払いは、企業の信用や社会的責任の観点からも避けるべき行動です。

パソコンやサーバーを再起動する

ランサムウェアに感染したら、安易にパソコンやサーバーを再起動すると調査に必要なログやメモリ上の情報が失われる可能性があります。こうなると、感染経路や被害範囲の特定が困難になり、適切な対策を講じることは不可能です。

また、再起動によってランサムウェアの動作が加速したり、起動時に自動実行されるマルウェアがさらに被害を広げたりする恐れもあります。感染が疑われる端末は、そのままの状態を保ち、専門家や社内のセキュリティ担当者の指示を仰ぐことが重要です。

ランサムウェアに感染したらやるべきこと3選

感染が確認された場合、迅速かつ適切な初動対応が被害の拡大を防ぎます。ここでは、感染後に必ず実施すべき3つの対応を解説します。

ネットワークから切り離す

ランサムウェアに感染したらやるべきことは、感染が疑われる端末を即座にネットワークから切り離すことが最優先です。なぜなら、ランサムウェアが感染した端末から同じネットワーク内の他の端末やサーバーへ横展開するためです。有線LANケーブルを抜く、Wi-Fiを無効化するなど、物理的・論理的に隔離することで、被害の拡大を防ぎます。迅速な初動対応が、被害範囲を最小限に抑える鍵となります。

なお、前述のとおり端末の電源は切らず、そのままの状態を保つことが重要です。可能であれば画面のスクリーンショットを記録しておくと、後の調査に役立ちます。ネットワーク分離は感染端末だけでなく、同一セグメント内の他の端末やサーバーについても検討し、必要に応じて隔離措置を取ることが重要です。

警察に通報や専門家への相談をする

ランサムウェアの感染が確認された場合は、警察への通報も重要な対応の一つです。ランサムウェアによる攻撃は犯罪行為です。各都道府県警察には「サイバー犯罪相談窓口」が設置されており、被害状況の報告や今後の対応について相談できます。警察への通報は、犯罪の立件や他の企業への注意喚起にもつながるため、被害の拡大防止に貢献できます。

また、自社だけで対応することは困難なため、セキュリティ専門企業やフォレンジック調査会社に相談し、感染経路の特定、被害範囲の調査、復旧支援を依頼することが重要です。特にフォレンジック調査では、証拠保全を適切に行いながら原因を究明できるため、法的対応が必要になった場合にも役立ちます。専門家の力を借りることで、再発防止策を適切に講じられます。

さらに、「二重恐喝型」のランサムウェア被害では、流出した可能性のあるデータの調査や漏えいの有無の確認、ダークウェブ上での情報公開状況の監視などを迅速に実施することが求められます。これにより、被害範囲を早期に把握し、関係者への適切な対応や二次被害の防止につなげることができます。

原状回復を試みる

ランサムウェアに感染した際に、身代金を支払わずにデータを復旧できる可能性があります。「No More Ransom」プロジェクトのWebサイトでは、さまざまなランサムウェアに対応した無料の復号ツールが公開されています。

このプロジェクトは、欧州刑事警察機構（ユーロポール）やセキュリティ企業が共同で運営しており、信頼性の高い情報源です。感染したランサムウェアの種類を特定し、対応する復号ツールが提供されているか確認することが重要です。ランサムウェアの種類は、暗号化されたファイルの拡張子や脅迫文の内容から判別できる場合があります。復号ツールで復旧できない場合は、事前に取得したバックアップからの復元が最終手段となります。

ランサムウェアの感染を防ぐ予防策

ランサムウェア感染を未然に防ぐためには、技術的対策と人的対策を組み合わせた多層的な防御が不可欠です。本章では、以下の3つの予防策について解説します。

EDRなどのセキュリティソフト導入
メール経由の感染対策導入
定期的なバックアップの実施

EDRなどのセキュリティソフト導入

EDR（Endpoint Detection and Response）は、エンドポイント（端末）での不審な挙動をリアルタイムで検知し、感染の兆候を早期に発見できるセキュリティソリューションです。従来のアンチウイルスソフトでは検知が難しい未知の脅威や、ファイルレス攻撃、標的型攻撃にも対応できます。

EDRは、感染後の被害拡大を防ぐため、異常な通信や不正なプロセスを自動で遮断し、感染端末を隔離する機能も備えています。インシデント発生時の原因調査にも活用でき、ランサムウェア対策としてEDRの導入は極めて有効です。

EDRの基本的な仕組みや導入メリットについては、以下の関連記事で詳しく解説しています。

関連コラム：EDRとは？セキュリティ対策の要となる技術の基本と導入メリット

メール経由の感染対策導入

ランサムウェアの主要な感染経路である標的型攻撃メールに対しては、従業員の教育と訓練が重要です。不審なメールの見分け方や、添付ファイルやURLを安易に開かないといった基本的な対策を徹底させる必要があります。

ＡＧＳが提供する標的型攻撃メール訓練サービスは、定額制でいつでも何度でも実践的な訓練が可能です。トレンドに合わせた最新のサイバー攻撃を疑似体験でき、生成AIを活用した文例作成により、現実に近い訓練内容を簡単に準備できます。継続的な訓練により、従業員のセキュリティリテラシーを向上させ、メール経由の感染リスクを大幅に低減できます。

標的型攻撃メール訓練サービスの詳しい内容や導入効果については、以下の関連記事をご覧ください。

関連コラム：「標的型攻撃メール訓練サービス」とは？効果と導入メリットを徹底解説

定期的なバックアップの実施

ランサムウェアに感染したら、最終的な復旧手段となるのがバックアップです。バックアップは定期的に取得し、本番環境とは物理的・論理的に分離された場所に保管することが重要です。クラウドストレージ、データセンター、オフライン媒体（テープやUSB）など、複数の保管方法を組み合わせることで、同時被災のリスクを低減できます。

また、イミュータブル（改ざん不可能）機能を備えたストレージを活用することで、ランサムウェアによるバックアップデータの暗号化を防げます。バックアップは取得するだけでなく、定期的に復旧テストを実施し、実際に使える状態であることを確認しておくことが不可欠です。復旧手順の文書化も併せて行っておくと安心です。

なお、バックアップを実施する際は、「3-2-1ルール（データのコピーを3つ保持し、2種類の異なる媒体に保存し、そのうち1つをオフサイトで保管する）」に基づいて運用することが効果的です。これにより、ランサムウェア対策だけでなく、システム障害や人的ミスなどさまざまなリスクへの備えを強化できるほか、復旧時の選択肢の確保にもつながります。

ＡＧＳが提供するバックアップサービス「プロテクトバックアップストレージサービス」は、重要なデータを安全・確実に保存し、迅速なシステム復旧と事業継続性の強化を実現します。

まとめ

ランサムウェア感染時の初動対応は、被害の拡大を防ぐうえで極めて重要です。感染後に「バックアップを取る」「身代金を支払う」「再起動する」といった誤った行動は避け、「ネットワークから切り離す」「警察や専門家に相談する」「復号ツールで原状回復を試みる」といった適切な対応を取ることが求められます。

また、感染を未然に防ぐためには、EDRなどのセキュリティソフト導入、従業員へのメール訓練、定期的なバックアップ体制の整備が不可欠です。ＡＧＳが提供する標的型攻撃メール訓練サービスは、いつでも何度でも定額で実践的な訓練が可能であり、トレンドに合わせた最新のサイバー攻撃を疑似体験できます。また、生成AIを活用した文例作成により、現実に近い訓練内容を簡単に準備できる点も特徴です。ランサムウェア対策の強化と同時に、従業員の行動変容につながる実践的な取り組みをご検討ください。

ランサムウェアに感染したらやってはいけないこと3選被害を最小化する初動対応