ランサムウェアとは？感染経路や手口、被害事例などを解説

ランサムウェアの仕組み

ランサムウェアは単に「データを暗号化して身代金を要求する」だけではなく、背後には緻密に設計された攻撃プロセスと仕組みが存在します。攻撃者は、暗号化技術や匿名通信、暗号資産の送金経路などを巧みに利用し、追跡や検挙を困難にしています。

暗号化によるデータの“人質化”

ランサムウェアが最も特徴的なのは、感染した端末やサーバー内のデータを強力な暗号化アルゴリズム（AESやRSAなど）で暗号化する点です。暗号化キーは攻撃者側のサーバーにのみ保管されており、被害者は攻撃者から復号キーを受け取らない限り、データを元に戻すことができません。この仕組みにより、被害者は「データを取り戻すために金銭を支払うしかない」と思い込まされてしまいます。

指令サーバー（C2サーバー）との通信

感染した端末は、攻撃者が管理する「C2サーバー（Command and Control Server）」と呼ばれる指令サーバーに接続します。ここで攻撃者は、感染端末の情報（OS、ネットワーク構成、組織名など）を収集し、暗号化処理の実行タイミングや対象データを遠隔で制御します。この通信は、Torなどの匿名化技術を経由して行われるため、攻撃者の特定や通信経路の追跡は非常に困難です。

暗号資産による身代金のやり取り

身代金の支払いには、主にビットコインなどの暗号資産（仮想通貨）が利用されます。これにより、攻撃者は匿名性を確保しながら金銭を受け取ることが可能になります。被害者には支払い方法や期限を記した「身代金要求メッセージ」が表示され、期限内に送金しない場合は「データを完全に削除する」あるいは「窃取した情報を公開する」といった脅迫文が添えられるケースが一般的です。

「RaaS（Ransomware as a Service）」の登場

近年は、攻撃者自身がランサムウェアを開発するのではなく、「RaaS（ランサムウェア・アズ・ア・サービス）」と呼ばれる“攻撃ツールのレンタルモデル”が広がっています。RaaSでは、開発者がランサムウェアを提供し、利用者（攻撃者）はそれを使って攻撃を実施します。支払われた身代金の一部が開発者に分配される仕組みです。これにより、技術力の低い犯罪者でも容易に攻撃を仕掛けられるようになり、ランサムウェアの拡散スピードと被害件数が急増しています。

多段階・多目的化するランサムウェア

従来のように「暗号化して金銭を要求する」だけでなく、現在のランサムウェアは「情報窃取」「恐喝」「破壊工作」など、複数の目的を組み合わせる傾向にあります。たとえば、暗号化を行わずにデータを盗み出し、「公開されたくなければ支払え」と脅迫する「ノーウェアランサム」型や、攻撃後に業務停止を長引かせるためにシステムそのものを破壊するケースも確認されています。つまり、ランサムウェアは単なる“ウイルス”ではなく、経済的な動機をもった“犯罪ビジネスモデル”へと進化しているのです。

ランサムウェアの被害事例

近年、国内外の企業や団体でランサムウェアによる被害が報告されています。被害の典型例としては、端末やサーバー内の重要なファイルが暗号化され業務が停止するケースや、窃取された情報が外部に流出し、社会的信用やブランドイメージが損なわれるケースがあります。
また、被害の規模は企業の大小を問いません。中小企業でも、取引先や委託先を経由して感染が拡大するケースが増えており、「自社は関係ない」と考えることが大きなリスクにつながります。これらの事例から、ランサムウェアの脅威は現実のものであり、企業や組織は適切な予防策を講じる必要があることがわかります。

アサヒグループホールディングス（2025年9月）

2025年9月29日に発生したアサヒグループホールディングスへのランサムウェア攻撃は、国内の製造業における事業継続性（BCP）の脆弱性を浮き彫りにしました。「Qilin（キリン）」を名乗る攻撃グループが犯行を主張し、約9,300ファイルに及ぶデータの窃取を公表しました。このインシデントの最大の衝撃は、生産設備そのものではなく、受注・出荷・会計処理といった業務システムの中枢が停止した点です。結果として、製品の供給プロセス全体が麻痺し、大手企業のサプライチェーンに深刻な混乱をもたらしました。これは、サイバー攻撃が企業のITリスクではなく、経営リスクに直結する事例として、産業界に強い警鐘を鳴らしました。

岡山県精神科医療センター（2025年2月）

2024年5月に発生し、2025年2月に詳細な調査報告書が公表された岡山県精神科医療センターのランサムウェア事案は、医療インフラへの脅威を象徴する出来事です。病院内のサーバや端末が暗号化され、電子カルテを含む数万人規模の患者情報が影響を受ける可能性が指摘されました。医療機関という性質上、カルテへのアクセス不能は医療提供の停止という人命に関わる直接的な支障を招きました。後の調査報告書では、VPN機器の脆弱性放置や基本的なセキュリティ対策の欠如が指摘され、「人災」の側面が強調されました。本件は、極めて機密性の高い患者情報を守るためのサイバーハイジーン（衛生管理）と、地域医療の安定性維持の重要性を再認識させました。

株式会社KADOKAWA（2024年6月）

出版・メディア大手の株式会社KADOKAWAグループが2024年6月に受けた大規模なサイバー攻撃は、日本のコンテンツ・文化産業を直撃しました。ランサムウェアを含む複合的な攻撃により、中核サービスである「ニコニコ動画」をはじめ、グループ各社のサービスが長期にわたり停止しました。特にニコニコ動画の復旧が数カ月単位で長期化し、ユーザーやクリエイター、そして経済的な損失は甚大でした。また、約25万名に及ぶ個人情報流出の可能性が公表され、窃取されたデータの一部がダークウェブで公開されるなど、二重脅迫の被害が現実のものとなりました。この事例は、デジタルプラットフォームの事業継続性の脆さと、大規模なデータセンターにおける復旧の難しさを浮き彫りにしました。

ランサムウェアによる攻撃の流れ

ランサムウェアによる攻撃は、「初期侵入」「内部活動」「情報の持ち出し」「ランサムウェアの実行」の4段階で行われるケースが多く見られます。ここでは、ランサムウェア攻撃の流れと、それぞれの段階における主な手口を紹介します。

2. 内部活動

次に、攻撃者はツールを用いてネットワークに接続されているコンピューター等を遠隔操作し、管理者権限などの取得を試みるといった内部活動に着手します。
内部活動の動きを検知されないよう、攻撃者は標的とする企業や組織が利用しているクラウドツールなどの正規サービスを悪用し、監視を逃れようとします。標的にされた企業や組織にとっては、セキュリティ対策として導入しているサービスのため、攻撃者が偽装していることを検知できないこともめずらしくありません。この段階においても端末や機器類に異常は確認されないため、平常どおり業務が行えるでしょう。攻撃者は時間をかけて組織内の権限を奪取し、内部ネットワークを探索可能な状況を築いていくのが特徴です。

3. 情報の持ち出し

組織内の権限奪取によって正規ユーザーと同等の振る舞いができるようになった攻撃者は、企業や組織が保有する重要データを持ち出し始めます。
攻撃者は持ち出したデータを、身代金を要求する材料として利用するため、窃取されたデータは、攻撃者のサーバーにアップロードされ、集約されていきます。

4. ランサムウェアの実行

窃取したデータのアップロードを終えると、攻撃者は標的とする企業や組織へランサムウェアを展開して実行します。
その際、セキュリティ対策ソフトウェアを強制的に停止させるケースも少なくありません。ランサムウェアは企業や組織が保有するデータを暗号化し、対象となる端末に身代金要求画面を表示させ、データ復号と引き換えに身代金を支払うよう脅迫します。この段階で企業や組織は初めてランサムウェアの感染に気づくケースがほとんどです。すでに業務遂行に必要なデータはすでに暗号化されているため、業務の継続が困難になります。

二重脅迫と呼ばれる手口では、データの復号と引き換えに身代金を要求するだけでなく、身代金を支払わなかった場合は窃取したデータをダークウェブなどに公開するとしてさらに脅迫を重ねます。攻撃者に身代金を支払ってもデータの復号は保証されず、さらなる脅迫を招く恐れもあるため、身代金の支払いには決して応じないよう注意しましょう。

ランサムウェアの対策方法

ランサムウェアの被害を防ぐには、事前に適切なセキュリティ対策を講じる必要があります。ランサムウェアに有効な対策方法について見ていきましょう。

OSやアプリケーションを最新に保つ

OSやアプリケーションを常に最新の状態に保ち、脆弱性を解消することもランサムウェアの対策方法の1つです。
OSやアプリケーションには、リリース時点では発見されていなかった脆弱性が潜んでいるケースが少なくありません。リリース後、期間を経てから脆弱性が発見された場合、都度セキュリティ対策パッチが配布されます。OSやアプリケーションの最新バージョンがリリースされるごとにアップデートを実施し、最新のセキュリティパッチを適用することが大切です。

セキュリティパッチの適用漏れを防ぐには、自動更新をオンにすることをおすすめします。これにより、OSやアプリケーションの最新バージョンへとタイムラグなくアップデートできます。なお、OSやアプリケーションのサポート期限にも注意しましょう。サポート期間が終了すると、アップデートプログラムの配布も停止します。未知の脆弱性への対策も講じられなくなるため、サポート期間がすでに終了しているOSやアプリケーションを利用し続けないようにしなければなりません。最新版へと移行する時期をあらかじめ決めておくなど、計画的な運用が求められます。

従業員向けのセキュリティ教育を実施する

ランサムウェアの対策方法として、従業員向けのセキュリティ教育を定期的・継続的に実施していくことも大切です。
ランサムウェアの対策を目的としたセキュリティツールの導入など、技術的な対策のみでは被害を未然に防ぐことはできません。従業員一人ひとりのセキュリティ意識を高めるとともに、脅威への正しい理解を促すための働きかけが求められます。

前述のとおり、ランサムウェアの侵入経路は多種多様です。フィッシングメールのように、ユーザーの知識不足や認識不足を狙ったサイバー攻撃が存在することも知られています。不審なメールの見分け方を周知したり、個人情報や企業情報を安易に入力しないよう徹底したりするなど、従業員自身がランサムウェアの脅威に備える必要性を理解し、みずから行動できるようにすることが重要です。

また、定期的にセキュリティ研修やサイバー攻撃を受けた際のシミュレーションを実施するなど、知識を適切に活かすための実践の場を設けましょう。過去に判明しているランサムウェアの被害事例を共有し、感染経路や攻撃者の手口について理解を深めておくのも効果的です。ランサムウェアの脅威に対して従業員に当事者意識をもってもらい、各自の判断や行動が被害の防止につながることを十分に認識してもらう必要があります。

データをバックアップする

業務に不可欠なデータは定期的にバックアップし、万が一ランサムウェアに感染しても復元可能な体制を整えておくことも、ランサムウェアの対策方法として挙げられます。
前述のとおり、ランサムウェアによるサイバー攻撃では端末・機器に保存されていたデータが強制的に暗号化され、閲覧・活用ができない状態となります。攻撃者はデータの復号と引き換えに身代金を要求しますが、データがバックアップされていれば身代金の要求に応じるべきか迷う必要はありません。ランサムウェアによるサイバー攻撃の手口は年々巧妙化しているため、被害を完全に防ぐのは困難です。そのため、万が一、被害に遭ったとしても自社でデータを復元できるよう準備を整えておくことをおすすめします。

バックアップには外部ストレージやクラウドサービスを活用し、システムと隔離された場所に保管することが推奨されます。攻撃者によっては、窃取する対象データを暗号化すると同時に、バックアップデータの破壊を試みるケースも想定されるためです。バックアップ先を物理的に隔離し、外部からのアクセスが不可能な状態にするのが望ましいでしょう。

なお、重要なデータが定期的にバックアップされる仕組みを整えておくことは、ランサムウェアをはじめとするマルウェアへの備えに役立つだけではありません。従業員の操作ミスや機器の故障によるデータの消失も防ぐことができます。

セキュリティガイドラインを策定する

自社のセキュリティガイドラインを策定し、ランサムウェアによるサイバー攻撃を想定したルールを明文化することも不可欠なランサムウェアの対策です。
データの取り扱い方法やアクセス権の設定、アプリケーションの使用制限など、業務に関連するセキュリティポリシーを明確に定義することで、効果的かつ客観性の高いセキュリティ対策を講じられます。

具体的には、出所不明の記憶媒体には、マルウェアが潜んでいる可能性があるため、「自社の管理下にないUSBメモリやSDカードの使用を原則として禁止する」といったガイドラインの条項が考えられます。自社が認証した記憶媒体以外を使用しないよう徹底したり、USBメモリそのものを使用できない設定にしたりすることで、こうした脅威を未然に防ぎましょう。

また、外出先でノートパソコン・タブレット端末を利用するシーンを想定し、公衆Wi-Fiへの接続可否や接続方法についてもセキュリティガイドラインに明記することもおすすめします。公衆Wi-Fiのセキュリティレベルはさまざまで、中にはセキュリティ対策が講じられていないものも存在します。「公衆Wi-Fiの利用を原則禁止とする」または「VPN接続のみに限定する」などを明記し、従業員への周知も徹底することも大切です。

さらに、セキュリティガイドラインは策定後も定期的に見直し、常に最新の状態を維持することが求められます。最新のランサムウェアのサイバー攻撃の実態を踏まえ、必要に応じて変更していくのが望ましいといえます。セキュリティガイドラインを更新する際には、変更点とその理由を分かりやすく共有することが大切です。

ランサムウェアとはどのようなウイルスですか？

ランサムウェアは、端末内のデータを暗号化して使用できなくし、復号と引き換えに金銭を要求するマルウェアです。身代金（Ransom）とソフトウェア（Software）を組み合わせた名前で、企業や個人に大きな被害をもたらします。

ランサムウェアの感染経路にはどんなものがありますか？

主な感染経路には、フィッシングメールや添付ファイル、脆弱性の悪用、改ざんサイトへのアクセスなどがあります。また、VPNやクラウドサービスの設定ミスなども侵入のきっかけとなります。

ランサムウェアの被害に遭うと、どのような影響がありますか？

データの暗号化により業務が停止するほか、個人情報や機密情報の漏洩リスク、取引先への影響、信用失墜など、金銭的・社会的な影響も生じます。二重脅迫の場合、情報が公開されるリスクもあります。

ランサムウェアはウイルス対策ソフトで防げますか？

従来型のウイルス対策ソフトでは防げない場合があります。最新のEDR（Endpoint Detection and Response）や多層的なセキュリティ対策を組み合わせることで、より高い防御効果が期待できます。

ランサムウェア攻撃を受けたら、身代金を支払うべきですか？

支払ってもデータが復号される保証はなく、再攻撃のリスクもあります。そのため、身代金の支払いは原則として避けるべきです。バックアップからの復旧や専門機関への相談が推奨されます。

ランサムウェア対策として、企業が今すぐ実践できることは？

• データの定期的なバックアップ
• OSやアプリケーションの最新化
• 従業員向けのセキュリティ教育
• 最新のEDRやセキュリティツール導入
• セキュリティガイドラインの策定・遵守

などが挙げられます。

被害後の復旧にはどれくらいの期間と費用がかかりますか？

被害規模によって異なりますが、大規模なシステム停止の場合は数週間〜数か月かかることもあります。また、復旧・調査・再構築にかかる費用は、数百万円〜数億円規模に達することもあります。

自社のEDRやセキュリティ対策で防げるか不安です。相談できますか？

はい。自社のシステム構成や運用体制によって最適な対策は異なりますので、詳細なリスク診断や導入支援については、アクトまでお問い合わせください。