DBC Tech Academy

DBC Tech Academy / セキュリティ / 初級

ランサムウェアの感染経路と対策VPN 機器からの侵入、暗号化までの流れと対策

「怪しいメールを開かない」と呼びかけるだけでは、ランサムウェアの被害を防げません。警察庁の被害組織への調査では、侵入経路が分かった事例の 6 割以上が VPN 機器からでした。社員がメールを開かなくても、攻撃者は社内に入れます。この講座では、公表された事例をもとに侵入から暗号化までをたどり、入口・管理者権限・バックアップのどこで被害を抑えられるかを確かめます。

攻撃を止めて試す 先に結論を読む
fileserver / 共有 / 経理
PS> Get-ChildItem \\fs01\共有\経理 | Select Name Name ---- 見積書_2026Q3.xlsx.HLJkNskOq 請求一覧_202609.xlsx.HLJkNskOq 取引先台帳.accdb.HLJkNskOq 給与_202609.csv.HLJkNskOq HLJkNskOq.README.txt PS> Get-Content .\HLJkNskOq.README.txt -First 3 Your data is stolen and encrypted. If you don't pay the ransom, the data will be published on our TOR darknet sites. ...

月曜の朝、共有フォルダのファイルがすべて開けなくなっています。暗号化される前から、攻撃者が数日から数か月にわたって社内に潜んでいた可能性があります。脅迫状の文面は、CISA が公開した LockBit 3.0 の注意喚起に載っている実物です。

01 / Start here

攻撃者はどこから入るのか

ランサムウェアの被害は、メールの添付ファイルを開いたときだけに起きるものではありません。攻撃者は VPN 機器などから社内に入り、管理者権限を奪い、バックアップを使えなくしてからファイルを暗号化することがあります。侵入経路を減らすこと、社内で被害を広げさせないこと、バックアップから復旧できるようにすることが大切です。

侵入対策
拡大防止
復旧準備備えは3つ

対策を取る場所と、その役割

守る場所 止めるもの 止められないもの 入口 侵入そのもの 対策を入れていない別の経路 管理者権限 社内全体への広がり、持ち出し、暗号化 入られた 1 台の中の被害 バックアップ 暗号化からの復旧 持ち出したデータの公開

警察庁の令和 7 年の報告では、インターネットから接続できる機器を通じた侵入が多く、メールの添付ファイルによる感染は少なくなっています。たとえば在宅勤務用の VPN 機器、保守業者が使う機器、外部から直接接続できるリモートデスクトップが狙われます。

侵入経路を減らしても、すべての侵入を防げるとは限りません。接続できる機器やアカウントは複数あり、機器の弱点が公表される前に悪用される場合もあります。侵入された場合に備え、管理者権限を奪われにくくし、攻撃者が消せないバックアップを残します。ただし、バックアップがあっても持ち出されたデータは取り戻せません。情報の流出を防ぐには、侵入や社内での活動を早く見つけて止める必要があります。

02 / Attack chain

侵入から暗号化までの 6 段階

警察庁が示す攻撃の流れを、6 段階に分けました。暗号化より前に、攻撃者は社内で権限を奪い、重要なデータやバックアップを探します。各段階で担当者が気付く手がかりも示します。

  1. 侵入

    VPN 機器の脆弱性や、漏れた ID・パスワードで社内のネットワークに入る。

    深夜や休日の VPN ログイン、見慣れない国の接続元

  2. 管理者権限の奪取

    入った端末から管理者のパスワードを盗み、ウイルス対策ソフトを止める。

    ウイルス対策ソフトの停止、新しい管理者アカウント

  3. 内部の探索

    ファイルサーバー、データベース、業務システムの場所と、重要なデータを探す。

    1 台から多数のサーバーへのログイン、ネットワークを調べるツールの実行

  4. バックアップの破壊

    バックアップの管理画面や保存先に入り、戻せないように消すか暗号化の対象に入れる。

    バックアップの削除、世代の設定変更、Windows のシャドウコピーの削除

  5. 持ち出し

    見つけたデータを圧縮し、クラウドストレージなどへ送る。

    夜間の大量の外向き通信、見慣れないクラウドへの送信

  6. 暗号化と脅迫

    一斉にファイルを暗号化し、脅迫状を置き、ログと使ったツールを消して去る。

    ファイルが開けない、拡張子の書き換わり、脅迫状

段階の分け方と各段階の行動は、警察庁「令和 7 年におけるサイバー空間をめぐる脅威の情勢等について」の攻撃の流れに沿っています。「見えるもの」は、ログを取って見る仕組みがある場合に残るものです。

狙われる環境

ランサムウェアの攻撃の手順の多くは、Windows のパソコンとサーバーを Active Directory でまとめた社内の環境を前提に作られています。攻撃者は Active Directory の管理者権限を取ると、グループポリシーを使ってランサムウェアを全台に一斉に配れます。CISA は、LockBit 3.0 がグループポリシーで社内に広がる機能を持つと報告しています。攻撃者が 2 段階目で管理者権限を狙うのは、このためです。

仮想化基盤や NAS も狙われます。Microsoft は 2024 年に、VMware ESXi を暗号化するランサムウェアを複数の攻撃グループが使っていると報告しました。ESXi を暗号化されると、その上で動く仮想マシンのサーバーがまとめて止まります。Microsoft は、多くのセキュリティ製品が ESXi の中をほとんど監視できないことも、狙われる理由に挙げています。NAS では、2022 年に QNAP の製品で、インターネットから接続できる状態の NAS が DeadBolt というランサムウェアに直接暗号化されました。仮想化基盤と NAS の管理画面は、社員の普段のネットワークやインターネットからつながらないようにし、ログインに使うアカウントは Active Directory と分けます。Microsoft の同じ報告では、ESXi の Active Directory 連携の脆弱性 (CVE-2024-37085) を使い、Active Directory に特定の名前のグループを作るだけで ESXi の管理者権限を得る手口が確認されています。

攻撃者は分業している

ランサムウェアの多くは、RaaS (Ransomware as a Service) という分業の形で使われています。ランサムウェア本体と、脅迫に使うリークサイトを作って貸し出すグループがいて、実際に企業へ侵入して暗号化する実行役（アフィリエイト）が、受け取った身代金の一部を作ったグループに払います。実行役は高い技術を持っている必要がなく、隙のある企業を探して数をこなします。

入口の ID・パスワードや、侵入済みのネットワークへの接続を売る、初期アクセスブローカー (Initial Access Broker) もいます。パソコンに入り込んでブラウザに保存されたパスワードを盗むインフォスティーラー (infostealer) で集めた認証情報が、こうした市場で売られます。自社の VPN のパスワードが、社員の私物パソコンから盗まれて売られていることがあります。

暗号化しない脅迫もある

暗号化の前にデータを持ち出し、「身代金を払わなければ公開する」と脅す手口を、二重恐喝 (double extortion) と呼びます。警察庁の令和 7 年の統計では、手口が分かった 153 件のうち 136 件が二重恐喝でした。暗号化せず、データの持ち出しだけで脅す「ノーウェアランサム」も 17 件報告されています。バックアップから復旧できても、持ち出されたデータの公開は防げません。

入ってから暗号化までの日数

攻撃者が社内にいる期間は、事件によって大きく違います。

  • アスクル（2025 年）：委託先のアカウントで 6 月 5 日に入り、ランサムウェアの実行は 10 月 19 日で、約 4 か月です。
  • アサヒグループホールディングス（2025 年）：同社の発表では、システム障害の約 10 日前に、グループ内の拠点のネットワーク機器から入られ、パスワードの弱さを突いて管理者権限を奪われていました。攻撃者は主に業務時間外に侵入と偵察を繰り返していました。
  • Akira（CISA の注意喚起）：多要素認証の無い VPN から入り、2 時間あまりでデータの持ち出しに至った事例が報告されています。

暗号化の前に不審な動きに気付き、対応できれば、被害を抑えられる可能性があります。そのためにはログを残し、警告を確認する担当者と対応手順を決めておく必要があります（07 入られた後に広げさせない）。

情報処理技術者試験との対比

情報セキュリティマネジメント試験の平成 29 年度春期 午後問 1 は、ランサムウェアを正面から扱った問題です。営業所の社員が取引先を装ったメールの添付ファイルを開き、パソコン 1 台と、そこから複製したファイルが暗号化される、という筋書きです。ランサムウェアの特徴として「端末やファイルの可用性が失われる」「利用者や管理者を脅迫する」の 2 つを選ばせ、バックアップを書き込み後に取り外して保管すること、正しく戻せるかを試すことを正解にしています。この 2 つの特徴と、バックアップの答えは今も正しいものです。

ただし、この試験問題だけでは現在の主な侵入経路やデータの持ち出しを学べません。令和 7 年の統計では、手口が分かった被害の 9 割近くがデータを持ち出す二重恐喝で、侵入経路が分かった事例の 7 割近くは VPN 機器からでした。「メールで感染してファイルを暗号化する」という場面だけで対策を考えると、VPN 機器の更新や情報流出への備えが抜けます。応用情報技術者試験の令和 7 年度春期 午後問 1 では、VPN ルーターの脆弱性から侵入し、リモートデスクトップで広がる事例を扱っています。

03 / Initial access

侵入経路

攻撃者は、外部から接続できる機器やアカウントを使って侵入します。自社ではどの機器やアカウントが該当するか、確認しながら読んでみましょう。

VPN 機器

在宅勤務のために入れた機器や、保守業者がリモートで作業するために設置した機器です。ファイアウォールや UTM と呼ばれる機器が VPN の機能を兼ねていることも多く、社内に「VPN 機器」という名前の箱が無くても入口はあります。警察庁のアンケートでは、令和 7 年に侵入経路が分かった 92 件のうち 61 件（66%）が VPN 機器でした。

機器のメーカーが脆弱性を公表すると、攻撃者は数日のうちにインターネット全体を機械的に調べ、更新していない機器を探します。

リモートデスクトップ

Windows のリモートデスクトップ (RDP) を、ルーターの設定でインターネットから直接つなげるようにしたサーバーやパソコンです。「出張先から事務所のパソコンを使いたい」「業者が保守で入りたい」という理由で開けられ、そのまま残っていることがあります。

攻撃者は、よくある ID とパスワードを次々に試すか、漏れたパスワードで入ります。警察庁のアンケートでは、令和 7 年の侵入経路の 19 件（21%）がリモートデスクトップでした。

委託先・保守業者のアカウント

システムの保守業者や運用の委託先が、自社のネットワークに入るために持っているアカウントです。業者の作業が止まらないよう、多要素認証を例外にしていたり、接続元を絞らずにいたりすることがあります。

業者の側が先に侵入され、そこから自社に入られることもあります。04 の大阪急性期・総合医療センターがこの形です。

メールの添付ファイル・リンク

添付ファイルやリンク先から不正なプログラムを動かす経路です。令和 7 年の侵入経路では 92 件のうち 2 件で、少なくなっていますが、無くなってはいません。メールで盗んだパスワードを使って、上の 3 つの入口から入り直す攻撃もあります。

入り方は 3 種類

ここで紹介した侵入経路では、主に次のような弱点が狙われます。

  • 更新していない脆弱性：機器のメーカーが修正版を出していても、当てていない機器は外から乗っ取れます。
  • 漏れた・推測しやすいパスワード：インフォスティーラーや別のサービスから漏れたもの、admin や会社名に数字を付けたものです。多要素認証が無ければ、パスワードだけで入れます。
  • 設定の不備：接続元を絞っていない、使わなくなった業者のアカウントが残っている、初期設定の管理画面が外から開ける、といった状態です。

攻撃者は、インターネット上の機器を機械的に調べて弱点を探します。知名度の低い会社も対象になります。警察庁の令和 7 年の統計では、被害に遭った 226 件のうち 143 件が中小企業でした。

被害の規模と業種

警察庁に報告されたランサムウェアの被害は、令和 7 年に 226 件でした。業種別では製造業が約 4 割で、卸売・小売業、サービス業、情報通信業が続きます。

報告されたのは警察に届け出た件数で、届け出ずに復旧した被害はこの数に入りません。

04 / Case studies

実例 3 件の侵入経路

調査報告書が公表された国内の 3 件について、侵入から復旧までを比較します。業種も規模も異なりますが、侵入経路や被害の広がり方には共通点があります。

段階大阪急性期・総合医療センター
2022 年 10 月		名古屋港統一ターミナルシステム
2023 年 7 月		アスクル
2025 年 10 月
入口給食事業者のリモート保守用 VPN 機器ファームウェアを更新しておらず、管理者の ID・パスワードを盗める脆弱性 (CVE-2018-13379) が残っていた。この機器の ID・パスワードは、ネット上に公開されたリストに載っていた保守用の VPN緊急時にすぐ入れるよう接続元の IP アドレスを制限しておらず、ID とパスワードが合えば誰でも入れた。保守用の ID・パスワードを不正に取得されたか推測された可能性が高いとされた業務委託先の管理者アカウント例外として多要素認証を適用しておらず、何らかの方法で漏れた ID・パスワードで 2025 年 6 月に入られた
広がり給食事業者のサーバーから、常時つながっていたリモートデスクトップで病院の給食サーバーへ入り、ウイルス対策ソフトを削除した。サーバーの ID・パスワードは共通で、利用者全員に管理者権限が付いており、電子カルテのサーバーなどへ広がった保守用 VPN から入ったとみられ、ターミナルシステムの物理サーバー 8 台と仮想サーバー 45 台がすべて暗号化された管理者権限を狙ったログインに失敗した後、7 月から EDR などを無効にして複数のサーバー間を移動し、権限を得た。データセンターのサーバーには EDR が入っておらず、24 時間の監視も無かった
バックアップ-バックアップは本番環境の直近 3 日分だけで、そのバックアップの中からもウイルスが見つかった同じデータセンターにあったバックアップも暗号化・削除され、すぐに戻せなかった
ログ障害の当日、VPN 機器のファームウェアをバックアップを取らずに更新し、機器のログが消えて侵入経路を断定できなかったVPN 機器のログを取っておらず、侵入経路を断定できなかった委託先のパソコンのログが OS の更新の過程で消えていた
復旧電子カルテを含む基幹システムの再開まで 43 日、診療システム全体の復旧まで 73 日コンテナの搬入・搬出が約 3 日間止まったWeb の受注再開まで約 1 か月半、全物流センターでの出荷再開まで約 3 か月半

各組織と国土交通省が公表した調査報告書・検討委員会の資料から、6 段階と復旧に関わる記述を抜き出しています。「-」は、報告書がその段階の問題として挙げていないものです。

3 件から分かること

3 件とも、業者が使う機器やアカウントが侵入経路になりました。給食事業者の保守用 VPN 機器は更新されず、ターミナルシステムの保守用 VPN は接続元が制限されず、委託先の管理者アカウントは多要素認証の対象外でした。業者に任せている入口も、自社で更新状況や設定を確認する必要があります。

大阪急性期・総合医療センターでは、同じパスワードを複数のサーバーで使っていたため、被害が広がりました。給食サーバーと他のサーバーのパスワードが共通で、利用者全員に管理者権限がありました。給食事業者との間には、報告書によると使われていないリモートデスクトップ接続も残っていました。1 台から別のサーバーへ進みやすい状態でした。

バックアップを使える状態に保つことも重要です。名古屋港では利用できるバックアップが限られ、アスクルでは同じデータセンターのバックアップも被害を受けました。同じネットワークにあり、攻撃者が管理者権限で操作できるバックアップは、削除や暗号化の対象になります。

報告書の読み方

調査報告書は、自社の対策を見直す材料として最も具体的な資料です。読むときは、侵入の入口、そこから広がった理由、戻せなかった理由の 3 か所を探すと、自社に当てはめやすくなります。

報告書は、ログが残っていない部分を「可能性がある」「と推定される」と書きます。3 件とも、入口の側のログが無いか消えていて、侵入経路を断定できていません。ログを取っていなければ、被害に遭った後に入口を特定できず、塞ぐ場所も決められません。

05 / Simulator

攻撃を止めるシミュレーター

社員 80 人の会社に、攻撃者が入ろうとしています。 侵入経路を 1 つ選び、自社が入れている対策にチェックを付けて、攻撃がどの段階で止まるか、最後に何が残るかを確かめてみましょう。

    
          
    
            
    侵入された-
    
            
    管理者権限を取られた-
    
            
    データを持ち出された-
    
            
    暗号化から戻せる-
    
            
    侵入経路を特定できる-
    
          
    
          
    
        
    
        
    
          
    侵入経路
    
          
    
            
            
          
    
          
    入口
    
          
    
            
            
            
            
          
    
          
    管理者権限
    
          
    
            
            
            
          
    
          
    検知と記録
    
          
    
            
            
          
    
          
    バックアップ
    
          
    
            
          
    
        
    
      
    
      
    警察庁が示す攻撃の流れと、04 の 3 件の報告書の経路を、段階ごとに組み直したモデルです。各対策は、それが効く段階で攻撃を止めるものとして扱っています。
    

      
    
        
    
          
    動かすと見えること
    
          
    入口の対策は、狙われる経路に合わせて選びます。VPN 機器を更新しても、委託先のアカウントやリモートデスクトップの設定は別に確認する必要があります。経路を切り替えて、対策が効く範囲を比べてみましょう。
    
          
    管理者権限を守ると、侵入後の被害を広げにくくできます。サーバーごとに管理者パスワードを分け、日常の作業を一般ユーザーで行えば、攻撃者が別の機器へ進むのを難しくできます。
    
          
    書き換えできないバックアップだけでは、持ち出しは止まりません。暗号化からは戻せても、「払わなければ公開する」という脅迫は残ります。持ち出しを止めるのは、それより前の段階の対策です。
    
          
    ログは、侵入経路を調べる手がかりになります。必要なログが残っていないと調査が難しくなり、入口を塞ぐ前に復旧しても再び侵入されるおそれがあります。
    
        
    
      
    
    
    

    
    
      
    
        
    06 / Entry
    
        
    侵入経路を減らす
    
        
    まず、外部から接続できる自社の機器やアカウントを把握します。業者が管理している機器については、次の項目を確認しましょう。
    
      
    
      
      
        
    1. インターネットに出ている機器を一覧にする
      VPN 機器、ファイアウォール・UTM、ルーター、外から入れるリモートデスクトップ、外部公開しているサーバー、複合機やネットワークカメラの管理画面を書き出します。導入業者には「外部から接続を受け付けている機器と、その機種・ファームウェアの版、開けているポートの一覧をください」と頼みます。
      外から自社がどう見えるかは、Shodan のような、インターネット全体を調べて結果を公開しているサービスで、自社の固定 IP アドレスを検索して確かめられます。攻撃者が見ているのと同じ情報です。
      2. 
        
    2. VPN 機器の更新の担当と期限を決める
      メーカーの脆弱性情報と JPCERT/CC の注意喚起を、機種名で確認します。米国の CISA は、実際に悪用された脆弱性を KEV (Known Exploited Vulnerabilities) カタログで公開しています。使っている機器の脆弱性が載っていたら、速やかに影響を確認し、更新などの対応を決めます。
      保守契約で、修正版が出たときの担当者と対応期限を確認します。決まっていなければ、業者と取り決めておきます。
      3. 
        
    3. 外部からの接続すべてに多要素認証を付ける
      VPN、リモートデスクトップ、クラウドの管理画面、メールに、パスワードに加えて認証アプリやセキュリティキーでの確認を付けます。例外を 1 つ残すと、攻撃者はそこを使います。アスクルの入口は、多要素認証を例外にしていた委託先の管理者アカウントでした。
      パスワードは、自社が監視していない機器で盗まれることが多くあります。インフォスティーラーは、社員の自宅や私物のパソコンに入り込み、ブラウザに保存されたパスワードを持ち出します。Chrome や Edge で個人の Google アカウントや Microsoft アカウントにログインし、パスワードの同期を有効にしていると、会社のパソコンで保存したパスワードが私物のパソコンにも同期されます。2023 年に Okta のサポート用システムが不正アクセスを受けた件では、社員が会社のパソコンの Chrome で個人の Google アカウントにログインし、そこにサービス用アカウントの ID・パスワードを保存していたことが、最も可能性の高い漏えい経路とされました。会社のパスワードは会社の機器と会社のアカウントでだけ保存させ、それでも漏れることを前提に多要素認証を付けます。
      4. 
        
    4. 委託先・保守業者のアカウントを使う時だけ有効にする
      業者のアカウントを一覧にし、普段は無効にしておき、作業の連絡を受けてから有効にします。接続元は業者の固定 IP アドレスに絞ります。契約が終わった業者や退職者のアカウントが残っていないかも、この一覧で確かめます。
      5. 
        
    5. リモートデスクトップは VPN の内側だけで受ける
      ルーターでリモートデスクトップのポート（既定は 3389）をインターネットへ転送している設定を外し、外から使うときは多要素認証の付いた VPN を通します。
      6. 
      
    
      
    VPN 機器の更新は、作業の時間帯と切り戻しの手順を決めてから行います。更新中は在宅勤務や業者の遠隔保守がつながらなくなり、ファームウェアによっては再起動後に設定の一部が変わります。更新の前に設定とログのバックアップを取り、つながらなくなったときに現地で戻せる人を決めておきます。大阪急性期・総合医療センターでは、障害の当日に VPN 機器のファームウェアをバックアップを取らずに更新したため、機器のログが消え、侵入経路を断定できなくなりました。
    
      
    機器を更新しても、すでに受けた侵入への対応は別に必要です。更新前に侵入されていた場合、攻撃者が別のアカウントやツールを残している可能性があります。悪用が確認された脆弱性を修正したときは、ログで不審な接続を調べ、必要に応じてアカウントやパスワードも見直します。
    
    
    

    
    
      
    
        
    07 / Lateral movement
    
        
    入られた後に広げさせない
    
        
    侵入されても、別の機器へ移動しにくい環境なら被害を抑えられます。管理者権限を必要な人と作業に限り、パスワードを機器ごとに分けることが重要です。
    
      
    
      
    
        
    
          
    日常の作業は一般ユーザーで
    
          
    社員のパソコンのアカウントに管理者権限が付いていると、そのパソコンに入った攻撃者は最初から管理者です。日常の作業は一般ユーザーで行い、ソフトの導入のように管理者権限が要る作業は、担当者が別の管理者アカウントで行います。
    
          
    Active Directory を使っているなら、ドメイン全体を操作できるドメイン管理者 (Domain Admins) の人数を確かめます。日常のログインに使っているアカウントがここに入っていれば外し、ドメイン管理者のアカウントは管理作業のときだけ使います。
    
        
    
        
    
          
    サーバーごとに別の管理者パスワード
    
          
    サーバーやパソコンのローカルの管理者 (Administrator) のパスワードが全台で同じなら、1 台で盗んだパスワードで全台に入れます。大阪急性期・総合医療センターで、給食サーバーから電子カルテのサーバーへ広がったのはこの形でした。
    
          
    Windows には、ローカルの管理者パスワードを 1 台ごとに自動で別の値にし、定期的に変える Windows LAPS (Local Administrator Password Solution) が、2023 年 4 月の更新から標準で入っています。Windows 11 と Windows Server 2019 以降で、追加の費用はかかりません。Active Directory か Microsoft Entra ID から設定を配り、パスワードはそこに保管されます。
    
        
    
        
    
          
    EDR を全台に入れる
    
          
    EDR (Endpoint Detection and Response) は、パソコンやサーバーの中での動き（パスワードを盗むツールの実行、多数のサーバーへのログイン、シャドウコピーの削除）を記録して不審なものを知らせ、遠隔でネットワークから切り離せる製品です。
    
          
    監視していない機器があると、そこでの不審な動きを見逃すおそれがあります。アスクルでは、データセンターのサーバーに EDR が入っておらず、24 時間の監視もありませんでした。管理対象から漏れている機器がないか確認します。警告を夜間や休日に誰が確認し、誰が機器を切り離すかも決めておきます。
    
        
    
        
    
          
    ログを別の場所に残す
    
          
    VPN 機器のログイン記録、Active Directory のログイン記録、サーバーのイベントログを、攻撃者が消せない別の場所（ログ専用のサーバーやクラウドのログサービス）へ送って保存します。攻撃者は最後に痕跡を消すので、同じ機器の中にあるログは残りません。
    
          
    盗まれた正しい ID・パスワードで入られると、ログインは 1 回で成功し、失敗の記録は残りません。VPN 機器のログイン記録では、成功したログインのうち、接続元の IP アドレスが海外やクラウド事業者のもの、社員が使わない時刻のもの、委託先がふだん作業しない日のものを探します。多要素認証を入れている場合、社員から「身に覚えのない承認の通知が来た」と連絡があれば、パスワードが漏れている可能性があります。
    
          
    名古屋港では VPN 機器のアクセスログを取っておらず、侵入経路を確定できませんでした。攻撃者が長期間潜んでいた事例もあるため、ログの保存期間は数か月以上を目安に検討します。
    
        
    
      
    
      
    ウイルス対策ソフトが入っているから安心、とは言えません。管理者権限を取った攻撃者は、ウイルス対策ソフトを止めるか削除してから次の段階へ進みます。大事なのは、ソフトが止まったときに担当者へ通知が届くかどうかです。管理画面で、全台のソフトが動いているかを一覧で確かめられるかを見てみましょう。
    
    
    

    
    
      
    
        
    08 / Backup
    
        
    バックアップで戻せるようにする
    
        
    攻撃者は暗号化の前にバックアップを探し、削除や暗号化を試みます。警察庁の令和 7 年の統計では、被害に遭った組織の 9 割がバックアップを取っていましたが、バックアップから復旧できたのは 99 件のうち 20 件でした。復旧できなかった理由の約 3 分の 2 は、バックアップ自体が暗号化されたか消されたことです。攻撃者が消せない場所にバックアップを残し、実際に復元できるか確かめておく必要があります。
    
      
    

        
    保管場所によって変わる、バックアップの守りやすさ
    
      
    
        
    同じサーバーの別ディスク
    サーバーの管理者になった攻撃者は、同じ操作で消せます。Windows のシャドウコピーもここに入ります。
    届く
    
        
    社内の NAS
    Active Directory の管理者で入れる NAS や、共有フォルダとしてつながっている NAS は、ファイルサーバーと同じように暗号化されます。
    届く
    
        
    書き換えできないクラウドの保管
    保存期間中は、管理者のアカウントでも消したり上書きしたりできない設定にした保管先です。
    届かない
    
        
    切り離したテープ・ディスク
    書き込んだ後にネットワークから外し、別の場所に保管した媒体です。攻撃者からは見えません。
    届かない
    
      
    
      
    「届く」は、攻撃者が Active Directory の管理者権限を取ったときに、その保管先を消すか暗号化できることを示しています。
    

      
    
        
    
          
    3-2-1-1-0 ルール
    
          
    バックアップの置き方の目安に、3-2-1-1-0 ルールがあります。データを 3 つ持ち、2 種類の媒体に分け、1 つは別の場所に置き、もう 1 つはオフラインか書き換えできない状態にし、復元テストでエラーがないことを確かめる、という考え方です。
    
          
    書き換えできない保管 (immutable backup) には、次のようなものがあります。要点は、設定した保存期間が過ぎるまで、社内の管理者のアカウントでは消せないことです。
    
          
      
            
    • Amazon S3 の Object Lock：コンプライアンスモードにすると、保存期間中はルートユーザーでも消せず、保存期間を縮めることもできません。ガバナンスモードは、特別な権限を持つアカウントなら消せるので、攻撃者にその権限を取られると守れません。
      • 
            
    • Cloudflare R2 のバケットロック：バケットに保存期間のルールを付け、その間はオブジェクトの削除や上書きを拒否します。ルールそのものは管理画面や API から外せるので、Cloudflare のアカウントは社内の Active Directory と分け、多要素認証を付けて守ります。
      • 
            
    • NAS のスナップショットのロック：一部の NAS の製品は、スナップショットを一定期間消せないようにする機能を持っています。
      • 
            
    • テープ：書き込んだ後に装置から抜けば、ネットワークから届きません。
      • 
          
    
          
    バックアップのシステムにログインするアカウントは、Active Directory と分けます。ドメイン管理者を取った攻撃者がバックアップの管理画面にもそのまま入れると、保存の世代や期間を書き換えられてしまいます。
    
        
    
        
    
          
    データベースのバックアップ
    
          
    販売管理や基幹システムのデータベースは、ファイルのバックアップとは別に取っていることが多く、ここが見落とされます。PostgreSQL の pg_dump の出力や WAL のアーカイブ、Oracle Database の RMAN のバックアップが、データベースと同じサーバーや同じ NAS に置かれていないかを確かめます。
    
          
    戻す側で決めておくのは 2 つの数字です。
    
          
      
            
    • RPO (Recovery Point Objective)：どの時点まで戻せればよいか。前日の夜のバックアップなら、その日の朝からの入力は失われます。
      • 
            
    • RTO (Recovery Time Objective)：何時間で戻せばよいか。数百 GB のデータベースを、書き換えできない保管先から取り寄せて戻すのに何時間かかるかは、実際に戻して測るまで分かりません。
      • 
          
    
          
    年に 1 回は、本番とは別のサーバーにバックアップから戻し、業務のデータが読めることと、かかった時間を記録します。
    
        
    
      
    
      
    侵入経路を塞がずに戻すと、同じ攻撃者に再び暗号化されます。攻撃者は入口と、社内に作った自分用のアカウントを残しています。戻す前に、侵入経路と攻撃者が作ったアカウントを特定して塞ぎます。
    
      
    戻す時点が侵入より前かを確かめずに戻すと、攻撃者が仕込んだものも一緒に戻ります。攻撃者が社内にいた間に取ったバックアップには、攻撃者のアカウントやツールが入っています。調査で分かった侵入の日時より前の世代を選ぶか、戻した後にそれらを取り除きます。
    
    
    

    
    
      
    
        
    09 / Response
    
        
    被害に遭ったときの判断
    
        
    ファイルが開けない、脅迫状が置かれているといった被害に気付いたら、まず何をすべきか。その後の連絡と復旧までの流れを順に確認します。調査の進め方は、デジタルフォレンジック調査のしくみで扱っています。
    
      
    
      
      
        
    1. ネットワークから切り離す
      暗号化されている機器の LAN ケーブルを抜き、無線 LAN を切ります。他の機器への広がりと、データの持ち出しの続きをその場で止めます。
      電源は切りません。メモリの中に残る攻撃の痕跡が、電源を切ると消えます。警察庁も、調査に要るログが消えることがあるので、パソコンやネットワーク機器の電源は落とさないよう求めています。
      2. 
        
    2. 連絡する
      都道府県警察のサイバー犯罪相談窓口、契約しているサイバー保険の保険会社、システムの保守業者に連絡します。保険会社は、調査会社の手配や費用の扱いを案内してくれることがあります。
      個人データが漏えいしたおそれがあるときは、個人情報保護委員会への報告と、本人への通知が要ります。不正アクセスによるものは、件数にかかわらず報告の対象です。速報は知ってから 3 日から 5 日以内を目安に、確報は不正アクセスによるものなら 60 日以内に出します。
      警察庁は、通報のときに脅迫状、通信のログ、システムの構成図などを求めることがあるとしています。警察から被害の公表を求めることはありません。
      3. 
        
    3. 侵入経路と範囲を調べる
      どこから入られ、どの機器まで届き、何が持ち出されたかを調べます。この結果が無いと、戻す世代も塞ぐ場所も決められません。
      4. 
        
    4. 塞いでから戻す
      侵入経路を塞ぎ、攻撃者のアカウントを消し、全員のパスワードを変えてから、侵入より前の世代のバックアップで戻します。
      5. 
      
    

      
    
        
    
          
    身代金を払うか
    
          
    払っても、データが元に戻る保証はありません。二重恐喝では、払っても持ち出されたデータが消される保証も無く、公開されることがあります。払った会社は「払う会社」として、別の攻撃の対象にもなります。
    
          
    警察庁は、身代金が犯罪グループの活動資金になることと、支払っても復号が保証されないことを被害者に説明しています。一部のランサムウェアには、捜査機関などが作った復号ツールがあります。警察に相談し、No More Ransom でも無償のツールを探せます。バックアップから復旧できる場合も、持ち出されたデータへの対応は必要です。
    
        
    
        
    
          
    復旧にかかる期間と費用
    
          
    警察庁が令和 7 年に被害組織へ行ったアンケートでは、次のような結果でした。
    
          
      
            
    • 調査と復旧に総額 1,000 万円以上かかった組織は 5 割を超え、1 億円以上も 89 件のうち 5 件ありました。
      • 
            
    • 1 か月未満で復旧できた組織は 5 割強にとどまります。
      • 
            
    • サイバー攻撃を想定に含めた業務継続計画 (BCP) を作っていた組織は約 18% でした。
      • 
          
    
        
    被害に遭うと、調査や復旧の間は機器を使えず、取引先への説明が必要になることもあります。対応手順と連絡先は紙にも残しておきましょう。社内のファイルサーバーが暗号化されると、そこに置いた手順書は開けません。
    
        
    
      
    
    
    

    
    
      
    
        
    10 / Read the symptom
    
        
    よくある相談 3 例
    
        
    情報システムの担当者が受けそうな相談を、架空の事例にしました。最初に何を確かめるか、選んでみましょう。
    
      
    
      
    
      
    
        
    
        
    
          
    
          
    
          
        
    
      
    
    
    

    
    
      
    
        
    11 / Myth vs. reality
    
        
    よくある勘違い
    
        
    対策を考えるときに、よく聞く思い込みを 3 つ取り上げます。
    
      
    
      
    
        
    MISCONCEPTION 01
    「怪しいメールを開かなければ防げる」
    侵入経路の 6 割以上は VPN 機器で、社員が何も操作しなくても入られます。メールの注意喚起は今も要りますが、それだけでは入口の大半が開いたままです。03 侵入経路で、自社の入口を数えてみましょう。
    
        
    MISCONCEPTION 02
    「うちは小さい会社だから狙われない」
    攻撃者はインターネット全体を機械的に調べ、隙のある機器を探しています。被害に遭った企業の約 6 割は中小企業です。大阪急性期・総合医療センターの給食事業者のように、取引先の大きな組織への入口として使われることもあります。
    
        
    MISCONCEPTION 03
    「バックアップがあれば身代金は関係ない」
    バックアップで戻せるのは暗号化されたデータだけです。持ち出されたデータを公開すると脅す二重恐喝には効きません。それに、同じネットワークにあるバックアップは暗号化の前に壊されます。05 攻撃を止めるシミュレーターで、バックアップだけを入れて試せます。
    
      
    
    
    

    
    
      
    
        
    12 / Knowledge check
    
        
    理解度チェック
    
        
    答えを選び、解説で理由も確かめましょう。
    
      
    
      
    
        
    
          YOUR PROGRESS
          01 / 09
          
    
        
    
        
    
          
    
          
    
          
    選択肢を1つ選んでください。
    
          
    
        
    
      
    
    
    

    
    
      
    Take it home
    
      
    侵入経路を減らし、被害の拡大を防ぎ、復旧に備える
    
      
    
        
    侵入経路を調べる外部から接続できる機器と業者のアカウント
    
        
    侵入経路を減らす機器の更新と多要素認証
    
        
    被害の拡大を防ぐ管理者パスワードを分け、EDR とログを確認
    
        
    戻せるようにする書き換えできない保管と復元テスト
    
      
    
      
    
        
    今のランサムウェアは、VPN 機器やリモートデスクトップ、委託先のアカウントから人が入り、管理者権限を取り、バックアップを壊し、データを持ち出してから暗号化します。暗号化は最後の一手で、攻撃者はその前の数日から数か月、社内にいます。
    
        
    侵入経路、管理者権限、バックアップの 3 か所で備えます。外部からの接続を見直し、管理者のパスワードを機器ごとに分け、攻撃者が消せないバックアップから復元できるかを試します。まずは外部から接続できる自社の機器と、業者のアカウントを一覧にしましょう。
    
      
    
      
      
     ほかの講座を見る
    
      
    
        
    参考資料