ノーウェアランサムとは？暗号化しないランサム攻撃の仕組み・検知・対策を解説

ランサムウェア対策というと、多くの人は「ファイルが暗号化される攻撃」を想像します。

しかし、ファイルを暗号化しないランサム攻撃も実際に確認されています。

それが**ノーウェアランサム（No-ware Ransom）**です。

攻撃者は組織へ侵入し、重要情報を盗み出した後、

「金銭を支払わなければ、盗んだ情報を公開する」

と脅迫します。

警察庁は、ノーウェアランサムを「データを暗号化することなくデータを窃取し対価を要求する手口」と説明しています。IPAの「情報セキュリティ10大脅威 2026」でも、ランサムウェアを利用せず、データを暗号化せずに同様の脅迫を行う攻撃として取り上げられています。

重要なのは、「暗号化されていない＝被害がない」ではないことです。

結論・要点

この記事の要点

• ノーウェアランサムは、データを暗号化せず、窃取した情報の公開を材料に金銭を要求するランサム攻撃である。
• ノーウェアランサムでは、ランサムウェアによる大量暗号化が発生しないため、暗号化挙動だけを監視していても検知できない。
• 「ノーウェア」という名称は「マルウェアを一切使わない」という意味ではない。
• ノーウェアランサムでは、バックアップから復元できても盗まれた情報を取り戻すことはできない。
• VPN・公開機器の脆弱性、盗まれた認証情報、弱い認証、メールなどが侵入の糸口になり得る。
• 対策ではEDRだけでなく、IdP・VPN・ファイルアクセス・DNS・Proxy・Firewall・クラウド監査ログを組み合わせる必要がある。
• 大量ファイルアクセス、圧縮・ステージング、不審な外向き通信、異常なクラウドアップロードは重要な検知ポイントになる。
• MFA、パッチ管理、最小権限、外向き通信監視、DLP、EDR/NDRなどを組み合わせた多層防御が必要である。
• 2025年に警察庁へ報告されたノーウェアランサム被害は17件であり、「国内で年々増加している」と単純には言えない。

この記事で分かること

この記事では、次の順番でノーウェアランサムを解説します。

何が起きるのか
   ↓
通常のランサムウェアと何が違うのか
   ↓
自分の組織にも関係するのか
   ↓
どうやって侵入・情報窃取するのか
   ↓
何を監視すれば発見できるのか
   ↓
被害が疑われたらどうするのか
   ↓
どう防ぐのか
   ↓
再発をどう防ぐのか

単なる用語解説ではなく、実際のセキュリティ運用で使える検知・対策まで扱います。

対象読者・前提環境

この記事は、次の読者を対象としています。

• 情報セキュリティマネジメント試験を勉強している人
• 基本情報技術者・情報処理安全確保支援士を勉強している人
• 社内SE・インフラ担当者
• SOC・CSIRT担当者
• EDRやSIEMを運用している人
• ランサムウェア対策を見直している企業
• VPNやクラウドサービスを利用している組織

Windowsだけの問題ではありません。

認証基盤、VPN、Linuxサーバー、ファイルサーバー、SaaS、クラウドストレージなども攻撃対象になり得ます。

ノーウェアランサムとは

通常のランサムウェアは、

侵入
 ↓
情報窃取
 ↓
暗号化
 ↓
身代金要求

という攻撃を行います。

ノーウェアランサムでは、暗号化の工程を省略します。

侵入
 ↓
情報窃取
 ↓
外部へ持ち出す
 ↓
「公開する」と脅迫
 ↓
金銭要求

警察庁も、

データを暗号化する（ランサムウェアを実行する）ことなくデータを窃取し対価を要求する

手口としてノーウェアランサムを説明しています。

「ノーウェア」という名前に注意

ここは非常に誤解されやすい部分です。

No-ware
   ↓
マルウェアを全く使わない

という意味ではありません。

より正確には、

ランサムウェアによる
「データ暗号化」を行わない

攻撃と考えます。

侵入後に別のマルウェア、正規の管理ツール、スクリプト、クラウドサービスなどが利用される可能性まで否定する名称ではありません。

「ノーウェアだからマルウェア対策は不要」という理解は誤りです。

IPAも、ノーウェアランサムを「ランサムウェアを利用せず、データを暗号化せずに同様の脅迫を行う攻撃」と整理しています。

通常のランサムウェア・二重脅迫との違い

3種類を並べると理解しやすくなります。

図にすると、

【従来型】

データ
  ↓
暗号化
  ↓
「戻してほしければ払え」


【二重脅迫】

データ ──→ 窃取
  │          ↓
  ↓      「公開するぞ」
暗号化
  ↓
「戻してほしければ払え」


【ノーウェアランサム】

データ
  ↓
窃取
  ↓
外部へ持ち出す
  ↓
「公開されたくなければ払え」

となります。

何が起きるのか

典型的な流れを単純化すると次のようになります。

ポイントは、

暗号化

が存在しないことです。

攻撃者側から見ると、なぜ暗号化しないのか

一般論として、暗号化工程を省くことには攻撃者側の利点があります。

通常のランサムウェアでは、

数千・数万ファイルを書き換える
 ↓
ファイル拡張子が変わる
 ↓
大量のI/Oが発生する
 ↓
EDRが異常を検知

といった目立つ動作が発生します。

ノーウェアランサムでは、この大量暗号化という非常に分かりやすい挙動が存在しません。

そのため、防御側が、

「大量暗号化を検知したら止める」

だけに依存していると、攻撃の中心である情報窃取を見逃す可能性があります。

CISAなどが公開しているBianLianの分析でも、このグループは2023年1月ごろから主として暗号化ではなく、情報窃取を利用した恐喝へ移行したとされています。

日本でも実際に確認されている

ノーウェアランサムは架空の攻撃手法ではありません。

警察庁は2023年から独立した形で被害を集計しています。

2023年は30件、2024年は22件が確認されています。

警察庁が公開した2025年の統計データでは17件となっています。

ここには重要な注意点があります。

「ノーウェアランサムが年々増加している」とは言えない

一部の記事では、

ノーウェアランサムが急増している

と説明されることがあります。

少なくとも警察庁への国内被害報告件数を見る限り、

2023年  30件
      ↓
2024年  22件
      ↓
2025年  17件

となっており、直近の公式統計から「年々増加している」と断定するのは適切ではありません。

ただし、これは警察へ報告された件数です。

すべての攻撃を表す数字ではありません。

また、IPA「情報セキュリティ10大脅威 2026」では「ランサム攻撃による被害」全体が組織向け第1位で、ノーウェアランサムもその手口の一つとして明記されています。

自分の組織にも関係するのか

関係します。

特に、

• VPNを外部公開している
• リモートデスクトップを利用している
• SaaSを多数利用している
• ファイルサーバーへ大量の機密情報を保存している
• MFAを導入していない
• 管理者権限を広く付与している
• EDRのランサムウェア検知だけに依存している
• 外向き通信量を監視していない

といった環境では、ノーウェアランサムを意識する価値があります。

警察庁はランサム攻撃の主要な侵入経路として、VPN等の公開機器について、未修正の脆弱性、漏えいした認証情報、弱いパスワード、設定不備などが悪用されていると説明しています。

攻撃はどう進むのか

1. 初期侵入

例えば、

VPN
公開サーバー
盗難認証情報
フィッシング
脆弱性

などを足掛かりとして侵入します。

MITRE ATT&CKでは、盗まれた正規アカウントを利用する攻撃をValid Accounts：T1078として整理しています。正規認証情報はVPNやリモートサービスへのアクセスにも悪用され得ます。

2. 内部探索

攻撃者は侵入すると、

どんなサーバーがある？
どこに重要データがある？
誰が管理者？
どこまでアクセスできる？

と内部環境を調べます。

ここで重要なのは、

「侵入された＝すぐ情報が盗まれる」

とは限らない点です。

探索や権限拡大を経て、価値の高い情報へ到達する場合があります。

3. データ収集

狙われる可能性があるのは、

• 顧客情報
• 個人情報
• 契約書
• 設計資料
• ソースコード
• 財務情報
• 人事情報
• 認証情報
• 社内メール
• 知的財産
• バックアップデータ

などです。

4. データを外部へ持ち出す

ここがノーウェアランサム対策で特に重要です。

社内データ
   ↓
収集
   ↓
一時保存・まとめる
   ↓
外部通信
   ↓
攻撃者側

MITRE ATT&CKでは、既存のC2通信を利用して情報を持ち出す手法がT1041：Exfiltration Over C2 Channelとして整理されています。

また、正規のWeb・クラウドサービスを利用する情報持ち出しはT1567：Exfiltration Over Web Serviceとして整理されています。

例えば、

PC
 ↓
HTTPS
 ↓
正規クラウドサービス
 ↓
攻撃者管理領域

という通信は、一見すると通常のHTTPS通信に見える場合があります。

MITREも、正規Webサービスは普段から利用され、Firewallで許可されている場合があるため、情報窃取の隠れ蓑になり得ると説明しています。

5. 情報公開で脅迫する

情報を持ち出した後、

「あなたの情報を入手した」
            ↓
窃取したファイルの一部を提示
            ↓
「支払わなければ公開する」
            ↓
金銭要求

という恐喝へ進みます。

ここでは復号鍵は必要ありません。

情報そのものが人質です。

二重脅迫とノーウェアランサムの最大の違い

通常の二重脅迫では、

可用性
＋
機密性

が攻撃されます。

つまり、

暗号化 → 業務を止める
窃取   → 情報漏えいで脅す

という2方向の被害です。

一方、純粋なノーウェアランサムでは主に、

機密性

が狙われます。

この違いは防御方法にも影響します。

バックアップだけでは防げない

ランサムウェア対策では、

バックアップを取りましょう

とよく言われます。

これは正しい対策です。

しかし、ノーウェアランサムに対してはバックアップだけでは問題を解決できません。

データを盗まれた
       ↓
バックアップから復元
       ↓
データは戻った
       ↓
でも攻撃者のコピーは残っている

からです。

つまり、

バックアップ
      ↓
可用性対策には強い

しかし

情報窃取
      ↓
機密性の回復はできない

という違いがあります。

確認方法

ノーウェアランサムには、

突然すべてのファイルが暗号化された

という分かりやすい兆候がありません。

そのため、攻撃ライフサイクル全体を見る必要があります。

監視すべきログ

最低限、次のログを関連付けて確認します。

警察庁も、侵入経路や侵害範囲を調査するため、ネットワーク機器や端末のログを日頃から取得することを推奨しています。

特に重要な検知パターン

大量ファイルアクセス

通常、

ユーザー
 ↓
数ファイルを閲覧

だったアカウントが突然、

数千ファイル
数十GB
複数部署

へアクセスし始めた場合は調査対象になります。

外向き通信量の異常

例えば、

普段

受信 500MB
送信 50MB


異常時

受信 100MB
送信 30GB

となっていれば、情報持ち出しの可能性を調査します。

MITREが2026年5月に更新したT1041の検知戦略でも、ファイルアクセス後に通常とは異なる外向き通信量が発生する挙動が検知観点として挙げられています。

クラウドへの異常アップロード

さらに注意したいのが、

端末
 ↓
Google Drive
OneDrive
Dropbox等

のような正規サービスです。

ドメインだけを見ると正常通信に見える可能性があります。

そのため、

どこへ通信したか

だけではなく、

誰が
どの端末から
何GB
何時に
どのアプリで

というコンテキストを見る必要があります。

MITRE T1567でも、通常ネットワーク通信を行わないプロセスが突然HTTPS通信を開始し、外向き通信比率が大きくなる挙動などが検知例として挙げられています。

被害が疑われた場合の対処方法

ノーウェアランサムでは、

暗号化端末を探す

だけでは不十分です。

優先順位は次のようになります。

侵入を止める
 ↓
認証情報を止める
 ↓
データ流出を止める
 ↓
証拠を保全
 ↓
侵害範囲を調査
 ↓
漏えい情報を特定
 ↓
再侵入経路を塞ぐ

1. 侵害端末を隔離する

不審な端末が特定できている場合は、ネットワークから隔離します。

警察庁も被害拡大防止のためLANケーブルの抜線や無線の停止などによる隔離を案内しています。調査に必要なログが失われる可能性があるため、安易に電源を落とさないことも示しています。

2. アカウントも止める

ノーウェアランサムでは、端末だけではなくIdentityの封じ込めが特に重要です。

例えば、

PCを隔離
    ↓
でも攻撃者は
盗んだVPNアカウントを保持
    ↓
別PCから再侵入

となる可能性があります。

そのため、

• 侵害アカウント停止
• パスワード変更
• セッション失効
• APIトークン失効
• VPN認証情報変更
• サービスアカウント確認
• 管理者アカウント確認

まで検討します。

3. ログを消さない

確認したいログは、

VPN
IdP
EDR
AD
Firewall
DNS
Proxy
ファイルサーバー
クラウド
SaaS

です。

攻撃者が、

どこから侵入したか
 ↓
どのアカウントを使ったか
 ↓
どのデータを見たか
 ↓
何を持ち出したか

を再構築する材料になります。

4. 何を盗まれたか確認する

ノーウェアランサムでは、ここが復旧作業の中心になります。

システムが動くか？

だけではなく、

どの情報へ
誰が
いつ
アクセスし
どこへ送信したか

を確認します。

個人情報が含まれていた場合

日本では、個人データの漏えい等が発生し、個人の権利利益を害するおそれがある一定の事態について、個人情報保護委員会への報告や本人通知が必要になります。

不正アクセスなど不正の目的をもって行われた漏えい等も報告対象となり得ます。

したがって、情報窃取が疑われる場合は、

SOC / CSIRT
＋
経営層
＋
法務
＋
個人情報保護担当

で連携し、届出・通知義務を確認します。

WAFで防げるのか

WAFだけでは防げません。

WAFが有効なのは、

Webアプリへの脆弱性攻撃

などが初期侵入経路となる場合です。

しかし、

盗難VPNアカウント
盗難クラウドアカウント
フィッシング
端末侵害
正規SaaSへのアップロード

などはWAFの守備範囲外です。

したがって、

WAFを導入しているからノーウェアランサム対策は十分

という判断はできません。

IPS・NDRでできること

IPSやNDRでは、

• 既知脆弱性への攻撃
• 不審なC2通信
• 異常な外向き通信
• 通常と異なる転送量
• 新規通信先
• 内部探索
• 横展開

などを検出できる可能性があります。

特にノーウェアランサムでは、

暗号化検知

よりも、

Exfiltration
情報持ち出し

を重点的に監視する必要があります。

EDRでできること

EDRでは、

不審プロセス
   ↓
大量ファイルアクセス
   ↓
データ収集
   ↓
外部通信

という一連の行動を追跡できます。

ただし、ここにも注意があります。

「ランサムウェア防御機能」だけでは不十分

EDRに、

大量ファイル暗号化を検知
 ↓
プロセス停止

という機能があったとしても、ノーウェアランサムでは暗号化そのものが発生しない可能性があります。

したがって、

Credential Access
Discovery
Collection
Exfiltration

まで見る必要があります。

WAF・IPS・EDRの役割

Internet
    │
    ▼
┌───────────────┐
│ WAF / IPS      │
│ 初期侵入を阻止 │
└───────┬───────┘
        │
        ▼
┌───────────────┐
│ EDR            │
│ 端末挙動を監視 │
└───────┬───────┘
        │
        ▼
┌───────────────┐
│ NDR / Proxy    │
│ 持ち出し監視   │
└───────┬───────┘
        │
        ▼
      Internet

さらに、

IdP
DLP
CASB
SIEM

を組み合わせることで、検知能力を高められます。

対策方法

1. VPN・公開機器を更新する

警察庁はVPN機器など外部公開された機器の脆弱性悪用を重要な侵入経路として挙げています。

したがって、

資産把握
 ↓
脆弱性確認
 ↓
更新
 ↓
不要サービス停止

を継続します。

2. MFAを導入する

盗難ID・パスワードだけで侵入されないよう、

ID
＋
Password
＋
追加認証

を利用します。

IPA「情報セキュリティ10大脅威 2026」でもMFAやFIDO/FIDO2、パスキーなどの利用が対策として示されています。

3. 最小権限にする

例えば、

一般社員
 ↓
全社ファイルサーバー
 ↓
全部閲覧可能

では、1アカウントの侵害が大規模漏えいにつながります。

理想は、

営業 → 営業データ
人事 → 人事データ
開発 → 開発データ

のように必要な範囲へ限定します。

警察庁もアクセス権限を必要最小限にすることを推奨しています。

4. 外向き通信を監視する

ノーウェアランサムでは特に重要です。

North-South通信

社内
 ↓
Internet

について、

• 通信先
• 通信量
• 利用者
• プロセス
• 時刻
• SaaS
• アップロード量

を記録します。

5. ファイルアクセスを監視する

重要データについて、

誰が
何を
いつ
どれだけ読んだか

を追跡できる状態にします。

単純なログイン成功だけでは不十分です。

6. DLP・CASBも検討する

DLPは、

個人情報
機密文書
ソースコード

などの持ち出しを検知・制御する用途があります。

SaaS利用が多い組織ではCASBなどによるクラウド利用監視も補助になります。

7. バックアップは不要になるのか

不要にはなりません。

ここも極端に考えないことが重要です。

ノーウェアランサムだけを見れば、

バックアップ
 ↓
情報窃取を防げない

のは事実です。

しかし実際の攻撃者が、

情報窃取
＋
削除
＋
暗号化
＋
システム破壊

へ移行する可能性まで排除できません。

したがって、バックアップは引き続き必要です。

IPAもWORMなどによる改ざん耐性の強化や、バックアップからの復旧訓練を推奨しています。

動作確認

対策を導入した後は、

製品を入れた
 ↓
終了

にしてはいけません。

次をテストします。

実データを外部へ送信する試験は避けます。

テスト専用データと隔離した検証環境を利用してください。

再発防止

インシデント後は、

攻撃者がいなくなった

だけでは完了ではありません。

次の順番で確認します。

侵入経路特定
 ↓
脆弱性修正
 ↓
認証情報変更
 ↓
セッション・トークン失効
 ↓
権限見直し
 ↓
外部公開範囲見直し
 ↓
持ち出されたデータ特定
 ↓
検知ルール追加
 ↓
インシデント対応訓練

セキュリティ製品別の対策整理

CVE記事との違い

ノーウェアランサムは特定のCVEではありません。

そのため、

個別製品の脆弱性が侵入経路となった場合は、そのCVEに対するパッチ適用が別途必要です。

注意点・よくある誤解

誤解1：ノーウェアランサムはマルウェアを使わない

必ずしもそうではありません。

「ノーウェア」は主として、ランサムウェアによるデータ暗号化を行わない攻撃を指します。

他の不正プログラムや正規ツールまで利用されないことを意味しません。

誤解2：ファイルが暗号化されていないなら被害は軽い

逆です。

重要データが盗まれていれば、

• 個人情報漏えい
• 営業秘密漏えい
• 契約情報流出
• 顧客への影響
• 法的対応
• 信用低下

につながる可能性があります。

「業務が動いているから安全」と判断してはいけません。

誤解3：バックアップがあれば対処できる

ノーウェアランサムでは不十分です。

消されたデータ
 ↓
バックアップで戻せる


盗まれたデータ
 ↓
バックアップでは取り戻せない

という根本的な違いがあります。

誤解4：EDRのランサムウェア防御をONにすれば十分

不十分です。

暗号化を行わないため、

大量暗号化

をトリガーにした対策だけでは検知できない可能性があります。

Identity、Collection、Exfiltrationまで監視する必要があります。

誤解5：ノーウェアランサムは急増している

少なくとも国内の最新公式統計だけからは、そのようには言えません。

警察庁への報告件数は、

2023年 30件
2024年 22件
2025年 17件

です。

ただし、報告件数だけで脅威全体を評価することも適切ではありません。

従来型ランサムウェア対策から何を変えるべきか

従来は、

侵入防止
 ↓
暗号化検知
 ↓
バックアップ復旧

が中心になりがちでした。

ノーウェアランサムを考慮すると、

侵入防止
      ↓
Identity監視
      ↓
内部探索検知
      ↓
大量データアクセス検知
      ↓
外向き通信・SaaS監視
      ↓
情報持ち出し遮断
      ↓
インシデント対応

まで広げる必要があります。

つまり、

「ファイルを守るランサムウェア対策」から「データがどこへ動いたかを見るランサム攻撃対策」へ変える

ことがポイントです。

まとめ

ノーウェアランサムは、

データを暗号化せず、盗んだ情報の公開を材料に金銭を要求するランサム攻撃

です。

攻撃の流れは、

侵入
 ↓
探索
 ↓
重要情報を収集
 ↓
外部へ持ち出す
 ↓
情報公開で脅迫
 ↓
金銭要求

となります。

従来のランサムウェア対策との最大の違いは、

暗号化を止める

だけでは足りない

ことです。

特に監視したいのは、

異常認証
＋
大量ファイルアクセス
＋
異常な外向き通信
＋
クラウドへの大量アップロード

です。

防御も、

MFA
＋
パッチ管理
＋
最小権限
＋
EDR
＋
NDR
＋
DLP
＋
SIEM
＋
ログ保存

という多層構成で考えます。

ノーウェアランサム対策で最も大切な考え方は、

「暗号化されたか」ではなく、「誰がどの情報へアクセスし、そのデータがどこへ移動したか」を監視すること

です。

FAQ

Q. ノーウェアランサムとランサムウェアは同じですか？

厳密には違います。

通常のランサムウェアはデータを暗号化するマルウェアです。

ノーウェアランサムはランサムウェアによる暗号化を行わず、情報を窃取して公開を材料に金銭を要求する攻撃です。

Q. ノーウェアランサムではPCは普通に動きますか？

動作し続ける場合があります。

暗号化によるシステム停止が必須ではないため、利用者が異変に気付く前に情報窃取が進む可能性があります。

そのためログ監視が重要です。

Q. バックアップは意味がありませんか？

いいえ。

通常のランサムウェアやシステム破壊への備えとして依然重要です。

ただし、盗まれた情報の回収には使えません。

Q. EDRで検知できますか？

可能性はあります。

ただし大量暗号化だけでなく、

• Discovery
• Credential Access
• Collection
• Exfiltration

などの挙動まで監視する必要があります。

Q. WAFで防げますか？

Webアプリケーションの脆弱性を悪用した侵入には役立つ場合があります。

しかし、盗難VPNアカウントやフィッシング、SaaS、端末からの情報窃取などにはWAFだけでは対応できません。

Q. ノーウェアランサムは2026年に増えていますか？

2026年8月13日時点で確認できた警察庁の最新通年統計は2025年分です。

2023年30件、2024年22件、2025年17件であり、少なくともこの統計から「年々増えている」とは言えません。

参考情報

警察庁「ランサムウェア被害防止対策」

https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html

ノーウェアランサムの定義、侵入経路、EDR・ネットワーク監視、ログ保存、インシデント対応について確認できます。

警察庁「令和6年警察白書 第3項 ランサムウェアの情勢」

https://www.npa.go.jp/hakusyo/r06/honbun/html/aa3313000.html

2023年にノーウェアランサム30件が確認されたことが掲載されています。

警察庁「令和7年警察白書 第3項 ランサムウェアの情勢」

https://www.npa.go.jp/hakusyo/r07/honbun/html/bb3313000.html

2024年にノーウェアランサム22件が確認されたことが掲載されています。

IPA「情報セキュリティ10大脅威 2026［組織編］」

https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf

ランサム攻撃とノーウェアランサム、MFAやアクセス管理などの対策について解説されています。

MITRE ATT&CK「Valid Accounts T1078」

https://attack.mitre.org/techniques/T1078/

盗まれた正規アカウントを利用した侵入について確認できます。

MITRE ATT&CK「Exfiltration Over C2 Channel T1041」

https://attack.mitre.org/techniques/T1041/

C2チャネルを利用したデータ持ち出しについて確認できます。

MITRE ATT&CK「Exfiltration Over Web Service T1567」

https://attack.mitre.org/techniques/T1567/

クラウドストレージなど正規Webサービスを利用した情報持ち出しについて確認できます。

CISA「#StopRansomware: BianLian Ransomware Group」

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-136a

BianLianが暗号化中心から情報窃取を利用した恐喝へ移行した事例を確認できます。

個人情報保護委員会「漏えい等の対応とお役立ち資料」

https://www.ppc.go.jp/personalinfo/legal/leakAction/

個人データの漏えいが疑われる場合の報告や対応について確認できます。