ランサムウェアとは？「侵入→盗む→使えなくする→脅す」で理解する【情報セキュリティマネジメント】
ランサムウェアを難しく考える必要はありません。
まずは、会社に泥棒が入った場面を想像してください。
泥棒は重要書類をコピーして持ち出します。
その後、社内の書類棚に勝手に鍵を掛けます。
最後に、
「鍵を開けてほしければ金を払え。払わなければ盗んだ書類も公開する」
と脅します。
サイバー空間で、これに近いことを行うのがランサムウェア攻撃です。
2026年のIPA「情報セキュリティ10大脅威」では、組織向け脅威の第1位が「ランサム攻撃による被害」です。2016年から11年連続で取り上げられています。
結論・要点
この記事の要点
ランサムウェアは、データを暗号化するなどして利用不能にし、金銭などを要求するマルウェアである。
現在のランサムウェア攻撃では、暗号化前に情報を盗む二重脅迫も重要な手口である。
ランサムウェア攻撃は、不審メールだけでなくVPN機器の脆弱性や漏えいした認証情報から始まる場合がある。
感染が疑われた端末はネットワークから隔離するが、証拠保全のため安易に電源を切らない。
バックアップは取得するだけでなく、攻撃者から変更・削除されない状態で保護する必要がある。
EDRは有効な防御手段だが、EDRだけでランサムウェア対策が完成するわけではない。
身代金を支払ってもデータが復元される保証はない。
RaaSによってランサムウェア攻撃の分業化が進んでいる。
この記事で分かること
この記事では、次の順番でランサムウェアを理解します。
何が起きる？
↓
自分にも関係する？
↓
どうやって侵入する？
↓
どう確認する？
↓
感染したらどうする？
↓
どう防ぐ？
↓
試験では何を覚える？
情報セキュリティマネジメント試験の暗記だけではなく、実際に会社でランサムウェアが疑われた場合にも役立つ内容を目指します。
対象読者・前提環境
この記事は次の読者を対象としています。
情報セキュリティマネジメント試験を勉強している人
基本情報技術者試験などでセキュリティを学んでいる人
ランサムウェアという名前は知っているが仕組みまでは分からない人
社内の情報セキュリティ教育を受ける人
中小企業のIT担当者
IPAが現在公開している情報セキュリティマネジメント試験のシラバスはVer.4.1で、ランサムウェアはマルウェア関連の知識として扱われています。
ランサムウェアとは
**ランサムウェア（Ransomware）**は、端末などに保存されているデータを暗号化して使用できなくし、元に戻すことと引き換えに金銭や暗号資産などを要求する不正プログラムです。警察庁も同様の定義を示しています。
名前は、
Ransom
身代金
＋
Software
ソフトウェア
↓
Ransomware
ランサムウェア
と考えると覚えやすくなります。
「ウイルス」と覚えるのは少し不正確
初心者向けの記事では、
ランサムウェアは身代金を要求するウイルス
と説明されることがあります。
意味は伝わりますが、技術的には**「マルウェアの一種」**と覚える方が適切です。
マルウェアとは、悪意を持って作られたソフトウェアの総称です。
マルウェア
├─ ウイルス
├─ ワーム
├─ トロイの木馬
├─ スパイウェア
└─ ランサムウェア
一般論：
「ウイルス」はマルウェア全体を指す日常語として使われることがありますが、試験では用語を区別して覚えた方が安全です。
何が起きるのか
ランサムウェア攻撃を理解するときは、暗号化だけを見ないことが重要です。
典型的な侵害を単純化すると、次のように進みます。
もっと身近なたとえにすると、
① 泥棒が会社へ侵入
↓
② 社内を歩き回る
↓
③ 機密書類をコピー
↓
④ 書類棚全部に鍵を掛ける
↓
⑤ 「金を払え」と要求
↓
⑥ 「払わないなら盗んだ書類も公開する」と脅す
という流れです。
暗号化されるだけではない
昔ながらの説明では、
ランサムウェア
↓
ファイル暗号化
↓
身代金要求
だけを覚えることが多くありました。
現在は、これだけでは不十分です。
警察庁は、データを窃取した上で「支払わなければ公開する」と要求する**二重恐喝（二重脅迫）**が被害の多くを占めると説明しています。
二重脅迫
攻撃者
│
├─ 脅迫①
│ データを暗号化した
│ ↓
│ 「復旧したければ払え」
│
└─ 脅迫②
情報を盗んだ
↓
「公開されたくなければ払え」
ここが重要です。
バックアップからシステムを復旧できても、
盗まれた情報
を攻撃者から取り戻すことはできません。
そのため、
「バックアップがあるからランサムウェアは怖くない」
とは言えません。
ノーウェアランサムという攻撃もある
さらに、警察庁は**「ノーウェアランサム」**の被害も確認しています。
これは名前のとおり、
ランサムウェアによる暗号化なし
↓
情報を盗む
↓
「公開されたくなければ金を払え」
という恐喝です。
つまり現在は、
ランサムウェアというプログラムそのものより、「データと事業を人質にするランサム攻撃」として考える
方が実態を理解しやすくなっています。
自分にも関係するのか
「怪しいメールを開かなければ大丈夫」と考えるのは危険です。
以前は、不特定多数へ悪意あるメールを送り付ける方法が代表的でした。
しかし警察庁は現在、インターネットへ公開されたVPN機器などから、未修正の脆弱性、漏えいした認証情報、弱いパスワード、設定不備を悪用して侵入する手口が多くを占めるとしています。
つまり、
不審メールを開いていない
↓
だから安全
とは限りません。
例えば、
インターネット
│
↓
古いVPN機器
│
脆弱性
│
↓
攻撃者が侵入
│
↓
社内ネットワーク
│
├─ PC
├─ ファイルサーバ
├─ Active Directory等
└─ バックアップ
という侵入も考える必要があります。
ランサムウェア攻撃はなぜ増えたのか
大きな理由の一つがRaaSです。
RaaSとは
RaaSは、
Ransomware as a Service
の略です。
普通のサービスにたとえるなら、
「ランサムウェア攻撃に必要な仕組みを貸し出す犯罪者向けサービス」
です。
警察庁によると、ランサムウェアの開発・運営を行うグループが、攻撃実行者へランサムウェアやリークサイトなどを提供し、身代金の一部を受け取るRaaSが多数確認されています。
イメージすると、
┌─────────────────┐
│ RaaS運営者 │
│ ・ランサムウェア開発 │
│ ・管理システム │
│ ・リークサイト │
└────────┬────────┘
│ 提供
↓
┌─────────────────┐
│ 攻撃実行者 │
│ ・侵入 │
│ ・情報窃取 │
│ ・暗号化 │
└────────┬────────┘
│
↓
被害組織
身代金
↓
攻撃者側で分配
となります。
事実： RaaSによる分業化は警察庁も確認しています。
筆者の考察： 試験では「RaaS＝ランサムウェアそのもの」ではなく、「ランサムウェア攻撃をサービス型・分業型で提供する犯罪ビジネスモデル」と理解すると混乱しにくくなります。
ランサムウェアの被害
ランサムウェアの怖さは「パソコンが1台使えなくなること」ではありません。
企業では、
PC停止
↓
ファイルサーバ停止
↓
業務システム停止
↓
受発注できない
↓
製造・販売・サービス停止
↓
取引先にも影響
まで広がる可能性があります。
IPAも2026年3月に公開した中小企業向けガイドライン第4.0版で、ランサムウェアによる影響が情報漏えいだけでなく企業の事業活動停止にまで拡大していると説明しています。
ランサムウェアが疑われるときの確認方法
次のような現象があれば注意します。
多数のファイルが突然開けなくなった
ファイル名や拡張子が一斉に変わった
身代金を要求する文章が表示された
複数のPCやサーバが同時に利用できなくなった
EDRやウイルス対策ソフトから重大な警告が出た
身に覚えのない管理者操作が記録されている
大量のファイル変更が短時間に発生している
ただし、ファイルが開けないだけでランサムウェアと断定してはいけません。
ストレージ障害、権限設定の変更、アプリケーション障害などでも似た症状が起きます。
確認の基本
異常を発見
↓
ネットワークから隔離
↓
ログ・証拠を保存
↓
影響範囲を確認
↓
専門担当者へ連絡
↓
原因を調査
警察庁も、感染した端末だけではなく、感染が確認されていないPCやサーバを含めて侵害の痕跡を調査することを推奨しています。
感染したら最初に何をするのか
ここは試験でも実務でも重要です。
1. ネットワークから隔離する
感染が疑われる端末について、
LANケーブル
↓
抜く
Wi-Fi
↓
切断する
などしてネットワークから隔離します。
目的は、
感染端末
↓
別のPC
↓
サーバ
↓
バックアップ
へ被害が広がることを防ぐためです。
警察庁も、感染したPC等をLANケーブルの抜線や無線のオフによってネットワークから隔離するよう案内しています。
ただし、すぐ電源を切らない
ここは重要な注意点です。
LANを切る
○
電源を切る
△
警察庁は、感染原因の調査に必要なログなどが失われる可能性があるため、PCやネットワーク機器の電源を落とさないよう案内しています。
ただし、ネットワークからどうしても切り離せない場合については、米CISAは被害拡大を防ぐため電源断を選択肢として示しています。
したがって、単純に、
「ランサムウェア感染＝すぐ電源OFF」
と暗記するのは適切ではありません。
試験ではまず、
感染端末をネットワークから隔離する
と覚えるのが分かりやすいでしょう。
2. ログや証拠を残す
原因調査には、
ランサムノート
通信ログ
認証ログ
EDRログ
システムログ
ディスクイメージ
メモリ情報
システム構成
などが重要になります。
警察庁も、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図などを捜査上の情報例として挙げています。
そのため、慌てて初期化してしまうと、
原因不明
↓
侵入経路不明
↓
同じ穴が残る
↓
再侵入
となる危険があります。
3. バックアップをすぐ接続しない
バックアップがあるからといって、すぐ復元を始めるのも危険です。
攻撃者がまだネットワーク内にいる状態でバックアップを接続すると、
バックアップ接続
↓
攻撃者から見える
↓
バックアップまで削除・暗号化
となる可能性があります。
まず侵入経路と侵害範囲を調査します。
その後、安全な環境へ復旧します。
バックアップは「取る」だけでは足りない
ランサムウェア対策で最も重要な誤解の一つです。
本番サーバ
│
↓
NASへバックアップ
だけでは安全とは限りません。
攻撃者からNASへアクセスできれば、
本番データ
×
バックアップ
×
という状態になる可能性があります。
警察庁は、バックアップまで暗号化される事例が多数あるとして、ネットワークから切り離したオフライン保存などを推奨しています。
考え方としては、
┌─ 通常バックアップ
本番データ ──┼─ 別環境バックアップ
└─ オフライン等の保護されたコピー
と複数の層を持たせます。
さらに大切なのが復元テストです。
バックアップ成功
≠
復元成功
です。
警察庁も、日頃の運用上の問題からバックアップ復旧がうまくいかない事例があるとして、復旧手順を含む訓練を推奨しています。
ランサムウェアを防ぐ方法
対策は一つではありません。
ランサムウェア対策
侵入させない
│
├─ パッチ適用
├─ MFA
└─ 強い認証
↓
広げさせない
│
├─ 権限最小化
├─ ネットワーク分離
└─ IPS/NDR等
↓
実行させない
│
├─ EDR
└─ マルウェア対策
↓
被害から戻す
│
├─ バックアップ
└─ 復旧訓練
優先したい対策
| 対策 | 目的 |
|---|---|
| OS・VPN・ネットワーク機器の更新 | 脆弱性からの侵入を防ぐ |
| MFA | パスワード漏えいだけで侵入されにくくする |
| 強固で使い回さない認証情報 | 不正ログインを防ぐ |
| 最小権限 | 侵害後の被害範囲を減らす |
| EDR | 不審な端末挙動を検知・遮断する |
| ネットワーク監視 | 横展開や不審通信を発見する |
| バックアップ | 復旧手段を確保する |
| ログ保存 | 原因・侵害範囲を調査できるようにする |
| インシデント訓練 | 本番時に迷わず対応する |
これらは警察庁が示しているランサムウェア対策とも整合します。
WAF・IPS・EDRは何をしてくれるのか
セキュリティ製品ごとに役割が違います。
Internet
│
↓
[WAF]
│
↓
[IPS/NDR]
│
↓
Server / PC
│
[EDR]
WAF
Webアプリケーションへの攻撃を検知・遮断します。
ただし、
WAFだけでランサムウェアを防げるわけではありません。
VPN認証情報が盗まれた場合や、PC内部でランサムウェアが実行された場合などはWAFの守備範囲外です。
IPS・ネットワーク監視
ネットワーク上で、
脆弱性攻撃
不審な通信
マルウェア通信
横展開につながる通信
などを検知・遮断できる場合があります。
ただし、暗号化通信や正規ツールを悪用した攻撃など、ネットワーク側だけでは判断しにくいケースもあります。
EDR
EDRは端末内部を監視します。
例えば、
不審プロセス起動
↓
大量ファイル変更
↓
バックアップ削除試行
↓
不審通信
といった挙動を関連付けて検知できる可能性があります。
警察庁も、EDRやネットワーク監視製品などの導入を有効な対策として挙げています。
ただし、
EDRを入れればランサムウェア対策完了
ではありません。
製品の設定、更新、監視、アラートへの対応まで含めて運用する必要があります。警察庁も「導入するだけでなく最新状態に保ち適切に運用すること」が重要としています。
身代金は払えば解決するのか
支払っても復旧できる保証はありません。
警察庁は、支払った金銭が犯罪グループの活動資金になる懸念と、暗号化データの復号が保証されないことを説明しています。
したがって、
身代金を払う
↓
必ず復旧する
ではありません。
さらに二重脅迫では、
復号された
↓
でも盗まれたデータは
攻撃者側に残っている
可能性があります。
そのため「払えば元通り」という理解は危険です。
無料の復号ツールで戻せる場合もある
すべてのランサムウェアではありませんが、一部には無料の復号ツールが存在します。
警察庁は「No More Ransom」で対応する復号ツールが公開されていないか確認する方法を案内しています。
また、日本の警察庁はLockBitやPhobos/8Baseについて復号ツールを案内しています。
ただし、
全ランサムウェアに対応しているわけではない
同じ名称でもバージョンによって使えない場合がある
全ファイルを復元できるとは限らない
という制約があります。
動作確認・復旧確認
復旧したからといって、すぐ通常業務へ戻してはいけません。
確認する順番は、
侵入経路を塞いだか
↓
攻撃者が残っていないか
↓
認証情報を変更したか
↓
安全なバックアップか確認
↓
隔離環境で復元
↓
マルウェア・侵害痕跡確認
↓
業務システム動作確認
↓
ネットワークへ復帰
が基本です。
警察庁も、侵入経路や侵害範囲を調査した上で、未適用パッチへの対応や、攻撃者からアクセスされた可能性のある機器のパスワード変更を推奨しています。
再発防止
ランサムウェア事故後に、
バックアップから戻った！
↓
終了
としてはいけません。
同じ侵入口が残っていれば、再び侵入される可能性があります。
再発防止では、
最初の侵入経路を特定する
脆弱性を修正する
漏えいした可能性がある認証情報を変更する
MFAを導入する
不要な管理者権限を削除する
外部公開機器を再点検する
EDR・ネットワーク監視ログを確認する
バックアップを攻撃者から隔離する
復旧テストを行う
インシデント対応手順を更新する
という流れが重要です。
試験でのポイント
情報セキュリティマネジメント試験では、細かなランサムウェア製品名より、特徴と正しい対策を対応させて覚える方が重要です。
最低限覚える5点
① データを使用不能にする
② 身代金を要求する
③ 情報窃取＋公開脅迫＝二重脅迫
④ 感染端末はネットワークから隔離
⑤ バックアップを保護する
さらに余裕があれば、
RaaS
EDR
MFA
VPN脆弱性
ノーウェアランサム
も覚えます。
試験で迷いやすい選択肢
| 選択肢 | 判断 |
|---|---|
| 感染PCをネットワークから隔離する | ○ |
| 身代金を払えば確実に復号できる | × |
| バックアップを取れば同じネットワーク上でも安全 | × |
| VPN機器の脆弱性を修正する | ○ |
| MFAを導入する | ○ |
| EDRを導入すれば他の対策は不要 | × |
| 二重脅迫ではデータ窃取も行われる | ○ |
| RaaSは攻撃を分業・サービス化する仕組み | ○ |
注意点・よくある誤解
誤解1：ランサムウェアは怪しいメールから感染する
不十分です。
現在はVPN機器などの脆弱性、漏えいした認証情報、弱いパスワード、設定不備を利用した侵入も重要です。
誤解2：バックアップさえあれば問題ない
危険な考え方です。
バックアップ自体が暗号化・削除される可能性があります。
さらに、二重脅迫ではバックアップから復旧できても情報漏えいは消えません。
誤解3：EDRを導入すれば安全
EDRは万能ではありません。
EDRは非常に有効な対策ですが、
パッチ
＋
MFA
＋
最小権限
＋
ネットワーク対策
＋
EDR
＋
バックアップ
＋
ログ
＋
訓練
という多層防御で考える必要があります。
誤解4：感染したら最初に電源を切る
原則として単純化しすぎです。
日本の警察庁は、まずネットワークから隔離し、調査に必要な情報が失われる可能性があるため安易に電源を切らないよう案内しています。
誤解5：ランサムウェア＝暗号化
現在の実態を十分に表していません。
情報窃取、公開脅迫、暗号化を伴わないノーウェアランサムなども考える必要があります。
セキュリティ記事としての対象整理
ランサムウェアは特定製品の単一脆弱性ではないため、CVE記事とは扱いが異なります。
| 項目 | 内容 |
|---|---|
| 対象製品 | 特定製品に限定されない |
| 影響バージョン | 一律には定義できない |
| CVSS | ランサムウェア全体を単一CVSSで評価しない |
| 攻撃成立条件 | 脆弱性悪用、認証情報窃取、マルウェア実行など状況により異なる |
| 悪用状況 | 現実の組織被害が継続して確認されている |
| 修正版 | 特定の修正版は存在しない |
| 暫定対策 | 隔離、認証強化、パッチ適用、バックアップ保護など |
| WAF | Web経由の一部初期侵入対策を補助 |
| IPS/NDR | 不審通信・侵入・横展開の検知を補助 |
| EDR | エンドポイント上の不審挙動の検知・隔離を補助 |
IPAの「情報セキュリティ10大脅威 2026」でも、ランサム攻撃による被害は組織向け第1位となっています。
まとめ
ランサムウェアは、
「ファイルを暗号化するウイルス」
だけではありません。
現在は、
侵入
↓
内部探索
↓
情報窃取
↓
暗号化
↓
身代金要求
↓
情報公開による脅迫
という一連の攻撃として理解する方が分かりやすくなります。
試験では、まず次の一文を覚えてください。
ランサムウェアは、データなどを利用不能にして身代金を要求するマルウェアであり、現在は情報を盗んで公開を脅す二重脅迫も重要である。
実務では、さらに一つ覚えてください。
感染が疑われたら、まず被害端末をネットワークから隔離する。
そして最大の対策は一つの製品ではありません。
侵入を防ぐ
＋
侵入後の拡大を止める
＋
早く検知する
＋
安全に復旧できるようにする
という多層防御です。
FAQ
Q. ランサムウェアとマルウェアの違いは？
マルウェアは悪意あるソフトウェア全体の総称です。
ランサムウェアは、その中でも身代金要求を目的とする種類です。
マルウェア
└─ ランサムウェア
という関係です。
Q. ランサムウェアに感染したらLANケーブルを抜いてよいですか？
はい。
警察庁は被害拡大防止のため、LANケーブルを抜く、無線をオフにするなどして感染端末をネットワークから隔離するよう案内しています。
Q. 電源も切った方がよいですか？
日本の警察庁は、ログ等が失われる場合があるため、ネットワークから隔離できるのであれば安易に電源を落とさないよう案内しています。
ネットワークから隔離できない特殊な状況では別の判断が必要になるため、組織のインシデント対応担当者や専門家へ連絡します。
Q. 身代金を払えばデータは戻りますか？
保証されません。
警察庁も、支払ったとしても暗号化されたデータの復号が保証されるわけではないことを説明しています。
Q. バックアップがあればランサムウェア対策は十分ですか？
十分ではありません。
バックアップ自体が暗号化される可能性があります。
また、情報を盗まれている場合、バックアップから復旧しても情報漏えいという問題は残ります。
Q. 復号ツールはありますか？
一部のランサムウェアには存在します。
警察庁やNo More Ransomで確認できます。ただし、すべての種類・バージョンを復号できるわけではありません。
参考情報
IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html
組織向け脅威として「ランサム攻撃による被害」が第1位に選定されています。
警察庁「ランサムウェア被害防止対策」
https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
ランサムウェアの定義、RaaS、二重恐喝、侵入経路、予防、バックアップ、初動対応、復旧までまとめられています。
IPA「ランサムウェア対策特設ページ」
https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html
ランサムウェアの感染防止・被害低減に関する情報が掲載されています。
IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」
https://www.ipa.go.jp/pressrelease/2025/press20260327.html
2026年3月公開。ランサムウェアによる事業停止リスクを踏まえ、バックアップなどの対策が強化されています。
No More Ransom
https://www.nomoreransom.org/ja/index.html
一部ランサムウェアに対する復号ツールを確認できます。警察庁からも案内されています。
CISA「I've Been Hit By Ransomware!」
https://www.cisa.gov/stopransomware/ive-been-hit-ransomware
ランサムウェア被害発生後の隔離・対応について米CISAが公開している資料です。