コトラ（広報チーム） 
はじめに
ランサムウェアとは何か
ランサムウェアとは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語です。この悪意あるプログラムは、コンピュータやファイルを暗号化して使用不能にし、その復元と引き換えに金銭（身代金）を要求するマルウェアの一種です。近年、その手口はますます洗練され、特定の業種や企業規模に応じた標的型の攻撃が増加しています。
ランサムウェアに感染すると、保存されたデータが暗号化され、暗号化解除の条件として身代金が要求される「ランサムノート」が表示されます。仮に身代金を支払ったとしても、データが確実に復元される保証はなく、さらなる損害を招くリスクもあります。
2024年の脅威動向と記事の目的
2024年に入り、ランサムウェア攻撃は一段と巧妙化し、国内外の多くの大手企業や公共機関が深刻な被害を受けています。警察庁の報告によると、2024年上半期のランサムウェア被害報告件数は114件に達し、依然として高水準で推移しています。また、従来のデータの暗号化に加えて、窃取したデータをダークウェブで公開すると脅迫する「二重脅迫型」の手口が主流となっており、手口が判明している事案の8割以上を占めています。さらに、データの暗号化を行わず、窃取したデータを公開しないことを条件に身代金を要求する「ノーウェアランサム」といった新たな手法も増加しており、バックアップだけでは防御できない脅威となっています。
本記事では、2024年現在のランサムウェアの脅威動向、感染経路、具体的な対策方法について詳しく解説します。
対象読者（企業IT担当者・中小企業経営者・個人ユーザー等）
本記事は、ランサムウェアの脅威に直面しているすべての読者を対象としています。特に、企業のIT担当者、セキュリティ管理責任者、中小企業経営者、そして個人ユーザーの方々が、自らの情報資産を守るための具体的な知識と対策を学ぶことを目的としています。
最新被害事例と攻撃傾向
被害の増加傾向と実例（国内外主要事例）
ランサムウェアによる被害は年々増加傾向にあり、規模や業種を問わず多くの組織が標的となっています。特に2024年上半期は、前年を上回るペースで被害が報告されており、警察庁に報告されたランサムウェア被害件数は128件と過去最悪を記録しました。
- 日本商工会議所（2024年3月）: 小規模事業者持続化補助金の事務局サーバーがランサムウェア被害を受け、データの一部が消失・暗号化。個人情報漏洩の可能性も調査中。
- 富士通（2024年3月）: 複数の業務用PCにマルウェアが発見され、個人情報を含む顧客ファイルが不正に持ち出される可能性が公表されました。
- 岡山県精神科医療センター（2024年5月）: 電子カルテを含む総合情報システムがランサムウェア攻撃を受け、約4万人の患者情報がダークウェブに流出。VPN機器の更新遅延が原因とされています。
- ニデックインスツルメンツ（2024年5月）: 業務システムへの不正アクセスにより、社内システムおよびファイルサーバーの一部データが暗号化され、情報漏洩の可能性が判明しました。
- KADOKAWAグループとニコニコ動画（2024年6月）: ロシア系ランサムウェアグループ「BlackSuit」による大規模サイバー攻撃を受け、ニコニコ動画のサービス停止や出版事業の物流への影響、約25万人分の個人情報漏洩が確認されました。
- 東京海上日動あんしん生命保険（2024年7月）: 委託先の税理士法人がランサムウェアに感染し、約2万7800件の契約者および元社員の情報が流出した恐れが発表されました。通信機器の設定ミスが原因と見られています。
- カシオ計算機（2024年10月）: ランサムウェア攻撃により社内データが流出し、一部サービスが停止。従業員や取引先、採用面接者などの個人情報が漏洩した可能性があります。
- サイゼリヤ（2024年10月）: ランサムウェア攻撃によりシステム障害が発生し、従業員や元従業員、取引先など約6万1000件の個人情報が漏洩した可能性があります。
海外でも、2017年の「WannaCry」による国民保険サービス（イングランド）の被害や、2020年のホンダ自動車への「SNAKE」攻撃など、大規模な被害が報告されています。
多様化する攻撃手法（ばらまき型・標的型・二重脅迫・RaaS等）
ランサムウェアの攻撃手法は、従来の不特定多数を狙った「ばらまき型」から、より計画的で特定の組織を狙う「標的型」へと変化しています。
- ばらまき型: 初期にはメールの添付ファイルやフィッシングリンクを通じて、不特定多数のユーザーに無差別に感染を広げる手法が主流でした。
- 標的型: 現在は、特定の企業や組織の脆弱性を狙い、緻密な計画に基づいて手動で侵入を試みるケースが増えています。
- 二重脅迫（ダブルエクストーション）: 窃取したデータを暗号化するだけでなく、身代金が支払われない場合にそのデータをダークウェブに公開すると脅迫する手法が主流です。2024年上半期の被害事案の約83%がこの手口を用いていました。
- 三重脅迫（トリプルエクストーション）: 二重脅迫に加えて、DDoS攻撃を行うと脅すことで、企業への圧力をさらに高める手法も確認されています。
- ノーウェアランサム: データを暗号化せず、窃取したデータを公開しないことを条件に身代金を要求する新しい手法です。従来のバックアップ対策だけでは防げないため、新たな脅威として警戒されています。
- RaaS（Ransomware as a Service）: ランサムウェアをサービスとして提供するビジネスモデルが普及し、技術力が低い攻撃者でも容易にランサムウェア攻撃を実行できるようになりました。これにより、攻撃者の裾野が広がり、ランサムウェア攻撃の活発化に繋がっています。
新たな攻撃経路・セキュリティホールの悪用
近年、ランサムウェアの侵入経路は多角化しています。特に、テレワークの普及に伴い、VPN機器やリモートデスクトップの脆弱性が狙われるケースが急増しています。
- VPN機器の脆弱性: 2024年上半期のランサムウェア感染経路で最も多いのがVPN機器からの侵入であり、約63%を占めています。VPN機器のファームウェアの未更新や、脆弱性が放置されたままの利用が原因となることが多いです。
- リモートデスクトップ（RDP）: リモートデスクトップ経由の感染も増加傾向にあり、2024年上半期には全体の約36%を占めました。甘いパスワード設定やRDP構成ファイルの悪用、RDP自体の脆弱性が狙われることがあります。
- サプライチェーン攻撃: セキュリティ対策が手薄な中小企業を足がかりに、その取引先である大企業を狙うサプライチェーン攻撃が増加しています。委託先のシステムが感染することで、多くの関連企業に被害が及ぶ可能性があります。
- 生成AIを用いたウイルス作成: 生成AIの進化により、マルウェアやフィッシングメールの作成が容易になり、専門知識を持たない者でもサイバー攻撃に加担できるようになりました。
近年猛威を振るった主なランサムウェア
- LockBit: 世界中で最も多くの被害をもたらしているランサムウェアグループの一つで、RaaSモデルを提供し、Linuxを含むマルチプラットフォームに対応しています。2024年2月には国際的な摘発作戦が行われましたが、活動は再開されています。
- 8Base: 2022年3月頃から活動を開始した新興グループで、特に従業員数200人以下の中小企業を標的にする傾向があります。フィッシングメールを主な侵入手口としています。
- BlackSuit: KADOKAWAグループへの攻撃に関与したロシア系のランサムウェアグループで、大量のデータを窃取し公開を脅迫しました。
- WannaCry: 2017年に世界中で大規模な感染を引き起こしたランサムウェア。Windowsの脆弱性を悪用し、短期間で広範囲に被害を拡大させました。
- Petya/GoldenEye: MBR（マスターブートレコード）を暗号化し、システムの起動を妨げるランサムウェア。特にウクライナで重要インフラに大きな影響を与えました。
- Ryuk: 標的型ランサムウェアの一種で、Windowsのシステム復元オプションを無効化し、バックアップファイルも暗号化の対象とします。
ランサムウェアの感染経路・攻撃プロセス
ランサムウェアの感染経路は多様化しており、攻撃者は様々な手段でシステムへの侵入を試みます。
標的型メール・フィッシング
- 信頼できる組織や個人を装ったフィッシングメールが悪意のある添付ファイルやリンクを含んで送信されます。
- ユーザーが添付ファイルを開いたり、偽のウェブサイトに誘導されて情報を入力したりすることで感染が広がります。
- 最近では、請求書や荷物の配達通知、ショッピングの注文確認などを装うなど、手口が巧妙化しています。
VPN/RDPなどリモート接続
- テレワークの普及に伴い、VPN（Virtual Private Network）機器やRDP（リモートデスクトッププロトコル）の脆弱性が悪用されるケースが増加しています。
- VPN機器のファームウェアの未更新や、リモートデスクトップのパスワードの脆弱性（推測されやすいパスワード、使い回し）が狙われます。
- 一度侵入されると、ネットワーク経由で他のシステムへの感染が拡大する可能性があります。
脆弱性の悪用（ソフトウェア・ネットワーク機器等）
- OSやアプリケーション、ネットワーク機器（ルーター、ファイアウォールなど）のセキュリティホールや既知の脆弱性が悪用されます。
- パッチが適用されていない古いシステムは、攻撃者にとって格好の標的となります。
- ドライブバイダウンロードなどの手法により、悪意のあるウェブサイトを閲覧するだけで自動的にランサムウェアがダウンロード・実行されるリスクもあります。
USB・外部デバイス経由
- USBメモリや外付けHDDなどの外部記録メディアを介してランサムウェアが感染するケースがあります。
- 感染したデバイスをPCに接続することで、マルウェアが自動的にシステムに侵入することが報告されています。
- 不審なUSBメモリを物理的に組織内に持ち込ませる手口も存在します。
攻撃が成立するまでの流れ
ランサムウェア攻撃は一般的に以下の4つの段階を経て実行されます。
- 初期侵入: フィッシングメールやVPN機器の脆弱性などを悪用し、組織のネットワークへの侵入を試みます。
- 内部活動: ネットワークへの侵入に成功すると、攻撃者は遠隔操作ツールなどを用いて、管理者権限の獲得や内部ネットワークの探索を行います。この際、検知を逃れるために正規のツールやシステムが悪用されることがあります。
- ファイル持ち出し: 内部活動で十分な権限を獲得した後、攻撃者は身代金要求の材料となる機密情報を窃取し、外部のサーバーへアップロードします（二重脅迫の準備）。
- ランサムウェア実行: 窃取したファイルのアップロードが完了すると、最後にランサムウェアを送り込んで実行します。事前にセキュリティ対策ソフトを停止させたり、グループポリシー機能を利用してネットワーク全体にランサムウェアを展開したりすることもあります。
技術的対策：システム・ツールによる防御
ランサムウェアの脅威から組織を守るためには、多層的な技術的対策を講じることが不可欠です。
OS/ソフトウェアの最新化
- OSや使用するソフトウェアは常に最新バージョンにアップデートし、既知の脆弱性を解消することが重要です。
- 自動更新機能を有効にし、セキュリティパッチがリリースされ次第、速やかに適用することを徹底しましょう。
- サポートが終了したOSやソフトウェアは、新たな脆弱性が発見されても修正されないため、速やかに新しいものに移行する必要があります。
セキュリティ対策製品の導入（ウイルス対策・EDR・ファイアウォール等）
- ウイルス対策ソフト: 不審なファイルやマルウェアを検出・除去するために、信頼できるウイルス対策ソフトを導入し、定義ファイルを常に最新の状態に保つことが重要です。従来の定義ファイルに頼らない、AI型の次世代アンチウイルスソフト（NGAV）も有効です。
- EDR（Endpoint Detection and Response）: エンドポイント（PCやサーバーなど）での不審な挙動を常時監視し、脅威を検知・対応するEDRソリューションの導入が推奨されます。これにより、万が一ランサムウェアが侵入しても、早期に検知し被害の拡大を食い止めることができます。
- ファイアウォール/IPS/IDS: 不正な通信を遮断するために、ファイアウォールを適切に設定し、IPS（不正侵入防止システム）やIDS（不正侵入検知システム）を導入してネットワークへの侵入を未然に防ぎましょう。
- メールセキュリティツール: 不審メールのフィルタリングや添付ファイルの無害化機能を持つメールセキュリティツールの導入も効果的です。SPF、DKIM、DMARCといったメール認証技術を導入することで、メールのなりすましや不正な送信を防止できます。
アカウント・認証の強化（パスワード管理、多要素認証等）
- 強固なパスワード設定: 推測されにくい複雑なパスワードを設定し、定期的に変更することを義務付けましょう。パスワードの使い回しは厳禁です。
- 多要素認証（MFA）: IDとパスワードだけでなく、スマートフォンに送られるワンタイムパスワードや指紋認証、顔認証などを組み合わせた多要素認証を導入することで、不正アクセスのリスクを大幅に低減できます。特にVPNやリモートデスクトップへのアクセスに多要素認証を適用することが重要です。
- 最小権限の原則: 各ユーザーアカウントに必要最小限のアクセス権限のみを付与し、管理者権限の安易な付与は避けましょう。
ネットワーク分離と最小権限化
- 重要なシステムやデータが保存されているネットワークを、一般の業務ネットワークから分離することで、ランサムウェア感染時の被害拡大を防ぎます。
- サーバーや機密データへのアクセスは、職務上必要な最小限のユーザーのみに限定し、アクセス可能な範囲を厳密に管理しましょう。
定期的なバックアップとその保全方法
- ランサムウェア感染時にデータを復旧するための最も重要な対策の一つが、データの定期的なバックアップです。
- US-CERTが提唱する「3-2-1ルール」を参考に、以下の点を考慮してバックアップを行いましょう。
- 3つのコピー: 常に3つのデータのコピーを作成する（1つをメイン、2つをバックアップ）。
- 2種類の異なるメディア: 2つの異なる種類のメディアに保存する。
- 1つはオフサイト: 1つは物理的にネットワークから切り離されたオフサイト（別の場所）に保管する。これにより、ランサムウェアがオンライン上のバックアップを暗号化する事態を防げます。
- バックアップデータの復旧手順を定期的に確認し、シミュレーションを実施しておくことも重要です。
監視・異常検知の強化
- ネットワーク内の不審な挙動を常時監視し、異常を早期に検知する体制を強化しましょう。
- EDRだけでなく、MDR（Managed Detection and Response）のような専門家による24時間365日の監視・脅威検知・インシデント対応サービスを活用することも有効です。
- ネットワーク機器のログなどの各種ログを定期的に取得し、ランサムウェアによって暗号化されるリスクを避けるためにオフラインで保存しましょう。
ランサムウェア対策ツール・ソリューション例
- ファイル暗号化ソフト（IRM）: 機密ファイルを暗号化し、閲覧・印刷・スクリーンショット・メール送信などの権限を制御することで、万が一情報が窃取されても不正利用を防げます。
- MDM（Mobile Device Management）: スマートフォンなどのモバイルデバイスを一元管理し、リモートロック、リモートワイプ、パスワード強制設定、Webフィルタリング、OSアップデート管理、ウイルス対策などの機能を通じてランサムウェア対策を強化します。
- フォレンジック調査サービス: ランサムウェアに感染した場合、感染経路や被害状況、情報漏洩の有無などを迅速かつ正確に調査するために、専門のフォレンジック調査会社に相談することが有効です。
組織的・運用上の対策
技術的な対策だけでなく、組織全体で取り組むべき運用上の対策もランサムウェア防御には不可欠です。
社員教育・トレーニング
- ランサムウェアの脅威や最新の手口、感染経路について、全社員を対象とした定期的なセキュリティ教育・トレーニングを実施しましょう。
- 不審なメールの開封や不審なウェブサイトへのアクセスを避けるための注意喚起、疑わしい場合は情報システム部門に報告するフローを徹底します。
- 標的型メール訓練を実施し、実践的な対応能力を高めることも有効です。
セキュリティポリシー・運用ルールの明確化
- 組織のセキュリティポリシーを明確に策定し、全社員に周知徹底しましょう。
- データの取り扱い、パスワード管理、外部デバイスの使用、ソフトウェアのダウンロードなどに関する具体的な運用ルールを定め、厳守させることが重要です。
- 特にリモートワーク環境におけるセキュリティ対策について、明確なガイドラインを設ける必要があります。
インシデント発生時の対応フロー整備
- ランサムウェア感染が疑われる、または確認された場合の初動対応フローを事前に整備し、関係者間で共有しておきましょう。
- 感染時の連絡体制、被害拡大防止のためのネットワーク隔離手順、復旧手順などを明確にしておくことで、迅速かつ適切な対応が可能になります。
- 警察や個人情報保護委員会、専門家への通報・相談のタイミングと方法も定めておくべきです。
SOC・CSIRT等の体制作り
- 組織内のセキュリティ運用体制として、SOC（Security Operation Center）やCSIRT（Computer Security Incident Response Team）の設置を検討しましょう。
- SOCはセキュリティインシデントの監視・分析・対応を専門的に行い、CSIRTはインシデント発生時の技術的な対応と関係部門との連携を担います。
- 専門人材の確保が難しい場合は、外部の専門サービス（MDRなど）を活用し、SOCやCSIRTの機能をアウトソーシングすることも有効です。
ログ管理・情報共有
- システムやネットワークのログを適切に管理・保存し、インシデント発生時の原因究明や被害範囲の特定に役立てましょう。ログはオフラインでの保存も検討し、暗号化されるリスクに備えます。
- セキュリティに関する最新の脅威情報や被害事例を組織内で共有し、社員全体のセキュリティ意識向上に努めましょう。
- 外部のセキュリティ機関や業界団体との情報共有も積極的に行い、最新の攻撃傾向や対策に関する知見を取り入れることが重要です。
感染時の対応と復旧プロセス
万が一ランサムウェアに感染してしまった場合、被害を最小限に抑え、迅速に復旧するための冷静な対応が求められます。
感染の発見と初動対応（隔離・遮断等）
- 感染の検知: ランサムウェア感染は、ファイルの暗号化、身代金要求のメッセージ表示、システム動作の異常、不審な通信の発生などによって検知されます。
- ネットワークからの隔離: 感染が判明したら、直ちに感染したPCやサーバーをネットワークから物理的または論理的に隔離（LANケーブルを抜く、Wi-Fiをオフにするなど）し、被害の拡大を防ぎます。
- 電源を切らない: 感染原因の調査に必要なログ情報が消失する可能性があるため、感染したPCやネットワーク機器の電源は切らず、スリープモードなどで維持しましょう。
被害状況の把握・通報（警察・専門家相談等）
- 被害状況の特定: どのファイルが暗号化されたのか、どのような情報が窃取された可能性があるのかなど、被害の範囲と内容を詳細に把握します。
- 警察への通報・相談: ランサムウェアの被害に遭った場合は、速やかに最寄りの警察署やサイバー犯罪相談窓口に通報・相談しましょう。捜査協力により、犯人の特定や被害回復に繋がる可能性があります。
- 個人情報保護委員会への報告: 個人情報が漏洩した、または漏洩の恐れがある場合は、個人情報保護法に基づき、個人情報保護委員会への報告と本人への通知が義務付けられています。迅速な報告が求められるため、事前の準備が重要です。
- 専門家への相談: サイバーセキュリティの専門家（フォレンジック調査会社など）に相談し、感染経路の特定、被害範囲の調査、データ復旧、今後の対策についてアドバイスを受けましょう。
身代金要求への対応指針
- 身代金は支払わない: 身代金を支払っても、データが確実に復旧される保証はありません。また、支払いが新たなサイバー攻撃の資金源となり、将来的な攻撃を助長する可能性があります。さらに、一度支払ってしまうと、「支払いやすい組織」と認識され、再攻撃の標的となるリスクが高まります。
- 冷静な判断: 金銭を要求されても、組織だけで判断せず、警察や専門家の意見を仰ぎ、適切な対応を取りましょう。
データの復旧（復号ツール、バックアップ活用等）
- 復号ツールの活用: 「No More Ransom」プロジェクトなどのウェブサイトで、一部のランサムウェアに対応する復号ツールが公開されている場合があります。感染したランサムウェアの種類を特定し、利用可能なツールがないか確認してみましょう。
- バックアップからの復旧: 事前に取得しておいたバックアップデータが、被害からの復旧に最も有効な手段です。ネットワークから切り離されたオフラインのバックアップを活用し、システムとデータの復元を行いましょう。
被害拡大防止と再発防止
- 侵入経路の特定と脆弱性の解消: 感染原因となったVPN機器やリモートデスクトップの脆弱性、メールの扱い方などを特定し、速やかに修正・対策を講じます。
- セキュリティ対策の強化: 再発防止のため、OSやソフトウェアのアップデート、セキュリティ対策ソフトの導入・更新、多要素認証の導入、ネットワーク分離、社員教育など、包括的なセキュリティ対策を再評価し、強化します。
- 定期的な監査と見直し: セキュリティ対策は一度行えば終わりではありません。定期的にセキュリティ体制を監査し、最新の脅威動向に合わせて見直しを行うことが重要です。
まとめ・今後の対策指針
記事全体の振り返りと要点
本記事では、ランサムウェアの概要から2024年の最新攻撃動向、感染経路、そして具体的な技術的・組織的対策、感染時の対応までを網羅的に解説しました。ランサムウェア攻撃は年々巧妙化・多様化しており、特に二重脅迫やノーウェアランサムといった新しい手口、VPNやリモートデスクトップを悪用した侵入が増加しています。
重要な要点としては、以下の点が挙げられます。
- ランサムウェア被害は増加の一途を辿っており、規模や業種を問わず全ての組織が標的となり得る。
- 攻撃手法は従来のばらまき型から、特定の組織を狙う標的型、二重・三重脅迫、ノーウェアランサムへと進化している。
- 感染経路はメールだけでなく、VPN機器やリモートデスクトップの脆弱性が主な侵入口となっている。
- 対策は、OS/ソフトウェアの最新化、セキュリティ製品の導入、アカウント・認証の強化、ネットワーク分離、バックアップの保全といった「技術的対策」と、社員教育、セキュリティポリシーの明確化、インシデント対応フロー整備といった「組織的・運用上の対策」の両面から行う必要がある。
- 感染時は迅速な隔離・通報・専門家への相談が重要であり、身代金は支払うべきではない。
2024年以降を見据えた継続的対策の重要性
サイバー攻撃の手法は常に進化しており、ランサムウェアの脅威も例外ではありません。一度対策を講じたら終わりではなく、継続的にセキュリティ体制を見直し、最新の脅威に対応していくことが不可欠です。警察庁の「能動的サイバー防御」の導入検討など、国家レベルでの対策も進められていますが、各組織が自らの防御力を高める努力が最も重要です。
役立つ参考リンク・機関の紹介
- 警察庁: サイバー空間をめぐる脅威の情勢に関するレポートや、ランサムウェア被害に関する情報を提供しています。
- IPA（情報処理推進機構）: 「情報セキュリティ10大脅威」など、情報セキュリティに関する最新情報や具体的な対策情報を提供しています。
- No More Ransomプロジェクト: ランサムウェアの復号ツールを公開しており、被害回復に役立つ情報を提供しています。
- 日本サイバー犯罪対策センター（JC3）: 産学官の連携により、サイバー犯罪の実態解明と脅威軽減に取り組んでいます。
- セキュリティ専門業者（フォレンジック調査会社など）: ランサムウェア感染時の調査や復旧、セキュリティ対策のコンサルティングなど、専門的な支援を受けることができます。
