中小企業のランサムウェア対策【何から始める？最低限やること順番で解説】
本記事はアフィリエイト広告（A8.net）を含みます。価格・仕様は2026年6月時点の目安です。最新は各公式サイトでご確認ください。
TL;DR
- 「うちは大丈夫」は危険な誤解です。 中小企業を狙う攻撃は増えており、むしろ守りが手薄なところが標的になりやすい状況です。
- ランサムウェアの主な侵入口は、メール（フィッシング）・公開されたRDP・VPN機器の脆弱性・サプライチェーンの4つに集約されます。
- 最初にやることは1つ：攻撃者に書き換えられないバックアップを用意することです。 これだけで、万が一感染しても身代金を払わずに復旧できます。
- 次にやることは、MFA（多要素認証）の導入、パッチの適用です。費用対効果が高い順に並んでいます。
- 身代金を払えば解決すると考えるのは誤りです。復号できる保証はなく、支払い後も脅迫が続くことがあります。
今まさに、ファイルが開けない・身代金の要求画面が出ている状態ですか？ その場合はここから先を読む前に、感染が疑われたときの初動対応へ直接進んでください。予防の話は、落ち着いてからで構いません。
「うちみたいな小さい会社も狙われますか？」
結論からいうと、狙われます。
大企業のほうが身代金の金額が大きい分、攻撃者には魅力的です。一方で、セキュリティ担当者がおらず、バックアップもないような中小企業は「復旧できないから払わざるを得ない」という状況に追い込みやすい標的です。
2023年に名古屋港が受けた攻撃では、ターミナルシステムが数日にわたって停止し、物流に大きな影響が出ました。2022年には大阪府立病院が感染し、電子カルテが使えなくなって診療を制限せざるを得ない状況が続きました。いずれも「対策が後回しになっていた」ことが背景にあります。
規模は関係なく、穴のある組織が狙われます。
ランサムウェアとは何か
ランサムウェアとは、感染した端末やサーバーのファイルを暗号化して使えなくし、元に戻すための「身代金」を要求するウイルスのことです。「Ransom（身代金）」と「Software（ソフト）」を組み合わせた名前です。
感染するとファイルが開けなくなり、画面に「◯◯ビットコインを支払え」という要求が表示されます。バックアップを取っていなければ、身代金を払うか、データを諦めるかの二択に追い込まれます。
どこから入られるか：感染経路4つ
対策の優先順位を決める前に、どこから侵入されるかを押さえます。攻撃者は高度な手口よりも、放置された穴を優先して使います。
メール（フィッシング）
請求書や配送通知を装ったメールの添付ファイルを開いた時点で、感染が始まります。最も一般的な経路です。最近は日本語の精度も上がっており、見た目だけでの判別が難しくなっています。
公開されたRDP
RDP（リモートデスクトップ）とは、社外から会社のPCを遠隔操作するための機能です。インターネットに直接公開されたRDPは、攻撃者が常時スキャンしている入口になります。弱いパスワードへの総当たり攻撃で侵入され、社内全体に広がります。コロナ禍のリモートワーク対応で設置したまま放置されているケースが多くあります。
VPN機器の脆弱性
VPN（Virtual Private Network）とは、社外から社内ネットワークに安全につなぐための機器・サービスです。このVPN機器やファイアウォールに既知の脆弱性（セキュリティ上の欠陥）があり、修正パッチ（更新プログラム）を当てていない場合、そこを突かれます。パッチが公開されてから攻撃が来るまでの時間が非常に短いことが特徴です。
サプライチェーン
取引先や、利用している外部サービスを経由した侵入です。自社の守りが堅くても、保守ベンダーや委託先が侵害されると、その接続経路から被害が波及することがあります。
多層防御の考え方
「多層防御」とは、1つの対策を突破されても次で止める、何重もの壁を作る設計のことです。1枚の壁だけでは必ず穴が残るため、段階ごとに別の手段を重ねます。
| 段階 | やること | 具体例 |
|---|---|---|
| 入口 | 侵入そのものを減らす | MFA、メールフィルタ、RDPを公開しない、パッチ適用 |
| 内部 | 侵入後の拡散を抑える | 最小権限、ネットワーク分離 |
| 出口 | データ持ち出しを抑制する | 不要な外部通信の遮断 |
| 復旧 | 暗号化されても戻せる体制 | オフライン／イミュータブルバックアップ |
入口だけを厚くしても、突破された後の被害は止まりません。「復旧」まで含めて初めて「多層」になります。
最重要：復旧できる体制（バックアップ）
侵入を完全に防ぐことはできません。だからこそ、最後に残るのは「戻せるかどうか」です。攻撃者に書き換えられないバックアップさえあれば、感染しても身代金を払わずに事業を再開できます。
ここで重要なのが、ランサムウェアはバックアップも狙うという点です。常時ネットワークにつながったバックアップは、本体と一緒に暗号化・削除されます。
そのため、次の2種類のバックアップが最後の砦になります。
- オフラインバックアップ：ネットワークから物理的・論理的に切り離して保管する方法です。攻撃者がネットワーク経由でアクセスできない場所に1世代を確保します。具体的には、バックアップ後にUSB外付けディスクを抜いておく、テープに書き出すなどの方法があります。
- イミュータブルバックアップ：イミュータブルとは「変更不可」という意味で、一定期間、上書きも削除もできない状態でデータを固定する仕組みです。管理者権限を奪われても改ざんできないことが要点です。クラウドストレージやNASのイミュータブル機能として提供されているものがあります。
実務では「3-2-1ルール」を土台にします。データのコピーを3つ、2種類の媒体に、1つは別の場所（オフサイト）に置く考え方です。
ローカルのバックアップ先としては小型NAS（例：Synology DS225+）が候補になります。加えて、オフサイトの1コピーをクラウドや外部のVPS上に確保しておくと、事務所が物理的に被災した場合や、ローカルNASごと暗号化された場合でも復旧の経路が残ります。オフサイト先としてVPS（例：ConoHa VPS）にバックアップ領域を持つ構成は、月額コストで「別の場所のコピー」を維持できる現実的な選択肢です。
バックアップは「取っている」だけでは完成しません。実際に復元できるかを定期的に試すことまでが体制です。 試していないバックアップは、いざというときに使えないことがあります。
MFA（多要素認証）で侵入を防ぐ
MFA（Multi-Factor Authentication：多要素認証）とは、パスワードに加えてもう1つの確認手段を組み合わせる認証方法です。スマホの認証アプリに表示される6桁の数字を入力する、物理的な鍵を挿すといった方法があります。
パスワードだけの認証は、漏洩・使い回し・総当たりに弱く、侵入の主要因です。MFAを加えるだけで、パスワードが漏れても侵入を大きく防げます。
優先して有効化すべき対象は以下です。
- VPN・リモートアクセス
- クラウドサービスの管理者アカウント
- メール（特に管理者・経理）
MFAの中でも、SMSやアプリのコードはフィッシングで中継される可能性があります。より堅いのはフィッシング耐性のある物理セキュリティキー（FIDO2）です。重要なアカウントには物理キーを優先して割り当てる構成を推奨します。
資産管理とパッチ適用
守るべき対象を把握していなければ、穴も塞げません。
- どのサーバー・端末・ネットワーク機器が、どのOSのどのバージョンで動いているかを一覧化します。
- 公開されている機器（VPN、ファイアウォール、RDP）を洗い出し、本当に公開が必要かを見直します。
- 重要な脆弱性のパッチは優先度をつけて速やかに適用します。特に境界（外部に公開している）機器を最優先にします。
管理対象から漏れた「誰も把握していない機器」が、最初に突かれます。資産の棚卸しは地味ですが、他のすべての対策の前提になります。
最小権限とネットワーク分離
侵入された後の被害を、内部で食い止める対策です。
- 最小権限：各ユーザー・各サービスに、業務に必要な権限だけを与えます。管理者権限を常用せず、必要なときだけ昇格します。1つのアカウントが奪われても、できることが限られていれば被害は局所化します。
- ネットワーク分離：業務系・基幹系・来客用などをネットワークで分けます。1つのセグメントが侵害されても、他への横移動を遮断できます。
ランサムウェアの被害が全社に広がるのは、フラットなネットワークと過剰な権限が背景にあることがほとんどです。
感染が疑われたときの初動対応
最初の数分の判断が、被害の規模を左右します。この5つを順番に。 まだ何も触っていないなら、まず1から。
- 隔離する：感染が疑われる端末をネットワークから切り離します。LANケーブルを抜く、Wi-Fiを切るなど、拡散を止めることが最優先です。他の端末やファイルサーバーも、感染源と同じネットワークにあるなら一旦切り離します。
- 電源をすぐに落とさない：安易なシャットダウンは、調査に必要な情報（メモリ上のログ等）を失うことがあります。社内手順や専門家の指示に従います。
- 画面を記録してから、何も操作しない：身代金要求の画面が出ている場合、まずスマホで写真を撮るか印刷します。表示された連絡先・要求額・期限をこの時点で残しておきます。攻撃者への連絡や支払いは、この段階では判断しません。
- 通報・相談する：状況に応じて、警察やセキュリティ専門機関、契約しているベンダーへ連絡します。IPAサイバーセキュリティ相談窓口（情報処理推進機構）のような公的相談先も利用できます。個人情報が含まれる可能性がある場合は、対応の初期段階で顧問弁護士や専門家に法的な報告義務の有無を確認しておくと、後の対応が遅れません。
- 記録する：検知した時刻・表示された画面・影響範囲を記録します。後の調査・報告に使います。
- 復旧へ移る：影響範囲を確認したうえで、守られたバックアップから復元します。
初動を即断できるよう、連絡先と手順を紙でも残しておくことを推奨します。社内システムが暗号化された状況では、デジタルの手順書が読めないことがあります。
一人で抱え込む場面ではありません。判断に迷ったら、まず契約しているベンダーやサーバー会社のサポート窓口に連絡してください。サーバー構築代行の相場と依頼前に確認すべき5点は平常時の依頼先探しの参考になりますが、緊急時はまず今契約している先へ連絡するのが最短です。
やってはいけないこと
身代金を払えば解決する、という考え
身代金を払っても復号鍵が渡される保証はありません。仮に復号できても、盗まれたデータを公開すると脅す「二重恐喝」の対象になり続けます。支払いは攻撃者の活動資金になり、再び狙われる要因にもなります。払わずに復旧できる体制を整えることが正攻法です。
ネットワークにつながったままのバックアップを「バックアップ」と思う
常時ネットワークに接続されたバックアップは、本体と一緒に暗号化・削除される対象です。最低1世代はオフラインまたはイミュータブルで守ります。
パッチ適用を「業務優先」で先送りにする
境界機器の既知の脆弱性は、パッチが公開されてから間もなく攻撃が始まります。後回しの常態化が、最も多い侵入経路になります。
やるべきことチェックリスト
| 区分 | やること | 優先度 |
|---|---|---|
| 復旧 | オフライン／イミュータブルなバックアップを1世代確保 | 最優先 |
| 復旧 | バックアップからの復元を定期的にテスト | 最優先 |
| 復旧 | オフサイトに1コピー（クラウド／VPS） | 高 |
| 入口 | 重要アカウントにMFA（物理キー優先） | 高 |
| 入口 | 公開RDPを廃止／VPN経由に限定 | 高 |
| 入口 | 境界機器のパッチを最優先で適用 | 高 |
| 基盤 | 資産（機器・OS・バージョン）の棚卸し | 高 |
| 内部 | 管理者権限を常用しない（最小権限） | 中 |
| 内部 | 業務系と基幹系のネットワーク分離 | 中 |
| 初動 | 隔離・通報・記録の手順を紙で整備 | 中 |
対策の優先順位
すべてを同時にはできません。中小企業がリソースの限られた中で着手するなら、次の順番を推奨します。
- 復旧できる体制（バックアップ）：最後の砦を最初に作ります。オフライン／イミュータブルの1世代確保と、復元テストまでをここに含めます。
- MFA：侵入そのものを減らす費用対効果が最も高い対策です。重要アカウントから物理キーを割り当てます。
- 資産管理とパッチ：守る対象を把握し、公開機器と境界機器の穴を塞ぎます。
- 最小権限・ネットワーク分離：侵入後の被害範囲を小さくします。
- 初動手順の整備：起きてから慌てないための準備です。
上から順に1つ完了させてから次へ進めば、限られたリソースでも被害の大きい穴から順に埋められます。
まとめ
| ポイント | 要点 |
|---|---|
| 感染経路 | メール・公開RDP・VPN脆弱性・サプライチェーンに集約される |
| 多層防御 | 入口・内部・出口・復旧の4段で重ねる |
| 最重要 | 復旧できる体制＝オフライン／イミュータブルバックアップ |
| 認証 | MFA（特にフィッシング耐性のある物理キー）で侵入を防ぐ |
| 内部対策 | 最小権限とネットワーク分離で被害範囲を局所化 |
| 初動 | 隔離・通報・記録を即断できるよう紙で準備 |
| 誤解 | 身代金を払えば解決するという考えは誤り |
ランサムウェア対策は、高価な製品を一式そろえることではありません。攻撃を防ぎきれない前提に立ち、「戻せる体制」を最初に作る。そのうえでMFAとパッチで入口を絞る。この順番を守るだけで、中小企業が現実的にできる範囲で被害の大きい事故を回避できます。
関連サービス
オフサイトの1コピーを置く先として、外部のVPSにバックアップ領域を確保する構成は、月額コストで「別の場所のコピー」を維持できる選択肢です。
ローカルのバックアップ先としては、小型NASが候補になります。