「会社のパソコンにはウイルス対策ソフトが入っているから、ランサムウェア対策もできているはず」「バックアップはNASに保存しているので、万一ファイルが暗号化されても戻せる」。このように考えていても、実際には設定や運用を確認できていない会社があります。
- VPN機器やサーバーが更新されているか
- 管理者アカウントに多要素認証が設定されているか
- バックアップが社内ネットワークから切り離されているか
- バックアップから実際に復元できるか
- 感染が疑われたとき、誰へ連絡するか
- どの業務から復旧するか
- 外部IT業者の契約に緊急対応が含まれているか
ランサムウェア対策は、ウイルス対策ソフトを一つ導入して終わるものではありません。侵入を防ぐ対策、侵入後の拡大を抑える対策、暗号化されても業務を戻す対策、発生時の連絡と判断を組み合わせる必要があります。
この記事では、専任のIT担当者がいない中小企業でも進められるように、感染前、発見直後、復旧、再発防止の順番で整理します。
この記事の結論
| 最初に確認する6項目 1. VPN、ルーター、NAS、サーバー、パソコンを一覧にする 2. インターネットから接続できる機器を優先して更新する 3. 管理者とリモートアクセスに多要素認証を設定する 4. バックアップの一つをネットワークから切り離す 5. バックアップから実際に復元できるか試す 6. 感染時の連絡先と、最初に復旧する業務を決める |
発見直後は、感染が疑われる端末をネットワークから隔離し、表示された画面と実施した操作を記録します。一方で、原因調査に必要な情報を失う可能性があるため、自己判断で初期化、ファイル削除、再起動、電源断を行わないことが重要です。
経営者は、業務停止、外部専門会社への依頼、取引先への連絡、復旧順序などを判断します。総務・兼任IT担当者だけに対応を任せず、経営者、外部IT業者、必要に応じてセキュリティ専門会社、警察、公的相談窓口と連携してください。
ランサムウェアとは
ランサムウェアとは、パソコンやサーバーなどのデータを暗号化し、使用できない状態にしたうえで、復号と引き換えに金銭や暗号資産を要求する不正プログラムです。「Ransom」は身代金、「Software」はソフトウェアを意味します。
暗号化を行わず、データを盗み出したうえで対価を要求する「ノーウェアランサム」もあります。
暗号化だけでは終わらない
- ファイルが暗号化され、開けなくなる
- 基幹システムや会計システムが停止する
- 顧客情報、図面、契約書などを盗まれる
- 情報を公開すると脅迫される
- 取引先への納品や連絡が止まる
- 原因調査や復旧に外部費用が発生する
- 顧客や取引先への説明が必要になる
| 現場で起こりやすい勘違い 社長「不審なメールを開かなければ、感染しないんじゃないのか？」 担当者「メールだけでなく、古いVPN機器や漏えいしたパスワードから侵入される場合もあります。」 社長「社員教育だけでなく、機器とアカウントの点検も必要なんだな。」 |
中小企業のランサムウェア対策が必要な理由
会社の規模に関係なく業務が止まる
中小企業では、販売管理、会計、受発注、顧客情報、図面などが、一つのサーバーやNASへ集中していることがあります。この保存先が使えなくなると、複数の業務が同時に止まる可能性があります。
- 誰へ報告するか
- 端末を止めてよいか
- バックアップを接続してよいか
- 外部IT業者の誰へ連絡するか
- 取引先へ何を伝えるか
- 警察や行政機関への相談が必要か
- どのシステムから戻すか
外部IT業者へ任せていても経営判断は残る
原因調査、端末の隔離、ログ解析、システムの修復は外部へ依頼できます。しかし、業務停止、対外連絡、復旧順序、外部調査費用などは会社側で決める必要があります。技術対応と経営判断を分けて考えます。
ランサムウェアはどのように侵入するのか
| 主な侵入経路 | 起こりやすい状態 | 最初に確認すること |
| VPN・リモートアクセス機器 | ファームウェアが古い、MFA未設定 | 製品名、型番、バージョン、保守状況 |
| リモートデスクトップ | インターネットへ直接公開、弱い認証 | 公開状況、アクセス制限、MFA |
| サーバー・NAS | 更新停止、初期設定のまま | OS・ファームウェア、管理者、公開範囲 |
| メール | 添付ファイル、偽サイト、認証情報窃取 | メール対策、報告方法、訓練 |
| 漏えいした認証情報 | パスワードの使い回し、MFA未設定 | パスワード変更、MFA、ログ |
| 外部保守経路 | 契約終了後もアカウントが残る | 委託先アカウントと接続経路 |
| Webサーバー | 脆弱性、更新されていない構成 | 管理者、更新担当、保守契約 |
中小企業が行うランサムウェア対策
手順1．守る対象を一覧にする
目的は、対策対象から漏れている機器、システム、データを見つけることです。
- 業務用パソコン
- サーバー
- NAS
- VPN機器
- ルーター、ファイアウォール
- リモートデスクトップ環境
- Microsoft 365やGoogle Workspace
- 会計・販売・給与などのクラウドサービス
- Webサーバー
- バックアップ機器・外付けHDD
- 外部IT業者が使用する接続アカウント
- 管理者アカウント
| 項目 | 記録例 |
| 管理番号 | VPN-001 |
| 機器・サービス名 | VPN装置 |
| 用途 | 自宅・出張先から社内へ接続 |
| 管理者 | 社内担当者または外部IT業者 |
| インターネット公開 | あり・なし・不明 |
| 現在のバージョン | 管理画面または業者へ確認 |
| 最終更新日 | 確認した日を記録 |
| MFA | 実施済み・未対応・不明 |
| 保守期限 | 契約書で確認 |
| 緊急連絡先 | 会社名、窓口、電話番号 |
完了の目安：社内で利用する端末、サーバー、ネットワーク機器、クラウドサービスの管理者と更新担当を説明できる状態です。
外部IT業者への質問
- 社外から接続できる機器はどれですか
- 現在の製品名とファームウェアのバージョンを教えてください
- 更新は誰が行う契約ですか
- サポートが終了している機器はありますか
- 外部からの接続にMFAを利用していますか
- 管理画面へアクセスできる人は誰ですか
手順2．インターネットから接続できる機器を優先して更新する
攻撃者が社内へ侵入する入口として利用できる脆弱性を減らします。
- VPN機器
- ルーター・ファイアウォール
- インターネットへ公開しているサーバー
- リモートデスクトップ環境
- Webサーバー
- NAS
- パソコンと業務ソフト
完了の目安：製品名とバージョン、サポート終了製品、未適用の重要な更新、更新担当者と作業日を把握し、更新できない機器には代替策を検討していることです。
手順3．パスワードだけに頼らない
VPN、クラウド、サーバー、バックアップ、Webサイト、外部保守用など、重要なアカウントから確認します。
- 管理者アカウントを一覧にする
- 不要なアカウントを停止する
- 共用アカウントを減らす
- 強い管理権限を必要最小限にする
- 利用できるサービスではMFAを設定する
- 退職者・異動者の権限を見直す
- 不審なログインを確認する担当者を決める
完了の目安：重要なアカウントについて利用者、管理者、権限、MFAの状態を説明でき、利用者不明のアカウントが残っていないことです。
手順4．端末の異常を検知できる状態にする
- 全端末に保護機能があるか
- リアルタイム保護が有効か
- 検知情報が更新されているか
- 警告が誰へ届くか
- 警告を誰が判断するか
- 感染端末を隔離できるか
- 保護機能を社員が停止できないか
- 検知履歴を確認できるか
- サーバーや持ち出し端末も対象か
端末数が多い、複数拠点がある、社内で警告を判断できない場合は、管理画面、EDR、監視、初動支援を含むサービスを検討します。EDRは、端末の不審な挙動を検知し、調査や対応を支援する仕組みです。
手順5．バックアップをランサムウェアから守る
外付けHDDを常時接続している場合、端末と一緒に暗号化される可能性があります。社内NASだけの場合も、同じネットワークや管理者アカウントを通じて影響を受けることがあります。
- 重要データの保存場所を決める
- バックアップ対象を一覧にする
- 自動バックアップを用意する
- 過去の複数時点を残す
- 一つをネットワークから切り離す
- 本番環境とバックアップの管理者を分ける
- バックアップ管理者にMFAを設定する
- 削除できる人を制限する
- 復元テストを行う
| 従業員30人の会社の構成例 元データ：社内ファイルサーバー バックアップ1：バックアップ専用NAS バックアップ2：オフラインまたは変更できないクラウドバックアップ |
完了の目安：重要データの保存先、最後に成功したバックアップ、最後に復元した日を確認でき、復元に必要なアカウントと手順を引き継げる状態です。
手順6．最初に復旧する業務を決める
| 業務・システム | 停止時の影響 | 代替手段 | 復旧優先度 |
| 受発注 | 出荷・納品の停止 | 電話・紙・表計算 | 高 |
| 会計 | 請求・支払いの遅延 | 手作業で一時記録 | 高 |
| ファイルサーバー | 図面・契約書を参照できない | 別保管資料を確認 | 高 |
| メール | 顧客・取引先へ連絡できない | 電話・代替連絡先 | 高 |
| 社内ポータル | 社内資料を参照できない | 共有済み資料 | 中 |
| 一般Webサイト | 情報発信が停止 | SNS・電話案内 | 環境による |
経営者が決めること
- 最優先で再開する業務
- 停止を許容できる範囲
- 一時的な代替業務
- 外部復旧費用の承認方法
- 顧客への連絡責任者
- 復旧の安全確認を誰が承認するか
手順7．緊急連絡先と役割を決める
| 社内の基本的な連絡順 発見者 → 総務・兼任IT担当者 → 経営者 → 外部IT業者・専門会社 → 関係部門・社外窓口 |
| 役割 | 主な担当 |
| 発見・第一報 | 端末を利用していた社員 |
| 端末・アカウントの特定 | 総務・兼任IT担当者 |
| 業務停止・復旧順序の判断 | 経営者 |
| 隔離・ログ保全・原因調査 | 外部IT業者・専門会社 |
| 時系列記録 | 総務担当者 |
| 顧客・取引先への連絡 | 営業責任者・経営者 |
| 警察・公的窓口との連携 | 会社が指定した窓口 |
| 保険会社への連絡 | 経理・総務担当者 |
ランサムウェア感染が疑われたときの初動
1．対象端末の利用を停止する
ファイル名や拡張子が変わった、ファイルが開けない、身代金要求が表示された、多数のファイルが短時間で変更された、監視業者から警告を受けた場合は、それ以上の通常操作を止めます。
2．ネットワークから隔離する
LANケーブルを抜く、Wi-Fiを切るなどして隔離します。方法が分からない場合は、それ以上操作せず外部IT業者へ連絡します。
3．自己判断で電源を切らない
電源断、再起動、初期化、ファイル削除、バックアップ接続、上書き復元、ログ削除、攻撃者への連絡は、外部IT業者や専門会社へ相談してから行います。ただし物理的な危険がある場合は安全確保を優先します。
4．画面と発見状況を記録する
発見日時、発見者、対象端末、利用者、表示されたメッセージ、暗号化後の拡張子、脅迫文、直前の操作、開いたメール、発見後の操作、連絡日時、同じ症状、業務影響を記録します。
5．被害を免れたバックアップを保護する
バックアップがまだ暗号化されていない可能性がある場合は、外部IT業者と相談し、上書きや被害拡大を防ぐために分離・退避します。感染端末へ安易に接続しません。
6．経営者と外部IT業者へ第一報を入れる
原因の確定を待たず、分かっている範囲で報告します。不明な項目は「不明」と記載し、確認後に更新します。
| 第一報の記録項目 発見日時／発見者／対象端末・システム／現在起きていること／表示内容／同じ症状がある端末／発見後に行った操作／隔離状況／業務・取引先への影響／外部IT業者への連絡状況／次回報告予定 |
攻撃者へ身代金を支払うべきか
攻撃者の要求に応じても、すべてのファイルを復号する鍵が渡される保証はありません。また、支払いが攻撃活動を助長する可能性があります。担当者が独断で返信や交渉を行わず、経営者、警察、外部専門会社、法務、保険会社へ相談します。
| 判断を一人に任せない 社長「支払えば早く業務を戻せる可能性があるんじゃないか？」 担当者「データが戻る保証はありません。担当者だけで判断せず、警察や専門機関へ相談します。」 社長「復旧、法務、事業継続を含めて判断する必要があるんだな。」 |
調査が終わる前に復旧してよいか
侵入経路を塞がずに戻すと再び侵入される可能性があります。復旧前に、被害範囲、管理者アカウント、VPNなどの侵入経路、不審な設定やアカウント、マルウェア、情報持ち出し、バックアップの安全性、必要な認証変更を確認します。
復旧の基本的な順序
- 侵入経路を調査する
- 原因または考えられる侵入口へ対処する
- 管理者など重要アカウントを保護する
- 復旧用バックアップの安全性を確認する
- 優先業務から別環境または修復済み環境へ戻す
- 動作とデータを確認する
- ネットワークへ段階的に接続する
- 不審な通信や再発がないか監視する
- 残りの業務を順に復旧する
- 対応内容を経営者へ報告する
復号ツールが使える場合もある
一部のランサムウェアには復号ツールが公開されていることがあります。ただし、対応する種類やバージョンが限られ、すべてのファイルを復号できるとは限りません。暗号化されたファイルや脅迫文をオンラインサービスへ安易にアップロードせず、警察や専門会社へ相談しながら確認します。
会社の規模や環境に応じた対策例
パソコン10台前後の小規模事業者
- パソコンと利用者の一覧を作る
- OSとソフトウェアの自動更新を有効にする
- ウイルス対策の稼働状況を確認する
- 重要アカウントへMFAを設定する
- 重要データを決めた保存先へ集約する
- 外付けHDDを交代で利用し、保存後は取り外す
- 緊急連絡先を紙でも保管する
- 復元テストを行う
従業員30人前後でクラウドを利用する会社
- クラウドの管理者を必要最小限にする
- 全利用者のMFA適用状況を確認する
- 退職者アカウントを停止する
- 不審なサインインを確認する
- 外部共有を見直す
- 端末の更新と保護状態を一元確認する
- クラウドデータの復元方法を確認する
- メール、ファイル、受発注の復旧順序を決める
製造業・複数拠点・サーバー利用企業
- 拠点間接続とVPNを点検する
- サーバーと製造設備のネットワークを分ける
- 管理者アカウントを厳格に管理する
- 端末・サーバー・ネットワーク機器のログを保存する
- EDRや監視サービスを検討する
- オフラインまたは変更できないバックアップを用意する
- 図面、受発注、製造、会計の復旧順序を決める
- 取引先への事故連絡手順を整える
- 机上訓練と復元訓練を行う
よくある失敗と勘違い
ウイルス対策ソフトがあれば十分と思う
VPNの脆弱性、漏えいしたパスワード、過剰な権限、バックアップ破壊まで一つの製品ですべて防げるわけではありません。
NASがあるのでバックアップできていると思う
同じネットワークから書き換えられるNASは影響を受ける可能性があります。
クラウドへ同期しているので安心する
暗号化や削除がクラウド側へ反映される場合があります。
感染端末をすぐ初期化する
侵入経路や被害範囲を調べる情報を失う可能性があります。
バックアップをすぐ感染端末へ接続する
バックアップまで暗号化される可能性があります。
原因不明のまま再開する
侵入口や不正な仕組みが残っていると再侵入のおそれがあります。
外部IT業者がすべて対応してくれると思う
通常保守と緊急対応が別契約の場合があります。
外部IT業者へ確認する質問
予防について
- 当社が使用しているVPN、ルーター、NASの製品名とバージョンを教えてください
- インターネットから接続できる機器はどれですか
- サポート終了または更新停止の機器はありますか
- リモート接続にMFAは設定されていますか
- 外部保守用アカウントは何個ありますか
検知について
- 不審な挙動を検知した場合、誰へ通知されますか
- 通知は営業時間外にも確認されますか
- 感染端末を遠隔で隔離できますか
- サーバー、端末、VPNのログは保存されていますか
バックアップについて
- 現在のバックアップ対象は何ですか
- 本番環境と同じ認証情報で削除できますか
- オフラインまたは変更できないバックアップはありますか
- 最後に復元テストを行ったのはいつですか
緊急対応について
- 発生時の連絡先はどこですか
- 夜間・休日にも対応できますか
- 原因調査は現在の契約に含まれますか
- 証拠保全やフォレンジック調査はできますか
- 調査報告書を作成できますか
- 復旧の安全確認は誰が行いますか
よくある質問
小規模な会社でも対策は必要ですか
必要です。業務データ、会計、受発注などが停止すれば事業に影響します。外部接続、MFA、バックアップ、緊急連絡先から確認します。
費用をかけずに始められますか
一部は既存機能と運用整理から始められます。機器一覧、不要アカウント停止、自動更新、MFA、バックアップ取り外し、連絡先整理が候補です。
バックアップがあれば十分ですか
十分とはいえません。情報窃取や侵入経路の残存には、調査、認証変更、安全確認も必要です。
Windows標準のウイルス対策だけでもよいですか
環境と管理体制によります。全端末で動作し、更新され、警告と検出後対応を管理できるかが重要です。
攻撃者へ連絡してもよいですか
担当者の独断では連絡しません。外部専門会社、警察、法務、保険会社などへ相談して決めます。
感染したパソコンの電源は切るべきですか
原則としてネットワークから隔離し、電源操作は専門家へ確認します。ただし発煙などがあれば安全を優先します。
警察へ相談すると公表が必要ですか
警察への相談と会社による公表判断は別です。公表や通知の要否は、被害内容、契約、法令、所管ルールを確認します。
まとめ
中小企業のランサムウェア対策は、ウイルス対策ソフトだけで完結しません。
- VPN、サーバー、アカウントなどの侵入口を減らす
- 侵入されても被害が広がりにくい状態にする
- 安全なバックアップから業務を戻せるようにする
- 発生時の隔離、連絡、調査、復旧の流れを決める
まず総務担当者または兼任IT担当者が、VPN、ルーター、NAS、サーバー、パソコン、クラウドサービスを一覧にします。その後、外部IT業者へ、外部接続機器の更新、管理者とリモート接続のMFA、本番環境から切り離されたバックアップの3点を確認してください。
