ランサムウェアとは、重要なデータを暗号化したり、パソコンをロックしたりして使用不能にし、解除の条件として身代金を要求するマルウェア（悪意のあるソフトウェアやコードの総称）です。

以前までは「メール」「Webサイト」経由の感染がほとんどでしたが、リモートワークの普及に伴い、最近では「VPN機器」や「リモートデスクトップ」経由の感染が急増しています。

さらに、近年のランサムウェアは感染経路だけでなく、攻撃手法も多様化しています。

たとえば、「暗号化を解除してほしければ身代金を払え」と1回脅迫するだけでは終わらず、「身代金の支払いに応じなければ、盗んだデータを公開する」とさらに脅迫を行う二重恐喝（ダブルエクストーション）の手口が頻繁に見られるようになりました。

こうしたランサムウェアに感染してしまうと、企業・組織は業務が継続できなくなるだけでなく、重要な情報が流出する危険性があります。

そのため、OS・ソフトウェアの定期的なアップデートやアンチウイルスの導入、ユーザー権限の厳密化といった対策を徹底するようにしましょう。

この記事では、ランサムウェア特徴や被害防止策、感染時の対処法などをわかりやすく解説します。

ランサムウェア攻撃への対策を知りたい方は、「ランサムウェア被害にあわないための対策」より、ぜひご覧ください。

▼この記事を要約すると

●ランサムウェアとは、重要なデータを暗号化したり、パソコンをロックしたりして使用不能にし、解除の条件として身代金を要求するマルウェア

●代表的な感染経路としては、「Webサイト」「メール・添付ファイル」「VPN機器」「リモートデスクトップ」「ファイルダウンロード」「USBメモリなど外付けHDD」などがある

●ランサムウェアに感染した場合、「システム上の被害」「業務上の被害」「金銭的被害」「情報流出による社会的信用の失墜」といった被害が想定される

●ランサムウェアの被害に遭わないためには、「従業員への教育」「ユーザー権限の厳密化・設定」「セキュリティパッチの適用」「OSやWebブラウザを最新のバージョンに保つ」「メールスキャンによるウイルス検知」「フリーWiFi時のVPN使用」「強力なアンチウイルスソフトの導入」といった対策を講じる必要がある

●感染した場合の対処法としては、速やかにネットワークから端末を隔離し、上長や担当者へ相談した後、マルウェアの駆除や感染経路や原因、被害範囲などの調査を行う

ランサムウェアとは

ランサムウェアとは、重要なデータを暗号化したり、パソコンをロックしたりして使用不能にし、解除の条件として身代金を要求するマルウェア（悪意のあるソフトウェアやコードの総称）です。

「ランサム（Ransom＝身代金）」と「ウェア（Software）」を繋げた造語であり、ソフトウェアを悪用して身代金を要求するという特徴から名づけられました。

以前までのランサムウェアは、不特定多数の組織・企業にフィッシングメールを送り、ランサムウェアに感染した企業に対して「身代金」を要求する「ばらまき型」が一般的でした。

しかし近年では、あらかじめ支払い能力の高い特定の組織・企業にねらいを定め、攻撃者がVPN機器の脆弱性（セキュリティ上の欠陥）をついて内部ネットワークへ侵入して感染を広げる「標的型」が主流になっています。

▼標的型・ばらまき型ランサムウェアの違い

	ばらまき型ランサムウェア	標的型ランサムウェア
身代金額	標準的な価格（数万～数十万円）	高額（数千万～数十億円）
人質対象	ファイルやデータの暗号化	データの暗号化・流出・売買
ターゲット	不特定多数	特定の企業・組織

さらに近年では、攻撃手法も変化しています。

従来のランサムウェアは、「暗号化を解除してほしければ身代金を払え」と1回脅迫するだけでした。しかし近年のランサムウェアは「身代金の支払いに応じなければ、盗んだデータを公開する」とさらに脅迫を行います。

これは「二重恐喝（ダブルエクストーション）」と呼ばれる手法です。

それだけではなく、DDoS攻撃や被害組織の顧客・利害関係者を執拗に攻撃する多重脅迫の手法が使われるケースも増えています。

さらに2023年には「ノーウェアランサム」という従来の「データを暗号化し、復旧を対価に身代金を要求する」という工程を省き、最初から盗んだデータのばらまきを引き換えに、金銭を要求するという新たな攻撃手法も登場しています。

▼従来ランサムウェア攻撃と、ノーウェアランサムの手口の違い

出典：警察庁｜令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について（令和5年9月21日）

通常のランサムウェア攻撃と比べデータを暗号化する手順がなく、より「簡易的」かつ「効率的」に攻撃を仕掛けられる特徴から、今後国内でも普及することが懸念されます。

ランサムウェアとウイルスの違い

ランサムウェアもウイルスもマルウェアの一種ですが、それぞれ目的が異なります。

ウイルスはコンピュータの動作方法を不正に変更するためのコードまたはプログラムです。自己増殖機能を持っていることから、感染が拡大するという特徴があります。また、主な目的はシステムの破壊です。

それに対してランサムウェアは、データを暗号化したり、端末をロックしたりして身代金を要求するマルウェアです。ウイルスとは異なり、ランサムウェアの場合は金銭を得ることを目的としています。

ランサムウェアに感染したら、どんな被害がある？

ランサムウェアに感染した場合、以下のような被害が想定されます。

●業務が停止する
●情報が窃取される・漏洩する
●社会的信用が低下する
●金銭的な損失が生じる

業務が停止する

ランサムウェアに感染すると、重要なデータやファイルが暗号化されてしまうため、業務の継続は難しいでしょう。

また、システムがロックされた場合は、OSが起動できなくなったり、ログイン機能がブロックされたりするため、サービスの停止に追い込まれる恐れもあります。

情報が窃取される・漏洩する

近年では、データの暗号化と情報の暴露という二重恐喝が増えていることから、情報の窃取および漏洩被害が発生することも想定されます。

社会的信用が低下する

ランサムウェアに感染したことで、「サービスの提供ができなくなった」「機密情報が盗まれ、ネット上に公開された」となれば、顧客や取引先からの信用を失ってしまいます。

一度失った信用を取り戻すのは容易ではなく、顧客離れが長期化すれば業績の悪化につながります。

金銭的な損失が生じる

ランサムウェアに感染した場合、感染時の調査やデータ・システムの復旧に多額の費用がかかります。

警察庁が発生した調査結果によれば、ランサムウェア被害にあった企業・団体の約4割近くが、調査・復旧に1000万以上を費やしています。

出典：警察庁｜令和５年におけるサイバー空間をめぐる脅威の情勢等について（令和6年3月14日）

これだけではなく、ランサムウェア感染によって顧客情報が漏洩した場合には、損害賠償を請求される可能性があります。

IPA「情報セキュリティ10大脅威」で、ランサムウェアは4年連続で1位に

独立行政法人情報処理推進機構「IPA」では、前年度、国内で最も社会的に影響を与えたサイバー脅威を選出する「情報セキュリティ10大脅威」を毎年公開しています。

これによると、「ランサムウェアによる被害」は2021年以降、2024年現在まで4年連続で1位を獲得しています。

順位	組織	前年順位
1位	ランサムウェアによる被害	1位
2位	サプライチェーンの弱点を悪用した攻撃	2位
3位	内部不正による情報漏えい	4位
4位	標的型攻撃による機密情報の窃取	3位
5位	修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）	6位
6位	不注意による情報漏えい等の被害	9位
7位	脆弱性対策情報の公開に伴う悪用増加	8位
8位	ビジネスメール詐欺による金銭被害	7位
9位	テレワーク等のニューノーマルな働き方を狙った攻撃	5位
10位	犯罪のビジネス化（アンダーグラウンドサービス）	10位

出典：IPA｜情報セキュリティ10大脅威 2024（2024年1月24日）

数あるサイバー攻撃の中でも「ランサムウェアによる被害」が、とりわけ大きく注目される理由としては、以下のようなことが考えられます。

●情報社会の現在において金銭以上の資源とも言えるデータが凍結されてしまうため
●仮に高額な身代金を支払っても、データが返ってくる保証はないため
●金融機関や医療機関などの大きな組織をターゲットにすることも多く、生活インフラ凍結の引き金になるため
●支払った金銭は裏組織・闇社会の手にわたる可能性が高いため

病院におけるランサムウェア被害も急増

病院をはじめとする医療機関へのサイバー攻撃被害は、増加傾向にあります。

警察庁が2023年度に発表した調査結果によれば、医療・福祉分野におけるランサムウェアの被害件数は、2021年から2022年下期にかけて、肩上がりに上昇しています。

出典：警察庁サイバー警察局「サイバー事案の被害の潜在化防止に向けた検討会報告書 2023」（令和5年3月）

病院などの医療機関がサイバー攻撃を受けた場合

1.患者の個人情報や医療情報が漏洩する
2.システムがダウンし、診療や治療が遅延・中止される
3.金銭的な損失が発生する

といった被害が想定されます。

実際、 2021年10月に徳島県の公立病院がランサムウェアに感染した事例では、電子カルテシステムや会計システムなどが閲覧できなくなり、約2か月間の業務停止に追い込まれました。

代表的なランサムウェアの種類

ランサムウェアの種類は年々増加しています。
以下は代表的なランサムウェアの種類を表にまとめたものです。

名称	特徴
CryptoWall	データが暗号化されると修復が困難。 バックアップを検索して暗号化するという厄介な特徴を持っている。
CryptoLocker	コンピュータ内のファイルを暗号化するだけでなく、コンピュータ自体へのアクセスもブロックする。 主に、メールの添付ファイルを開封することで感染する。
TeslaCrypt	感染すると、端末に保存されているファイルの拡張子を「vvv」に変更してしまい、開けなくなる。 後にランサムウェアの開発者によって暗号化解除キーが公開されたので、被害リスクは少ない。
Locky	日本での被害が多いランサムウェアで、主な感染経路はメールの添付ファイル。
Bad Rabbit	主な感染経路は不正なWebサイトの閲覧。 サイトの閲覧者にドライブバイダウンロード攻撃（Webサイトを閲覧した際に、勝手にマルウェアをインストールさせる攻撃手法）を仕掛ける。
WannaCry	2017年に大規模な被害をもたらしたランサムウェア。 ワームの機能（自動的に感染を広げていく機能）とランサムウェアの機能を併せ持っている。
PETYA/GoldenEye	感染するとファイルが一瞬で暗号化される。 ファイルだけでなくハードディスクMBRも暗号化される
Ryuk	最大の特徴は、感染するとリモートから暗号化が可能になる点。 身代金の支払いに応じやすい機関（医療機関や金融機関など）をターゲットにしており、高額な身代金を要求する。
Maze	データを暗号化する前に情報を窃取し、身代金の支払いを拒否するとデータを漏洩させるという二重恐喝を行う。
LockBit	データを暗号化する速度が他のランサムウェアよりも速いという特徴がある。

ランサムウェアの種類については以下の記事で詳しく解説していますので、ぜひあわせてご覧ください。

ランサムウェアの代表的な「感染経路」

ランサムウェアの代表的な「感染経路」として、以下のような例が挙げられます。

●VPN機器
●リモートデスクトップ
●Webサイト
●メール・添付ファイル
●ファイルダウンロード
●USBメモリなど外付けHDD

・メール・添付ファイル

いわゆるフィッシング詐欺のように、リンクや添付ファイルを送付したスパムメールやなりすましメールを送り、アクセスしたPCをランサムウェアに感染させる手口です。

・Webサイト

WordPressを始めとしたCMS（コンテンツ・マネジメント・システム）の改ざんによって、脆弱性を攻撃する不正サイトへの誘導を促します。サイトに表示されているインターネット広告にランサムウェアが紛れ込んでいる場合があります。

・VPN機器・リモートデスクトップ

以前までは「メール」「Webサイト」を狙う犯行が一般的でしたが、最近では「リモートワーク」の普及に伴い、「VPN機器」「や「リモートデスクトップ」の脆弱性をついた悪質な攻撃被害が増加しています。

実際、警察庁が2022年9月に公表した「令和4年上半期のランサムウェア被害の実態」でも、感染経路として最も多かったのが「VPN機器からの侵入（68％）」、次点で「リモートデスクトップからの侵入（15%）」であったことが報告されています。
出典：警察庁 – 令和４年上半期におけるサイバー空間をめぐる脅威の情勢等について

VPNは社外から「社内ネットワーク」へアクセスするための接続機器です。攻撃者は脆弱性のあるVPN機器を経由して、社内ネットワークへ不正にアクセスし、ランサムウェアを送り込むといった手口を用います。

ランサムウェアの感染経路については以下の記事で詳しく解説していますので、ぜひあわせてご覧ください。

ランサムウェアの被害事例

ここではランサムウェアの被害事例を紹介します。

業界・業種	教育機関
時期	2022年10月
被害の概要	学生・職員のアカウント情報を管理するサーバーがランサムウェア攻撃を受け、4万815件の個人情報が流出。

ある国立大学機構が第三者による不正アクセスを受け、ランサムウェアに感染し、データの一部が改変されるという事例が発生しました。

利用者より「パスワードを変更できない」と連絡があり、調査を行ったところデータが暗号化されていることを確認。「復元したければ連絡するように」と、攻撃者からのメッセージが残されていたとのことです。

攻撃対象は学生や職員の「Microsoft 365」アカウントを管理する認証システムのサーバーで、不正アクセスにより、氏名や生年月日・メールアドレスなど、4万815件の個人情報が流出した可能性が明らかにされました。

今回の不正アクセスの原因は、ファイアウォールの誤設定とされています。
ファイアウォールの設定変更時にミスがあり、外部から問題のシステムにアクセスできる状態となっていました。

暗号化されたデータについては復元が可能であり、大学の業務において直接的な影響はなかったとのことです。

今後の対策として大学機構側は、サーバーの設計・構築段階におけるセキュリティ評価を行い、安全確認について手順を確立するとしています。

また、以下の記事では国内外で起きたランサムウェアの事例をまとめていますので、事例についてさらに詳しく知りたい方は以下の記事もぜひご覧ください。

個人が行うべきランサムウェア対策

個人が行うべき対策としては、以下が挙げられます。

●不審なメールの添付ファイルやリンクはむやみに開かない
●許可されていないアプリ・ソフトウェアはインストールしない
●OS・ソフトウェアは常に最新の状態を保つ

リモートワークの普及に伴い、「VPN機器」や「リモートデスクトップ」経由の感染が急増しているものの、依然としてメール経由でランサムウェアに感染するケースもあります。

そのため、不審なメールの添付ファイルやリンクはむやみに開かないよう注意してください。ランサムウェアを含む「標的型攻撃メール」の特徴や見分け方については、以下の記事に詳しくまとめています。

また、安全性が確保されていないアプリやインストールの中にはランサムウェアが仕込まれているものもあるので、企業・組織側が許可していないものは勝手にインストールしないようにしましょう。

企業・組織が行うべきランサムウェア対策

企業・組織全体で行うべき対策としては、以下が挙げられます。

●セキュリティパッチの一括適用
●アクセス権限の最小化
●従業員への教育
●メールスキャンによるウイルス検知
●エンドポイントセキュリティの強化

セキュリティパッチの一括適用

セキュリティパッチを適用することで脆弱性を解消し、攻撃者に侵入されるリスクを低減することができます。

ただし、セキュリティパッチの適用を従業員に任せていると、セキュリティパッチの適用漏れが発生する可能性があります。

そのため、IT資産管理ツールなどを使用し、管理者側で一括適用するとよいでしょう。

アクセス権限の最小化

攻撃者はセキュリティの手薄なシステムから侵入し、侵入後に活動範囲を広げる「ラテラルムーブメント」を行います。

※ラテラルムーブメント…ネットワーク内を水平方向に移動しながら、侵害範囲を徐々に拡大していく手法

その際、必要な特権昇格を行い、複数のシステムやアカウントを侵害していくため、「アクセス権限の最小化」が効果的です。

例えば

●組織の重要データへアクセスできる人材を幹部に限定する
●システムへのアクセス権限は担当部署のみに付与する

などが有効です。

従業員への教育

「怪しいメールの添付ファイルを開く」「不審なリンクをクリックする」「信頼度の低いWebサイトからファイルをダウンロードする」といった、感染の原因となるアクションを防ぐためにも、定期的なセキュリティ教育を行い、従業員のセキュリティへの意識を底上げすることが重要です。

メールスキャンによるウイルス検知

メールのウイルススキャン機能を利用することで、添付ファイルがウイルスに感染していないかチェックが可能です。

仮に受信したメールの添付ファイルからウイルスが検出された場合、メールの受信を拒否したり、警告メッセージを表示したりすることで、感染を未然に防げます。

エンドポイントセキュリティの強化

エンドポイントセキュリティを強化するためには、アンチウイルスとEDRの併用が欠かせません。

未知のランサムウェアも検出できる強力なアンチウイルスで感染を防ぎ、万が一アンチウイルスをする抜けてしまった場合にEDRですばやく隔離・駆除するという体制を構築することで、エンドポイントをランサムウェアの脅威から保護することができます。

企業・組織が行うべき対策は以下の記事でも詳しく解説していますので、ぜひあわせてご覧ください。

ランサムウェアに感染した場合の対処法

万一、ランサムウェアに感染した場合、まずは感染が疑われる端末を速やかにネットワークから隔離し、他の端末やネットワークへ被害が拡大しないよう対策しましょう。

加えて、ランサムウェア被害を最小限に食い止めるため、以下の流れに沿って対応を進めます。

●初動対応（感染内容の確認）
●ランサムウェアの報告とインシデント対応策の決定・実施
●ネットワークの遮断
●感染範囲の確認と情報の記録
●被害の最小化と原状回復

また、感染時は自社判断で身代金を支払う前に、警察署やセキュリティの専門サービスへ相談し、適切な対処を確認することを推奨します。

LANSCOPEサイバープロテクションでは、ランサムウェア感染時に、迅速な原因特定とサービス復旧に向けサポートする「インシデント対応パッケージ」を提供しています。専門家が細やかに支援するため、ランサムウェアの知識がない担当者様も安心です。

さらに、より詳しい「ランサムウェア感染後の対処方法」については、下記の記事にまとめています。

ランサムウェア対策ならLANSCOPEサイバープロテクションにお任せ

「LANSCOPE サイバープロテクション」では、ランサムウェアをはじめとした凶悪なマルウェアを速やかに検知・ブロックする、2種類のAIアンチウイルスを提供しています。

▼2種類のアンチウイルスソリューション
1. アンチウイルス✕EDR✕監視サービス（MDR）をセットで利用できる「CylanceMDR」
2. 各種ファイル・端末に対策できる次世代型アンチウイルス「Deep Instinct」

1． アンチウイルス✕EDR✕監視サービス（MDR）をセットで利用可能な「CylanceMDR」

アンチウイルスは、EDRと掛け合わせることで、より強固なエンドポイントセキュリティ体制を確立できます。 EDRとは、PCやスマートフォンに侵入した後のマルウェアに対し、事後検知や駆除を行えるセキュリティソリューションです。

しかし実際「EDRによるセキュリティ監視に手が回らない」という声も多く、アンチウイルスとEDRの併用が出来ていないケースも少なくありません。

●アンチウイルスとEDRを併用したい
●なるべく安価に両機能を導入したい
●しかし運用面に不安がある

そういった方におすすめしたいのが、アンチウイルスを中心に３つのサービスを提供する「Cylanceシリーズ」です。

1. 最新のアンチウイルス「CylancePROTECT」
2. EDR「CylanceOPTICS」
3. EDRを用いた運用監視サービス「CylanceMDR」

の3つをお客様の予算やご希望条件に応じて提供します。高精度なアンチウイルス・EDRを併用できる上、セキュリティのプロが24時間365日監視を行うため、より確実にマルウェアの侵入からお客様のエンドポイントを保護することが可能です。

アンチウイルスのみ、アンチウイルス＋EDRのみ導入するなど、柔軟な提案も可能です。侵入前・侵入後のマルウェア対策を両立することで、お客様の大切な情報資産を守りましょう。

2． 各種ファイル・端末に対策できるNGAV「Deep Instinct（ディープインスティンクト）」

・ PC、スマートフォンなどOSを問わず、対策をしたい
・ 実行ファイル以外の様々なファイルにも、対応できる 製品が良い
・ 手頃な価格で「高性能なアンチウイルス」を導入したい

そういった方には、AIによるディープラーニング機能で、未知のマルウェアを高精度にブロックする、次世代型アンチウイルス「Deep Instinct（ディープインスティンクト）」がおすすめです。

近年の攻撃者は、セキュリティ製品の検知を逃れるため、実行ファイルだけでなくExcelやPDF・zipなど、多様な形式のマルウェアを生み出します。 しかしファイル形式を問わず対処する「Deep Instinct」であれば、これらのマルウェアも高い精度で検知・防御が可能です。

ランサムウェアをはじめ、2020年以降に国内でも猛威を振るった「Emotet（エモテット）」などの攻撃も、 Deep Instinctで検知することが可能です。

また幅広い端末での利用が可能で、Windows、macOS、AndroidなどのOSに対応しています。手ごろな価格帯で導入できるのも魅力です、ぜひ以下の製品ページよりご覧ください。

ランサムウェア攻撃を受けたかも……事後対応なら「インシデント対応パッケージ」にお任せ

「PCがランサムウェアに感染してしまったかも」
「システムへ不正アクセスされた痕跡がある」

このようにサイバー攻撃を受けた”事後”に、いち早く復旧するためのサポートを受けたい場合は、プロがお客様に代わって脅威に対処する「インシデント対応パッケージ」の利用がおすすめです。

フォレンジック調査のスペシャリストがお客様の環境を調査し、感染状況と影響範囲を特定。マルウェアの封じ込めをはじめとした復旧支援に加え、今後どのように対策すべきかのアドバイスまで支援いたします。

「自社で復旧作業を行うのが難しい」「マルウェアの感染経路や影響範囲の特定をプロに任せたい」というお客様は、是非ご検討ください。

まとめ

「ランサムウェアとは」をテーマに、初心者でも被害内容や対策を理解できるよう内容をまとめました。

本記事のまとめ

●ランサムウェアとは、重要なデータを暗号化したり、パソコンをロックしたりして使用不能にし、解除の条件として身代金を要求するマルウェア

●代表的な感染経路としては、「Webサイト」「メール・添付ファイル」「VPN機器」「リモートデスクトップ」「ファイルダウンロード」「USBメモリなど外付けHDD」などがある

●ランサムウェアに感染した場合、「システム上の被害」「業務上の被害」「金銭的被害」「情報流出による社会的信用の失墜」といった被害が想定される

●ランサムウェアの被害に遭わないためには、「従業員への教育」「ユーザー権限の厳密化・設定」「セキュリティパッチの適用」「OSやWebブラウザを最新のバージョンに保つ」「メールスキャンによるウイルス検知」「フリーWiFi時のVPN使用」「強力なアンチウイルスソフトの導入」といった対策を講じる必要がある

●感染した場合の対処法としては、速やかにネットワークから端末を隔離し、上長や担当者へ相談した後、マルウェアの駆除や感染経路や原因、被害範囲などの調査を行う

ランサムウェアは今後もさらに悪質なものへアップデートされることが予想されます。 自社の大事な情報と金銭だけでなく社会的信用まで奪われてしまわないよう、知識と対策をとり備えておきましょう。

また個人や企業単位で、より体系的な「ランサムウェア対策」を行いたい方は、以下の無料ダウンロード資料もご活用ください。