ランサムウェア被害防止対策
ランサムウェアとは
ランサムウェアとは、端末等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭又は暗号資産）を要求する不正プログラムです。データを暗号化する（ランサムウェアを実行する）ことなくデータを窃取し対価を要求する手口「ノーウェアランサム」の被害も確認されています。
近年は、ランサムウェアの開発・運営を行うグループが、攻撃の実行者にランサムウェアやリークサイト等の攻撃に必要な環境を提供し、その見返りとして身代金の一部を受け取るRaaS（Ransomware as a Service）が多数確認されており、分業により高度な技術的専門知識を有していない者であってもランサムウェア攻撃の実行が可能になるなど、攻撃者の裾野の広がりが見られています。
よくある相談
＜相談事例１＞
パソコンの画面が急に制御不能になり「パソコンのファイルを暗号化し、戻すために、ビットコインを支払え。」などという内容の画面が表示された。
＜相談事例２＞
会社のシステムが利用出来なくなった。確認したところ、内部のファイル名が改竄、暗号化されており、暗号化を解除するために金銭の支払いを要求された。また、データの一部が流出しているようで、金銭を支払わなければデータをリークサイト（外部サイト）へ公開すると脅迫された。
ランサムウェアの手口
以前は不特定多数の利用者を狙って電子メールを送信するといった手口が一般的でしたが、現在は、VPN（Virtual Private Network）機器等のインターネットに露出した箇所から、攻撃者が遠隔操作で未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用してネットワーク内部に侵入する手口が多くを占めています。
また、データの暗号化のみならず、データを窃取した上、「対価を支払わなければ当該データを公開する」などと対価を要求する二重恐喝が被害の多くを占め、実際に事業者の財務情報や個人情報等が、ダークウェブ上のリークサイトに掲載される事例が多数確認されています。
ランサムウェア被害に遭わないために
ランサムウェアの被害に遭わないためには、攻撃者が侵入する「隙」を作らないように基本的なセキュリティ対策を継続することが重要です。被害防止対策、被害軽減対策等について見直しを行うとともに、社員に対して適切なセキュリティ教育を行うなど、総合的な対策を進めてください。
ＶＰＮ機器等のぜい弱性を塞ぐ
ネットワーク機器等のぜい弱性を悪用して侵入する事例が多数確認されており、特に、主要な侵入経路であるＶＰＮ機器は速やかな対応が必要です。利用しているＶＰＮ機器やＯＳ等の更新ファイルやセキュリティパッチが公開された場合は速やかに適用して、ぜい弱性を残さないようにしてください。
認証情報を適切に管理する
認証情報の漏えいや簡易なパスワードの使用により、ネットワーク機器やリモート・デスクトップ・サービスの認証を突破してネットワークに侵入される事例が多数確認されています。初期パスワードや簡易な文字列（「password」、「qwerty」、「12345678」等）は避け、文字数が多く推測されにくい設定にするとともに、他のサービス等で使用していないものを設定し直すなど、認証情報を適切に管理してください。
また、多要素認証等の強固な認証手段の導入や、IPアドレス等によるアクセス制限と組み合わせるなどの対策も積極的に実施してください。
アカウントのアクセス権限を最小化する
攻撃者はネットワークに侵入すると、内部を探索し、より多くのサーバ・端末を侵害しようと試みます。アカウントに割り当てる権限やアクセス可能とする範囲を必要最小限にすることが、アカウントが侵害された場合の被害拡大防止に繋がります。特に管理者権限は、付与する対象は絞って管理を厳格に行う必要があります。
また、インターネットに公開しているサーバや機器は、乗っ取られた場合に備えてアクセス可能な範囲を限定してください。
セキュリティ製品を導入する
攻撃者の侵入やその前兆を検知して対処するには、ウイルス対策ソフトやEDR製品（Endpoint Detection and Response）、ネットワーク監視製品等のセキュリティ製品を導入することが有効です。
もし攻撃者に侵入されたとしても、ネットワーク内の不審な挙動を検知して遮断することで、暗号化や情報窃取等の深刻な被害を防ぐことが可能になります。様々な製品がありそれぞれ機能は異なりますが、いずれも導入するだけでなく最新の状態に保ち適切に運用することが重要です。
不審なメールに警戒する
受信者の関心を引くような内容や不安を煽る内容のメールを用いて添付ファイルを開かせる（実行させる）又はリンク先のウェブサイトにアクセスさせるように仕向けて、ランサムウェアをはじめとしたマルウェアに感染させたり、認証情報を窃取したりする手口が確認されています。
添付ファイル付きのメールやリンク付きのメールについては、送信元への確認を行うなどその真偽を確かめ、不用意に添付ファイルを開いたり、リンク先にアクセスしたりしないでください。
セキュリティ教育を行う
攻撃者が侵入する「隙」を作らないためには、日頃からの基本的な対策の継続が重要であり、経営者層やセキュリティ担当者だけでなく全ての従業員が、セキュリティに関する正しい知識を身につけて実践することが必要です。そのために、具体的な被害事例や最新の攻撃手口等を交え注意すべきポイントを提示するなどして、社内のセキュリティ教育を充実させましょう。不審メールの対応訓練やインシデント訓練等を実施することも有効です。
ランサムウェア被害を想定した備え
日々手口が変化、巧妙化するサイバー攻撃を完全に防ぐことは困難であるため、サイバー攻撃を想定した備えを整えておくことも重要です。
サイバー攻撃を想定したBCPを策定する
企業の基幹システムや事業に直結する重要システムが暗号化され、事業継続に大きな影響を及ぼす被害も発生しています。ランサムウェアによるデータの暗号化は地震等の災害とは被害状況が異なり、調査・復旧作業や広報の在り方も、物理的災害時とは異なる対応が求められます。サイバー攻撃を想定したＢＣＰ（業務継続計画）を事前に準備して、対処の流れや警察等の連絡先を整理しておくことで、被害に遭った際の対応の助けとなります。
バックアップを取得する
バックアップからの復旧は被害発生時における一般的な復旧手段ですが、ランサムウェアによりバックアップデータも暗号化されてしまう事例が多数確認されています。バックアップはなるべくこまめに取得し、ネットワークから切り離してオフラインで保存するなど、データ等の重要性に応じて暗号化されないように備えておくことを推奨します。
ログを取得する
ランサムウェア被害に遭ってしまった場合、被害の実態把握や再発防止のために侵入経路や侵害範囲の調査が必要になります。ネットワーク機器や端末のログは調査の重要な手がかりになるため、日頃から各種ログを取得しておくことを推奨します。
被害を想定した訓練を行う
サイバー攻撃を想定したBCP等を策定していても、突如として発生する被害に、様々な関係者が適切に対処するのは簡単ではありません。また、実際の被害では日頃の運用面の課題でバックアップからの復旧がうまくいかない事例も発生しています。
計画の実効性を高めるため、被害を想定した訓練を行い、関係者との連絡、警察への通報・相談、広報対応やバックアップによるシステムの復旧手順等を確認しておくことを推奨します。
被害が疑われたら・被害が確認されたら
感染したパソコン等をネットワークから隔離する
被害拡大を防止するため、感染したパソコン等のＬＡＮケーブルを抜く・無線をオフにするなどして、ランサムウェアに感染したパソコン等をネットワークから隔離してください。感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。
警察に通報・相談する
ランサムウェアの被害に遭った場合は、最寄りの警察署又はサイバー犯罪相談窓口に通報・相談してください。被害拡大防止のための初動対応支援や復号ツールの案内が可能な場合があります。
警察署の一覧
サイバー犯罪相談窓口
また、暗号化されたデータを復号するための対価と称してランサムウェア攻撃グループから要求される金銭等を支払うことに関し、警察としては、「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」旨を被害者に対して説明しているほか、要求された金銭等の支払いの有無も含む、ランサムウェア被害に係る情報の提供をはじめとした捜査への協力を求めています。
■よくある質問
- 通報したら被害公表が必要ですか？レピュテーションリスク（信用の毀損・風評被害）が心配です。
⇒ 警察から公表を求めることはありません。被害情報の保秘は徹底します。 - 警察に通報すると、サーバや端末を全て持って行かれたりして復旧作業が遅れないですか？
⇒ 警察は、被害組織の復旧作業や業務継続に最大限配慮しながら捜査を進めます。例えば、発生直後はログの保存等のみを依頼して、後から詳しい状況を伺うなどしています。ご要望があれば遠慮無くお伝えください。 - 通報したら、どんな情報を提供すればよいのですか？
⇒ 事案に応じて様々なものが考えられますが、例えば、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図等の提供をお願いしています。 - 大した被害が発生していないけど、通報するべきですか？
⇒ 軽微な事案でも、犯人につながる手掛かりがあるかもしれませんので、ぜひ情報提供をお願いします。
侵入経路や侵害範囲を調査する
被害の再発防止のため、ランサムウェアの感染原因等の調査をしてください。ランサムウェアの感染が確認されていないパソコンやサーバも含めて、マルウェア感染や侵害の痕跡がないか調査することを推奨します。調査に当たっては、感染したパソコンをはじめとした各種機器のログが重要になりますので、ログは、バックアップデータと同様に適切に保管することを推奨します。
ＶＰＮ機器等のぜい弱性を塞ぐ
利用しているネットワーク機器やパソコンのＯＳ等に未適用の更新ファイル、セキュリティパッチがある場合は、速やかに適用してぜい弱性に対処してください。同じ経路で侵入され再被害につながるおそれがあります。
パスワードを変更する
攻撃者からアクセスされた可能性があるパソコン、サーバ、ネットワーク機器等のパスワードを速やかに変更してください。認証情報が窃取された場合は再被害につながるおそれがあります。
被害回復
暗号化されたファイルの復号を試みる
一部のランサムウェアについては、「No More Ransom」プロジェクトのウェブサイトで復号ツールが公開されています。復号ツールを利用することにより暗号化されたファイルを復号できる場合がありますが、次の点に注意してください。
- 一部のランサムウェアにしか復号ツールが対応していないこと
- 復号ツールが利用できるランサムウェアとして紹介されていた場合であっても、バージョン等の違いにより、復号ツールが使えないことがあること
- 対応した復号ツールでも、暗号化されたファイル全てを復号できるとは限らないこと
「No More Ransom」プロジェクトについて
ランサムウェアを特定するために、ランサムノート（身代金を要求するドキュメント等）や暗号化されたファイルの拡張子を確認してください。確認した情報を基に、ランサムウェアに対応する復号ツールが「No More Ransom」プロジェクトのウェブサイトで公開されているか確認してください。
- 「No More Ransom」プロジェクトの概要 (https://www.npa.go.jp/bureau/cyber/pdf/NO_MORE_RANSOM1.pdf)PDFファイルを開く
- 「No More Ransom」プロジェクト (https://www.nomoreransom.org/ja/index.html)別ウィンドウで開く
なお、「No More Ransom」プロジェクトのウェブサイトで公開されている復号ツールの使用方法については、ＪＣ３のウェブサイトを参考にしてください。
- 一般財団法人日本サイバー犯罪対策センター（ＪＣ３） (https://www.jc3.or.jp/threats/topics/article-375.html)別ウィンドウで開く
警察庁開発の復号ツールについて
令和６年２月に、警察庁関東管区警察局サイバー特別捜査部（当時：隊）が開発したLockBitにより暗号化されたファイルの復号ツールを広報しました。
こちらについて活用を検討している場合には、最寄りの警察署までご連絡ください(令和６年２月追記)。
令和７年７月に、同部が開発したPhobos/8baseにより暗号化されたファイルの復号ツールを広報しました。警察に被害の届出をしていない方であっても利用していただけますので、被害回復のために本ツールの利用を積極的に御検討ください。詳細はこちらからご確認ください(令和７年７月追記)。
参考リンク
政府広報オンライン
内閣府政府広報室と警察庁で協力し、ランサムウェアに関する動画や記事を公開しています。
政府広報オンライン「ランサムウェア、あなたの会社も標的に?被害を防ぐためにやるべきこと」
- 一般財団法人日本サイバー犯罪対策センター（JC３）
ＪＣ３では、産学官の協働と国際連携を通じてサイバー犯罪の実態を解明し、その脅威を軽減・無効化する取組を推進しています。
 |
「ランサムウェア対策について」 https://www.jc3.or.jp/threats/topics/article-375.html別ウィンドウで開く |
- 独立行政法人情報処理推進機構
ＩＰＡでは、情報セキュリティの最新情報や具体的な対策情報・対策手段等、幅広いセキュリティ関連情報を提供しています。
「ランサムウェア対策特設ページ」
https://www.ipa.go.jp/security/anshin/ransom_tokusetsu.html別ウィンドウで開く
情報セキュリティ・ポータルサイト「ここからセキュリティ！」
https://www.ipa.go.jp/security/kokokara/」別ウィンドウで開く