中小企業が取り組むべき“本当”のランサムウェア対策とは

　数年来、ランサムウェア被害の大規模化が止まりません。今やデジタル災害に例えられるほど、企業のみならず社会にも多大な影響を及ぼしています。

　周知のとおりランサムウェアとは、パソコンやサーバー内のデータを勝手に暗号化してファイルを利用できない状態として、暗号化の解除と引き換えに金銭を要求するサイバー攻撃の手口です。

　その歴史は意外と古く、1980年代後半には暗号化されたデータを人質に金銭を要求する手口が登場したとされています。以降、ランサムウェアは流行と沈静化を繰り返しながら進化してきました。

　ランサムウェア被害というと大企業の問題と思われがちですが、実際には被害件数の6割以上を中小企業が占めています。これだけ認知が広がっても、中小企業は「当社は狙われない」と考えがちですが、現実は逆です。今やランサムウェアは、すべての企業にとって事業継続を脅かす経営リスクなのです。

　こうした状況下、中小企業が本当に取り組むべきランサムウェア対策とは何か――本稿で、解き明かしていきましょう。

狙われる中小企業、被害も増加

　ランサムウェア被害は、その影響の深刻度から大企業や中堅企業の事案が大きく報道されるため、いまだ攻撃対象の中心は規模の大きな企業という認識が根強く残っています。しかし、実際の被害件数では中小企業の方が多いというのが現実です。

　警察庁サイバー警察局が例年公開しているレポート「サイバー空間をめぐる脅威の情勢等について」の令和7年版（2026年3月発表）によると、ノーウェアランサム（*1）を除いた同年のランサムウェア被害報告件数は226件。ここ数年の傾向と同様、高い水準となっています。
（*1）暗号化せずにデータだけを窃取して金銭を要求する手口

令和3（2021）年以降の企業・団体等におけるランサムウェア被害報告件数の推移（出典：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）

　このうち、中小企業における被害報告件数は143件であり、大企業の64件を2倍以上も上回っています。これは急激に増えたわけではなく、下図のグラフが示すとおり、もともと中小企業の比率は5割を超えていました。

　令和5（2023）年にやや件数は減少したものの比率は変わらず、以降は2年連続で140件に達し全体の6割を超える状況となっています。

　中小企業におけるランサムウェア被害が増えているという事実は、セキュリティベンダーの調査報告からも明らかにされており、「中小企業は関係ない」とは、とてもいえないのが現実なのです。

ランサムウェア被害企業・団体等の規模別報告件数（出典：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）

中小企業がターゲットとなる背景

　では、ランサムウェア攻撃の標的として中小企業が狙われるのはなぜでしょうか。理由の一つには、2026年の注目キーワードともなっているサプライチェーン攻撃が挙げられます。

　かなり認知度は高まっていますが、サプライチェーン攻撃とは一連のビジネスの流れにおいて、最も弱い部分を端緒に、本来のターゲットに攻撃を仕掛ける手口です。これは、特にビジネスサプライチェーン攻撃と呼ばれます。

　中小企業が狙われているといっても、サイバー犯罪者にとって本来の標的は金銭的な見返りが期待できる大企業です。しかし、大企業はセキュリティレベルが高く、侵入が難しいものです。

　そこで、標的である大企業と取引している中小企業に目を付けます。中小企業は大企業ほどセキュリティが強固ではないことが多く、犯罪者にとって侵入できる確率は上がります。侵入できれば、内部探索によりターゲットである大企業とのシステムやコミュニケーションの接点を見つけ、本丸の大企業へと侵入するわけです。2025年下期のアサヒグループホールディングスとアスクルのランサムウェア被害は、いずれもサプライチェーン攻撃がきっかけとなりました。

　同時に、踏み台となった中小企業も、サプライチェーン攻撃プロセスの途上でランサムウェア攻撃により暗号化などの被害を受けることとなります。

　2026年下期に、経済産業省や独立行政法人情報処理推進機構（IPA）が「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の運用開始を進めているのも、こうした背景があるからです。

ランサムウェアの完全防御は困難

　今後も攻撃拡大が見込まれるランサムウェアへの対策は必須であり、これは中小企業とて例外ではありません。その際、セキュリティソリューションなどの導入による攻撃の防御ばかりに意識は向きがちです。

　もちろん防御は不可欠な対策ですが、ランサムウェア攻撃を完全に防ぎ切れなくなっていることも事実です。というのも、ランサムウェア攻撃は「ばらまき型」から「侵入型」へと変化しているからです。侵入型ランサムウェアでは、企業や組織のネットワークに入り込み、内部探索や権限昇格（特権アカウントの窃取など）、横展開といった不正侵入と同じ攻撃プロセスをたどり、最後に暗号化を実行します。

　こうした攻撃プロセスではAI技術の活用が当たり前となっており、攻撃手口は高度化しています。例えば、ビジネス詐欺メール（BEC）などのフィッシングメールの日本語や内容が洗練されてきたと感じたことはないでしょうか。生成AIで作成された詐欺メールは非常に巧妙化し、従来のように文面だけで明らかなニセモノだと気づきにくくなっています。

　また、サイバー犯罪者はAIを駆使してシステムなどの脆弱性や設定ミスなどを探っており、侵入の機会をうかがっています。そうした状況下、米国Anthropic社の新型AI「Claud Mythos（クロードミトス）」が、侵入の糸口となる数千件にも及ぶセキュリティの欠陥を発見したとのニュースが社会をにぎわせたのは最近のことです。

　また、サイバー犯罪のビジネス化がランサムウェア攻撃の高度化と機会増加につながっています。攻撃プロセスはネットワーク侵入や内部探索、データ窃取・暗号化、身代金要求などに細分化され、個々のプロセスはサービスとしてダークウェブ（*2）で取引されています。攻撃が分業化したことで個々のプロセスは専門性が高まり、手口は巧妙化しました。
（*2）通常のWebブラウザではアクセスできない匿名性の高いインターネット領域

　サイバー犯罪のビジネス化では、Ransomware as a Service（RaaS／読み方：ラース）も有名ではないでしょうか。いわゆるランサムウェア攻撃がSaaSとして提供されたもので、このソリューションを用いれば特別な知識がなくとも攻撃が可能です。

　サイバー犯罪のビジネス化は、手口の高度化だけでなく攻撃のハードルも下げたわけです。セキュリティが手薄な企業や組織は、例外なくランサムウェアの標的となり得ると考えるべきでしょう。

　ランサムウェア攻撃が高度化するなか、リモートワークやクラウドサービスの広がりを背景に、働く環境は大きく変化しました。これにより、ネットワークやシステムの構成も変化し、VPNやリモートデスクトップといった犯罪者から狙われる攻撃領域（アタックサーフェス）も増えています。実際、ランサムウェアの感染経路としてもVPN機器などが上位を占めている状況です。

　徹底して侵入を防ぐ対策を講じることは不可欠ですが、上記のような現状を鑑みればランサムウェアを完全に防御することは難しく、「侵入前提の対策」も必要です。

　詳細は後述しますが、被害企業の多くはバックアップを取得していたにも関わらず、復元に失敗しています。ランサムウェア対策で問われているのは、「復旧力（レジリエンス）」なのです。

被害企業の約8割が復元に失敗!?

　侵入前提の対策という考え方はセキュリティ対策の原則となりつつありますが、特にランサムウェアでいえばデータやファイルの暗号化に備えることといえます。具体的にはバックアップです。

　ランサムウェアに限らず、自然災害やヒューマンエラーによるデータ消失への備えとして、バックアップシステムを導入・運用する企業は多いでしょう。

　実際、前出の警察庁サイバー警察局のレポートでも、ランサムウェア被害にあった多くの企業はバックアップを取っていました。令和7年では、有効回答のうち「取得有105件」「取得無11件」と、9割がバックアップを取得。過去5年間を見ても、ほとんどの企業や団体が対応していた実態がうかがえます。

過去5年間のランサムウェア被害企業におけるバックアップ取得状況。有効回答のみ（出典：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）

　しかし、問題はバックアップが存在していれば安心というわけではないという事実です。下図は、同じく警察庁サイバー警察局のレポートから抜粋したランサムウェア被害後にバックアップからデータを復元できたかどうかに関する統計です。

　令和7年でいえば、有効回答のうち約8割に相当する79の企業や団体が、バックアップを取得していたにも関わらず、復元できなかったと回答しました。この状況は前年に限ったことではなく、定常的な傾向として見てとれます。

過去5年間のランサムウェア被害企業におけるバックアップ復元結果。有効回答（出典：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）

　さらに、同レポートでは「バックアップから復元できなかった理由」を聞いています。例年、「バックアップの暗号化・消去」が最も多くなっており、令和7年では7割弱を占めました。

　これは、ランサムウェアなどのサイバーセキュリティ対策を意識したバックアップになっていなかったことが背景要因として挙げられます。

　また、データを復元できなかった理由に「運用不備」が挙がっています。運用不備とは、システムの故障や不具合ではなく、バックアップの管理や手順に問題があること。特に、情報システムに関わる人材が不足する中小企業などでは、課題となりやすい傾向があります。

過去4年間のランサムウェア被害企業におけるバックアップから復元できなかった理由。有効回答のみ（出典：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）

必要な対策はバックアップと復元

　こうした統計からも明らかなように、防御や被害拡大への対策に加え、経営リソースとして大切なデータをいかに保護し復元させるかが重要です。ランサムウェア被害において、中小企業を苦しめるのは暗号化ではなく、データやシステムを復旧できずに事業を継続できないことなのです。

　実際、ビジネスを継続するうえで問題となるのは、暗号化などに起因するシステムや業務の停止、顧客対応の停止、データ消失などです。その対策として、多くの企業はデータやシステムのバックアップを取るわけですが、「バックアップがある」だけでは十分ではありません。データを確実に復元して事業継続に向けた復旧を視野に入れたバックアップ環境の整備が求められます。

バックアップが存在していても復元できなければ意味がない。確実な復旧を見据えたバックアップの運用が必要だ（出典：ChatGPTにより作成）

　まず、バックアップ環境の整備では適切な取得と運用が重要です。必要なデータをバックアップとして取得するわけですが、よく見られるミスが「対象の設定漏れ」や「エラー放置」などによる不備です。

　対象の設定漏れとは、重要データがバックアップの対象外となっていることです。バックアップサーバーにデータが存在しないため、被害発生時に復元できません。サーバーや共有フォルダを新しく追加した際、あるいはクラウドサービスを導入した際などに、バックアップの設定漏れが発生しがちです。

　バックアップシステムは、取得に失敗するとエラー通知を送信する機能を備えているのが一般的です。しかし、担当者の異動などで通知先設定が古く、通知の確認漏れ（エラー放置）によりデータが取得されていないといったケースもよくあります。

　実稼働している本番環境や共有環境と異なり、バックアップ環境ではシステムやメディアの管理不備による故障、劣化などに気づきにくく、データは存在していても読み出せないといったことも発生します。定期的な点検が必要です。

　ランサムウェア被害では、バックアップそのものが暗号化されるケースも少なくありません。それゆえ、「複数の場所に保管する」「書き換えできない形で保存する（イミュータブルバックアップ）」という考え方が重視されており、その代表的な考え方が「3-2-1ルール」や「3-2-1-1-0ルール」です。

　最も標準的な3-2-1ルールとは、「3つのデータコピーの作成」「2種類の異なるメディアに保存」「バックアップコピーの1つはオフサイトへ保存」という原則に従います。これを発展させたものが3-2-1-1-0ルールで、「1つのバックアップコピーは書き換え不能な場所へ保存」「データコピーのエラーがゼロ（0）」という二つの原則が追加されます。

　こうしたバックアップルールに従うと共に、ランサムウェア対策の観点から暗号化を防ぐための「ネットワークから切り離したバックアップ」や、直近のデータが暗号化されても以前のデータを復元できる「世代管理（*3）」も重要です。
（*3）最新データだけでなく、それ以前のデータもバックアップする方法

　確実に復元して事業を継続するためには、バックアップ環境の構築段階からリストア設計を盛り込み、復旧に向けた手順書の作成と訓練が必要です。加えて、定期的な復元テストも欠かせません。復旧訓練も兼ねて、年に1～2回程度は実施するべきでしょう。

　また、確実に復元できることは必要条件ですが、見落とされがちなポイントが復旧時間です。この点を意識していないと、データを復元できたとしても数日から数週間も時間を要するようでは、業務継続に支障を来します。「システム機器が古くないか」「復旧手順は適切か」など、リストア設計を見直して早期に復旧できる体制整備も欠かせません。

　バックアップ障害の多くは技術やシステムの問題ではなく、運用面に課題があると指摘されています。「バックアップは取得されているはず」「バックアップがあるので復元できるはず」といった思い込みが、復旧障害につながっているのです。

　ランサムウェア対策では「侵入を防ぐこと」を強く意識しますが、どれだけ対策を講じても侵入リスクをゼロにはできません。大切なことは、被害を受けてもビジネスを止めないことです。

　バックアップを取得するだけでなく、インシデント発生時に確実にデータを復元して事業を継続できる環境を整えること――それこそが、中小企業が取り組むべき“本当”のランサムウェア対策といえるでしょう。