LASSIC Media らしくメディア
ランサムウェアの事例から分かる、被害が長引くつまずき
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 公的機関の事例では、外とつながる機器からの侵入、バックアップの巻き込まれ、ログ不足による調査の長期化が被害を長引かせました。
- 自社の備えは、侵入口・バックアップ・ログ・被害時の連絡の4点で点検し、手当ての順番を決められます。
- 4つの基準の表に自社の現状を書き出し、足りない所と手当ての順番を上長に示します。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
同業や取引先がランサムウェアの被害に遭ったという知らせが入り、上長から「うちは大丈夫か」と聞かれる。担当者が事例を調べ始めるのは、こうした場面が多いはずです。ただ、報道で事例を読んでも、自社のどこを照らせばよいかまでは分かりません。
答えを先に示すと、公的機関がまとめた事例の教訓では、外とつながる機器からの侵入、バックアップの巻き込まれ、ログ不足による調査の長期化が、被害を長引かせたつまずきとして挙がっています。自社はこの3点に被害時の連絡と判断を加えた4点で点検できます。本記事では、警察庁・IPA・JPCERT/CCの資料から、つまずきの中身と点検の仕方を整理します。
目次
事例を「他社の不運」で終わらせると、同じ所でつまずく
事例を読んでも自社の点検に移さないと、業務の停止、調査と復旧の費用、取引先への説明が、同じ形で起こり得ます。悩みごとに、先に読むとよい章を次の表にまとめました。
| 悩み | 読む章 |
|---|---|
| 被害に遭った会社は、何が原因で長引いたのか知りたい | 公的機関の事例集に見るつまずき |
| 対策にいくらかけるべきか、上長に説明できない | 費用と止まった場合の損失の見比べ方 |
| 個人情報が漏れたら、どこに何を届け出るのか分からない | 被害時の届け出と契約・規程の確認点 |
警察庁によると、2025年（令和7年）のランサムウェアの被害報告件数は226件で、依然として高い水準が続いています。被害企業を規模別に見ると、226件のうち中小企業が143件でした。*1 大企業や特別な業種だけの話ではありません。
件数の推移と、被害組織へのアンケートで分かった侵入経路を次の図にまとめました。
同じアンケートでは、復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまっています。業務への影響を答えた117件のうち、全業務停止が9件、一部の業務に影響が出たのが97件でした。*1
事例を自社の点検に移さないと、次のことが同じ形で起こり得ます。
- 業務：受注・出荷や生産管理のシステムが止まり、手作業で回す期間が続く
- 費用：侵入の経路と範囲を調べる調査と、システムを戻す作業の費用がかかる
- 取引先：何が漏れたのか、いつ戻るのかの説明を求められ続ける
つまずきは攻撃の巧妙さより、侵入口・バックアップ・ログにある
被害に遭った組織の多くは、対策をしていなかったわけではありません。警察庁のアンケートでは、ウイルス対策ソフト等を入れていた組織が119件中105件ありましたが、ウイルスや異常を検出できたのは、答えた89件のうち25件でした。*1
つまずいた所は、侵入口・バックアップ・ログに集まっています。同じアンケートの結果を、備えの状況と結果に分けて並べました。
| 項目 | 備えの状況 | 結果 |
|---|---|---|
| 侵入口 | 侵入経路とされる機器71件のうち、最新の修正プログラムを適用済みは31件 | 未適用の修正プログラムがあったのは40件 |
| バックアップ | 116件のうち105件が取得していた | 復元の結果を答えた99件のうち、復元できたのは20件、できなかったのは79件 |
| ログ | 102件のうち、全て保全できていたのは25件 | 一部利用不可が64件、利用不可が8件、取得なしが5件 |
IPA（情報処理推進機構）の教訓集も、ヒアリングした全ての組織で一般的なセキュリティ対策は実施されていたものの、更新プログラムの適用の遅れや一時的な設定変更の放置といった、わずかな隙をつかれて侵入されたと整理しています。*2 つまずきは、守りの道具の有無より、日々の運用の隙にありました。
自社の状況を、次の3つで確かめてみてください。
- VPN機器など外とつながる機器の更新を、誰がいつ確かめているか
- 感染した端末から書き換えられない場所にバックアップの複製があるか
- 侵入の経路を後から調べられる期間のログが残っているか
会社として備える全体の順番は、ランサムウェア対策は、会社として何から備えるかで整理しています。本記事では、事例のつまずきから点検の項目を引き出すことに絞ります。
事例を自社に照らすときの4つの基準
事例を自社に照らすときは、次の4つの基準で現状を書き出します。どれも、公的機関の資料で被害を長引かせた点として挙がっているものです。
| 基準 | 目安 | 事例で見られたつまずき |
|---|---|---|
| 侵入口の把握 | 外とつながる機器の一覧と、更新の担当が決まっているか | 侵入経路とされる機器に、未適用の修正プログラムが残っていた |
| バックアップの隔離 | 切り離した複製があり、実際に戻せることを試したか | バックアップも一緒に暗号化され、戻せなかった |
| ログと調査の備え | 侵入の経路と範囲を調べられるログの種類と保存期間 | ログが消されたり、保存期間を過ぎたりしていた |
| 被害時の連絡と判断 | 止める・届け出る・取引先に知らせるの判断者と順番が決まっているか | 判断基準がなく、決定に時間がかかった |
4つのうち、「決まっていない」「試していない」が1つでもある所が、手当ての候補です。全部を一度に整えるより、空いている基準から順番を付けるほうが、上長にも説明しやすくなります。
朝、共有フォルダが開かなくなったときの最初の1時間
現場から「共有フォルダのファイルが開かない」と連絡を受けた担当者が、4つの基準に沿って判断する流れの一例です。
| 順番 | 判断すること | 基準 | 資料の指摘 |
|---|---|---|---|
| 1 | 端末とサーバーをネットワークから切り離す。電源は切らない | 侵入口の把握 | 慌てて電源を切ると、ログなど侵入の痕跡が失われ、後の調査が難しくなる可能性がある（警察庁） |
| 2 | 被害を免れたバックアップを切り離して守る | バックアップの隔離 | 自動で取る仕組みでは、有効なバックアップが上書きされて消える恐れがある（JPCERT/CC）*3 |
| 3 | ログを残す | ログと調査の備え | 初動では被害の拡大を防ぎ、ログ等のデータを保全する（警察庁） |
| 4 | 上長に報告し、止める範囲と連絡先を決める | 被害時の連絡と判断 | 判断基準がないなどの理由で、決定に時間がかかった組織があった（IPA） |
この流れを当日に一から考えるのは困難です。どの機器を切り離し、どのバックアップを守り、誰に報告するかを平時に1枚の表へ書いておくことが、最初の1時間を短くします。
ここまでで、事例のつまずきが侵入口・バックアップ・ログ・連絡の4点に集まることを見てきました。後半では、事例集の教訓の詳細、侵入経路の傾向、対策の費用と止まった場合の損失の見比べ方、届け出と契約・規程の確認点を確かめられます。
事例のつまずきを自社の点検に移す
外とつながる機器とバックアップの一覧、更新とログを見ている担当者をお手元にご用意いただければ、4つの基準での点検と運用保守の体制をご相談いただけます。
公的機関の事例集に見るつまずき
IPAの教訓集とJPCERT/CCのFAQは、バックアップの巻き込まれと侵害範囲の調査の難しさを教訓として挙げています。教訓集は、国内で被害に遭った複数の組織へのヒアリングを基にまとめられたものです。
| つまずき | 資料の指摘 | 自社で見る点 |
|---|---|---|
| バックアップが使えない | 汚染された可能性があるバックアップは、システムの復旧に使えない（IPA） | 侵入より前の時点の複製を見分けられるか |
| バックアップが消える | 自動で取る仕組みでは、被害を免れたバックアップが上書きされて消滅する恐れがある（JPCERT/CC） | 自動の取得を止める手順があるか |
| 戻した後の手作業 | 戻した時点へのデータの補正にさらなる手作業が必要になり、現場の疲弊につながった（IPA） | 戻した時点より後の入力を誰が補うか |
| ログが使えない | 調査に必要なログなども、暗号化で使えなくなっているケースがある（JPCERT/CC） | ログを別の場所にも残しているか |
| 漏えいなしを示せない | 顧客や取引先に、情報漏えいがなかったことを証明するのは極めて困難（IPA） | どのデータがどこにあるかの台帳 |
| 対応が一部に集中 | 中小規模の組織では、報告や取引先対応までITの担当が抱え、本来の対処に集中できなくなる（IPA） | 報告・取引先対応・復旧の分担 |
バックアップとログは、別々の話に見えてつながっています。教訓集は、少なくとも侵入が始まる前の時点のバックアップは汚染されていないため、侵入開始時期を特定することが重要で、そのために必要なログを保存しておくとしています。*2 ログが無いと、どの時点まで戻せばよいかが決まらず、復旧が延びます。
ログの保存期間の決め方は、ログはいつまで残す？でも取り上げています。
漏えいの説明も長引く要因です。教訓集によると、ヒアリングしたほぼ全ての組織がフォレンジック調査（侵害された機器の詳しい調査）を行い、その結果を基に取引先へ事実関係を説明していました。*2 ただし、調査で攻撃者の活動が全て明らかになるわけではないとされています。
侵入経路と手口の傾向を公的な統計で確かめる
警察庁の資料で、悪用が多い侵入経路と、データを盗んで公開すると脅す二重恐喝の手口を確かめます。被害組織へのアンケートでは、侵入経路が分かった92件のうち、VPN機器（社外から社内のネットワークにつなぐ機器）が61件、リモートデスクトップ（離れた場所からパソコンを操作する仕組み）が19件でした。*1
警察庁は、近年はインターネットに露出した箇所から遠隔操作で侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっているとしています。攻撃の流れと、事例でつまずいた点を次の表に並べました。
| 段階 | 攻撃者がすること | つまずき |
|---|---|---|
| 侵入 | 未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備などを悪用する | 外とつながる機器の更新が遅れる |
| 探索 | 管理者権限の奪取を試みながら、重要データやバックアップを物色する | バックアップの置き場所が見つかる |
| 窃取と暗号化 | データを盗んだ後に暗号化する。バックアップも一緒に暗号化される場合が多い | 戻す手段がなくなる |
| 痕跡の消去 | ログや使用したツール等の痕跡を消去して攻撃を終える | 侵入の経路と範囲を調べられない |
手口が判明した153件のうち、データを盗んだうえで公開すると脅す二重恐喝型が136件でした。暗号化せずにデータを盗んで対価を求める「ノーウェアランサム」の被害も17件報告されています。*1 戻せるバックアップがあっても、盗まれたデータについての説明は残ります。
- 業種別では製造業が226件中91件で最も多く、卸売・小売業、サービス業、情報通信業が続く
- 警察庁は、様々な業種で被害が確認されているとしている
- 自社の業種より、外とつながる機器を使っているかどうかで点検の要否を考える
費用と止まった場合の損失の見比べ方
対策の費用は、業務が止まる日数・復旧と調査の費用・取引への影響を自社の数字で見積もって比べます。公的な統計は、その見積もりの幅を確かめる材料になります。
| 期間 | 件数 |
|---|---|
| 即時～1週間未満 | 29件 |
| 1週間～1か月未満 | 31件 |
| 1か月～2か月未満 | 15件 |
| 2か月以上 | 7件 |
| 復旧中 | 25件 |
| 総額 | 件数 |
|---|---|
| 100万円未満 | 16件 |
| 100万円以上500万円未満 | 18件 |
| 500万円以上1,000万円未満 | 9件 |
| 1,000万円以上5,000万円未満 | 32件 |
| 5,000万円以上1億円未満 | 9件 |
| 1億円以上 | 5件 |
この統計を自社に当てはめるときは、次の項目に自社の数字を入れて、止まった場合の損失を見積もります。
| 項目 | 自社で入れる数字 | 見積もりのヒント |
|---|---|---|
| 業務が止まる日数 | 止まると困るシステムごとに、手作業で回せる日数 | 1か月未満で戻せた組織は5割強 |
| 止まった間の損失 | 1日あたりの売上や粗利と、止まる日数 | 全業務が止まらなくても、受注や出荷の遅れが出る |
| 調査と復旧の費用 | 調査の依頼、作り直し、機器の入れ替え | 1,000万円以上を要した組織が5割超 |
| 取引への影響 | 取引の停止・再開の条件と、説明にかかる工数 | 取引の再開に追加の対策を求められた例がある |
取引への影響は見落とされがちです。教訓集には、取引先から、メールやEDI（企業間の電子データのやり取り）を再開するならEDRやSOCを導入するよう強い要望があったとする組織が複数あったと記されています。*2 EDRは端末の不審な動きを見張る仕組み、SOCは監視を受け持つ拠点です。
対策の費用は、この損失の見積もりと並べ、4つの基準のうち空いている所から割り当てます。一律の相場で決めるより、自社の止まる日数と1日の損失で示すほうが、上長も判断しやすくなります。
どこまで自社で持ち、どこから任せるかの判断の材料
見張り・調査・復旧の作業を、社内の人数と夜間・休日の対応の要否で分けて判断します。検知の仕組みがあっても、受け取る人がいなければ間に合わないからです。
教訓集には、暗号化を検知した際に管理者宛てのアラートメールが出ていたものの、週末の深夜だったため、すぐに受け取れていなかった事例が載っています。*2 検知だけでなく、アラートに常時対応できる監視・運用の体制が必要だとされています。
| 作業 | 社内で持ちやすい条件 | 任せることを考える条件 |
|---|---|---|
| 見張り（警告の受け取りと一次判断） | 平日の日中の対応で足りる。担当が複数いる | 夜間・休日にも警告に応じる必要がある。担当が1人 |
| 調査（侵入の経路と範囲の特定） | ログの所在と取り出し方が分かっている | フォレンジック調査が要る。調べる範囲を決められない |
| 復旧（戻す・作り直す） | 戻す手順を試したことがある | 作り直しが要る。手作業の補正と並行して進める人手がない |
調査を任せる相手は、被害が起きてから探すと間に合いにくくなります。教訓集は、事案の発覚後に短期間で信頼できるセキュリティベンダーを確保するのは容易ではないとし、平時から必要な役割と対応範囲を把握して関係を築いておくことを勧めています。複数の組織で、対応の途中でベンダーが交代していたことも記されています。
任せる場合も、社内で決めておくことは残ります。
- 警告を受け取る時間帯と、夜間・休日の連絡先
- ログの所在と保存期間、取り出すときの手順
- 戻す手順と、最後に試した日
- 止める範囲を決める人と、その代わりの人
被害時の届け出と契約・規程の確認点
個人情報の漏えいの恐れがあるときの報告の要否、委託先との契約の連絡の取り決め、社内規程の初動の定めを確かめます。決めた取り決めは、訓練で手順を読み合わせておくと、当日に迷わずに済みます。
| 確認点 | 資料が示していること | 自社で確かめる点 |
|---|---|---|
| 個人情報の漏えい等の報告 | 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（そのおそれを含む）は、報告が義務付けられている場合に挙がる。例に、ランサムウェア等で個人データが暗号化され、復元できなくなった場合がある（個人情報保護委員会） | どのシステムに個人データがあるかの台帳 |
| 報告の期限 | 発覚したら、まずは速やかに報告する。不正な目的で行われたおそれがある場合は、発覚日から60日以内（個人情報保護委員会）*5 | 報告を取りまとめる人と、使う様式 |
| 警察への通報 | 被害に遭った場合は、最寄りの警察署又はサイバー犯罪相談窓口に通報・相談する。警察から公表を求めることはないとしている（警察庁）*4 | 通報先と、渡せるログ等の一覧 |
| 委託先との契約 | 運用保守サービスを提供する事業者の回線を経由した侵入が、代表的な手口の一つとして挙がっている（JPCERT/CC） | 異常に気付いたときの連絡の経路と期限、ログの保管 |
| 社内規程の初動 | 判断基準がないなどの理由で、決定に時間がかかった組織があった（IPA） | 止める・公表する・届け出るを決める人と、その代わりの人 |
教訓集は、個人データの漏えい等のおそれがある場合は報告や本人への通知が必要になるため、おそれの有無を見極めることが必須になると述べています。暗号化されて戻せないデータがあると、漏えいしたデータの特定が難しいケースが多いともしています。何のデータがどこにあるかを平時に台帳にしておくことが、届け出の判断を早めます。
委託先に運用保守を預けている場合は、契約の中に、異常に気付いたときに誰へどの経路でいつまでに知らせるか、ログをどこに何日残すかが書かれているかを見ます。書かれていなければ、次の更新のときに取り決めに加えます。
まとめ：事例のつまずきを4つの基準で書き出す
公的機関の事例集とアンケートでは、被害を長引かせたつまずきは、更新が遅れた外とつながる機器、一緒に暗号化されたバックアップ、消されたり保存期間を過ぎたりしたログ、そして判断の遅れにありました。ウイルス対策ソフトを入れていても、それだけでは防げなかった組織が多くあります。今日からは、4つの基準の表に自社の現状を書き出し、足りない所と手当ての順番を上長に示してください。
よくある質問
中小企業もランサムウェアの被害に遭っているのか
被害は大企業に限らず、警察庁の資料で組織の規模別の内訳を確かめられます。2025年の被害報告226件のうち、中小企業が143件、大企業が64件、団体等が19件でした。侵入経路の多くはVPN機器やリモートデスクトップで、これらを使っていれば規模に関わらず入口になり得ます。
バックアップがあれば復旧できるのか
バックアップも被害に遭った事例があり、切り離した複製と戻す試しがあるかで結果が変わります。警察庁のアンケートでは、復元の結果を答えた99件のうち79件が復元できず、理由はバックアップも暗号化されたが最も多くなっていました。1つはネットワークから切り離して保管し、実際に戻せるかを試しておきます。
身代金を払えばデータは戻るのか
支払っても復旧が約束されるわけではなく、支払いと交渉の扱いはJPCERT/CCのFAQで確かめる項目です。JPCERT/CCは、暗号化されたファイルが復元される保証がないことなどを理由に、身代金の支払いを選択するべきではないとしています。警察庁も、暗号化されたデータの復号が保証されるわけではない旨を被害者に説明しています。
個人情報が漏れた可能性があるとき、届け出は必要か
要否は漏えいの恐れの範囲によるため、個人情報保護委員会の定めとJPCERT/CCのFAQで確かめる項目として整理します。個人情報保護委員会のページでは、不正の目的をもって行われたおそれがある行為による漏えい等が報告の対象に挙がり、ランサムウェア等で個人データが暗号化され復元できなくなった場合が例に示されています。どのシステムに個人データがあるかを平時に把握しておくと、判断が早まります。
対策の予算はどう決めればよいか
一律の相場ではなく、止まった場合の損失を自社の数字で見積もり、4つの基準のうち足りない所から割り当てます。止まる日数、1日あたりの損失、調査と復旧の費用、取引への影響を並べると、上長に示しやすくなります。警察庁の統計では、復旧に総額1,000万円以上を要した組織が5割を超えています。
IT運用保守の体制の相談
外とつながる機器とバックアップの一覧、更新とログを見ている担当者と対応できる時間帯をお手元にご用意いただければ、運用保守の体制をご相談いただけます。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）。出典：特集Ⅱ ランサムウェアをめぐる脅威の情勢と警察の取組（1〜4）、統計編120〜138頁（被害報告件数・手口別・規模別・業種別・感染経路・復旧期間・調査・復旧費用・バックアップ・業務への影響・セキュリティパッチ・ウイルス対策ソフト・ログ）と同ページ掲載の図表データを参照（確認日2026年10月31日）（2026年11月確認）
- *2 参考：独立行政法人情報処理推進機構（IPA）「ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～」Ver.1.2（2026年9月8日）（https://www.ipa.go.jp/security/todokede/crack-virus/ransomware_lessons_learned.html）。出典：1 概要、2 ランサムウェア事案の特性、3.1〜3.4、4.1〜4.5（PDF）を参照（確認日2026年10月31日）（2026年11月確認）
- *3 参考：JPCERTコーディネーションセンター「侵入型ランサムウェア攻撃を受けたら読むFAQ」（https://www.jpcert.or.jp/magazine/security/ransom-faq.html）。出典：Q2-1（被害を免れたバックアップの保護）、Q2-2（被害原因の特定・代表的な侵入手口）、Q3-2-1（身代金の支払い）を参照（確認日2026年10月31日）（2026年11月確認）
- *4 参考：警察庁「ランサムウェア被害防止対策」（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）。出典：被害に遭った場合の通報・相談、よくある質問、侵入経路や侵害範囲の調査を参照（確認日2026年10月31日）（2026年11月確認）
- *5 参考：個人情報保護委員会「漏えい等の対応とお役立ち資料」（https://www.ppc.go.jp/personalinfo/legal/leakAction/）。出典：漏えい等報告について（報告の期限、漏えい等報告が必要な場合（3））を参照（確認日2026年10月31日）（2026年11月確認）
