中小企業のランサムウェア対策侵入の入口をふさぐ基本

ランサムウェアとは？中小企業の被害はどのくらい多いのか

ランサムウェアは、会社のパソコンやサーバーのデータを勝手に暗号化して使えなくし、「元に戻してほしければお金を払え」と要求する不正なプログラムです。最近は、先にデータを盗み出し、「払わなければ公開する」と重ねて脅す手口が多くなっています。

警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）によると、2026年1〜6月の被害報告は123件で、半期としては統計を取り始めてから最多でした。内訳は中小企業79件、大企業31件、団体等13件です。2025年の1年間でも、226件のうち143件が中小企業でした。

被害は重くなりがちです。同じ報告のアンケートでは、調査と復旧に合計1,000万円以上かかった組織が全体の6割を占め、1か月未満で復旧できた組織は5割弱にとどまりました。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」です。11年連続で選ばれています。

報告件数は、警察に届け出があった数です。届け出ていない被害は含まれません。

ランサムウェアの感染経路：入口は VPN 機器とリモートデスクトップに集中

「怪しいメールを開いたら感染する」という印象が強いかもしれません。けれども警察庁の報告は、インターネット側から機器に直接入り込む手口が多くを占め、メールの添付ファイルからの感染は少なくなっている、と書いています。

VPN 機器は、社外から社内のネットワークに安全につなぐための機械です。リモートデスクトップは、離れた場所から会社のパソコンを操作する仕組みです。どちらも「外から中に入るための入口」なので、更新が止まっていたり、パスワードが弱かったりすると、そのまま攻撃者の入口になります。

入口が決まっているということは、ふさぐ場所も決まっているということです。全部を一度に守ろうとしなくて大丈夫です。

侵入の入口と、ふさぎ方の一覧

自社のドメインをかたるメールが取引先に届く問題は、送信ドメインの設定で減らせます。設定のしかたはなりすましメール対策（SPF・DMARC）の解説にまとめています。

中小企業のランサムウェア対策チェックリスト（効果が大きく、お金がかからない順）

1. 1

   外とつながる機器を更新する

   ルーターや VPN 機器の管理画面を開き、ファームウェアの版と更新日を見ます。メーカーのサポートページで最新の版と、その機種のサポート期限を確かめます。設置した業者がいれば「最後に更新したのはいつですか」と聞くのが早道です。

2. 2

   使っていない遠隔操作の入口を閉じる

   ルーターの「ポート開放」「ポート転送」の画面に、3389番（リモートデスクトップ）などの転送が残っていないかを見ます。在宅勤務のために急いで作った設定が、そのまま残っていることがあります。使っていなければ削除します。

3. 3

   ログインを2段階にする（多要素認証）

   パスワードに加えて、スマートフォンのアプリなどで確かめる方式です。優先は、VPN、メール（Microsoft 365・Google Workspace）、管理者の画面の順です。パスワードが盗まれても、それだけでは入れなくなります。

4. 4

   バックアップを切り離して置き、戻せるか試す

   次の章の「3-2-1」の考え方で取ります。半年に1度は、実際にファイルを1つ戻してみます。

5. 5

   権限を必要な分だけにする

   ふだん使うアカウントから管理者の権限を外します。共有フォルダーは、全員が全部を書き換えられる状態をやめます。1台が感染しても、広がる範囲が小さくなります。

6. 6

   社員に伝える

   「おかしいと思ったら線を抜いて、すぐ知らせる。叱らない」と決めておきます。連絡先（社長・業者・警察）を紙に書いて貼っておくと、画面が使えなくなっても動けます。

バックアップは「3-2-1」で：取っていても戻せない会社が多い

警察庁の2026年上半期のアンケートでは、回答した50件のうち44件がバックアップを取っていました。ところが、復元の結果を答えた40件のうち29件は「復元できなかった」としています。警察庁は、バックアップのデータも一緒に暗号化される事例が多いとして、ネットワークから切り離して保存することを勧めています。その置き方の目安が「3-2-1」です。

• 3：データは、元のものを含めて3つ持つ
• 2：2種類の違う置き場所に分ける（例：社内の保存装置と、外付けのディスク）
• 1：そのうち1つは、ネットワークから切り離すか、別の場所に置く（例：取り終えたら線を抜く外付けディスク、書き換えできない設定のクラウド保存）

大事なのは最後の「1」です。いつもつながっている保存装置だけでは、攻撃者に見つかります。

ランサムウェアに感染したら：最初の1時間にすること

1. 1

   ネットワークから切り離す

   感染したパソコンの LAN ケーブルを抜き、Wi-Fi を切ります。ほかの機器に広がるのを止めるためです。

2. 2

   電源は切らない

   警察庁は、原因の調査に必要な記録が消えることがあるので、パソコンやネットワーク機器の電源は落とさないよう呼びかけています。再起動もしません。

3. 3

   画面を写真に撮る

   脅迫文の画面、変わってしまったファイル名を、スマートフォンで撮っておきます。ランサムウェアの種類を調べる手がかりになります。

4. 4

   警察に相談する

   最寄りの警察署か、警察庁のサイバー事案に関する相談窓口へ。初動の助言や、データを戻す道具（復号ツール）の案内を受けられる場合があります。

5. 5

   お金は、まず払わない

   警察は、支払いについて「犯罪グループの活動資金になるおそれがある」「データが元に戻る保証はない」と説明しています。一部の種類は、No More Ransom で無料の復号ツールが公開されています。

一般的な相談は、IPA の情報セキュリティ安心相談窓口（電話 03-5978-7509、平日10時〜17時）でも受け付けています。ホームページの改ざんなど、ほかの被害の初動はサイトが乗っ取られたときの対応にまとめています。

自社の「開いている入口」を外から確かめる方法

攻撃者の多くは、会社を選んでから調べるのではありません。インターネットを広く自動で調べ、入口が開いている所を見つけてから入ります。同じ目線で、外から自社を見ておくと、ふさぐ場所がはっきりします。

• 会社のルーター・VPN 機器の機種名と、ファームウェアの版を書き出す
• ルーターのポート転送の一覧を見て、理由のわからない転送を業者に確かめる
• 契約しているサーバーとサブドメインを一覧にし、使っていないものを止める
• 外から自動で調べる診断（脆弱性診断）を受けて、見落としを拾う

Security Ready は、この最後の部分を自動で行うサービスです。インターネット側から、開いている入口（ポート。リモートデスクトップや VPN の入口を含みます）、既知の弱点がある古いソフト、公開されてしまっているファイルを調べ、直し方と一緒に知らせます。スタンダードの内部診断では、Windows・Linux の中の更新もれも確かめられます。初回の精密診断は無料で、お支払い情報は要りません。

できないこともあります。Security Ready は、だましのメールを止めるものではなく、ウイルス対策ソフトでもありません。バックアップを取ることも、感染した後の復旧や駆除もしません。診断で何も見つからないことは、安全の保証ではありません。入口を減らすための道具の1つとして使ってください。