2026年のランサムウェア被害動向：依然として最大の脅威
IPAが発行する「情報セキュリティ10大脅威2026（組織編）」において、「ランサムウェアによる被害」は4年連続で第1位を記録しました。警察庁の「令和6年（2024年）におけるサイバー空間をめぐる脅威の情勢等について」では、ランサムウェア被害の報告件数は前年比増加を続けており、被害企業の約50%が中小企業であることが明らかになっています。
「大企業の話だろう」という認識は危険です。むしろ、セキュリティ体制が手薄な中小企業こそが攻撃者の主要ターゲットになっています。本記事では2026年時点の最新動向を踏まえた、企業向けランサムウェア対策チェックリストを提供します。
【2026年版】感染経路ランキングTOP5
警察庁統計・IPA調査・海外インシデントレポート（IBM X-Force 2024、Mandiant M-Trends 2024）をもとにした、国内企業のランサムウェア感染経路ランキングです。
順位 | 感染経路 | 割合（目安） | 代表的な手口 |
|---|---|---|---|
1位 | VPN機器の脆弱性悪用 | 約32% | 未パッチのVPNアプライアンス（Fortinet・Pulse等）への攻撃 |
2位 | フィッシングメール | 約25% | 添付ファイル・悪意あるURLからの初期侵入 |
3位 | リモートデスクトップ（RDP）の不正アクセス | 約18% | 弱いパスワード・公開されたRDPポートへのブルートフォース |
4位 | サプライチェーン経由 | 約12% | 委託先・ソフトウェアベンダー経由での侵入 |
5位 | 内部関係者・認証情報の漏洩 | 約8% | 窃取したID/パスワードの悪用、インサイダー行為 |
2026年に注目すべきトレンド
AIを活用したフィッシングの高度化：ChatGPTなどのAI技術を使って、違和感のない日本語フィッシングメールが急増しています。従来の「日本語が不自然なメール」を見分けるスキルだけでは対応できなくなっています。
二重恐喝（Double Extortion）の標準化：データを暗号化するだけでなく、事前にデータを盗み出して「身代金を払わなければ公開する」と脅す手口が当たり前になっています。バックアップがあっても被害が発生します。
Ransomware as a Service（RaaS）の普及：技術力の低い攻撃者でもRaaSを使えばランサムウェア攻撃が実行可能になっており、攻撃の裾野が広がっています。
【チェックリスト】技術的対策20項目
ネットワーク・境界防御（6項目）
- ☐ VPN機器のファームウェアを最新版に更新している（毎月確認）
CVE情報を定期確認。Fortinet・Cisco・Pulse Secureなど主要ベンダーのセキュリティアドバイザリを購読する - ☐ RDP（3389番ポート）をインターネットに直接公開していない
RDPはVPN経由のみアクセス可能にする。公開が必要な場合はIP制限とMFAを設定 - ☐ ファイアウォールで不要なポートを閉鎖している
定期的にポートスキャンを実施して開放ポートを確認。不要なポートは即座に閉鎖 - ☐ ネットワークセグメンテーションを実施している
重要業務システムと一般PCのネットワークを分離。感染が広がりにくい構成にする - ☐ メールセキュリティゲートウェイ（DMARC・DKIM・SPF）を設定している
なりすましメールのフィルタリング。Microsoft 365ではExchange Online Protectionを有効化 - ☐ Webプロキシ・URLフィルタリングを導入している
悪意あるサイトへのアクセスをブロック。カテゴリフィルタリングで未知の悪性サイトにも対応
エンドポイント防御（5項目）
- ☐ EDR（Endpoint Detection and Response）を全端末に導入している
従来型アンチウイルスではランサムウェアの検知率が低い。CrowdStrike・SentinelOne・Microsoft DefenderなどのEDRを導入 - ☐ OSおよびソフトウェアのパッチを遅延なく適用している
重大な脆弱性（CVSS 9.0以上）は72時間以内に適用。WSUS・Intuneなどで自動配布を設定 - ☐ 管理者権限を最小化している（最小権限の原則）
一般業務用アカウントに管理者権限を付与しない。Windows LAPS（Local Administrator Password Solution）の活用 - ☐ USBメモリなど外部記憶媒体の使用を制限している
グループポリシーで制御。業務上必要な場合は許可リスト制限にする - ☐ アプリケーション実行の制御を検討している
Windows Defenderアプリケーション制御（WDAC）やAppLockerで未知のプログラム実行をブロック
ID・認証管理（5項目）
- ☐ 多要素認証（MFA）を全ユーザーに適用している
Microsoft 365・VPN・特権アカウントへのログインには必ずMFAを要求 - ☐ パスワードポリシーを強化している（長さ12文字以上・複雑性要件）
パスワードマネージャーの導入を推奨。「漏洩時の即時変更」を重視するポリシーが現在のベストプラクティス - ☐ 特権アカウントの使用を制限・監視している
日常業務に管理者アカウントを使用しない。特権操作はPIM（Privileged Identity Management）で管理 - ☐ 休眠アカウントを定期的に削除・無効化している
退職者や長期休暇中の社員アカウントを放置しない。四半期ごとに棚卸しを実施 - ☐ 認証ログを収集・監視している
異常なログイン試行（時間外・海外IPなど）をSIEM・SOCで検知
バックアップ・復旧（4項目）
- ☐ バックアップを「3-2-1ルール」で管理している
3つのコピー・2種類のメディア・1つはオフサイト（クラウドまたはオフライン）。バックアップをネットワーク切り離しで保護 - ☐ バックアップからの復旧テストを定期実施している（最低年1回）
「バックアップはあるが復旧できなかった」ケースを防ぐ。復旧手順書も整備 - ☐ バックアップデータが本番と同期して暗号化されない構成になっている
本番環境と同期しているバックアップは感染時に一緒に暗号化される。世代管理とオフライン保存が重要 - ☐ 重要データの保護レベルを分類している（データクラシフィケーション）
機密情報・個人情報・公開情報を分類し、重要度に応じたバックアップ頻度・保護レベルを設定
【チェックリスト】運用・体制面の対策10項目
- ☐ セキュリティポリシーを文書化し、全従業員が参照できる状態にしている
- ☐ セキュリティ教育・訓練を年2回以上実施している（フィッシングメール訓練含む）
- ☐ インシデント対応手順書（IRP）を作成・整備している
- ☐ インシデント発生時の連絡先リスト（ベンダー・警察・JPCERT等）を整備している
- ☐ サードパーティ・委託先のセキュリティ管理基準を設けている
- ☐ 定期的な脆弱性診断・ペネトレーションテストを実施している
- ☐ クラウドサービスのセキュリティ設定を定期的に見直している
- ☐ セキュリティインシデントの報告体制（経営層への報告フロー）を整備している
- ☐ サイバー保険への加入を検討・評価している
- ☐ BCP（事業継続計画）にサイバー攻撃シナリオを組み込んでいる
感染が疑われた時の初動対応フロー
ランサムウェアに感染した（または感染が疑われる）場合、初動の速さが被害の拡大を左右します。
- 感染端末をネットワークから即時切断（LANケーブル抜去 / Wi-Fi無効化）
※シャットダウンは一時保留 — フォレンジック証拠が失われる可能性あり - 周辺端末・共有フォルダの感染拡大確認
- 経営層・セキュリティ責任者への即時報告
- 外部専門家（CSIRT・セキュリティベンダー）への連絡
- 警察への被害届（任意だが推奨）→ 都道府県警察のサイバー犯罪相談窓口
- バックアップからの復旧計画の策定
- 根本原因分析（RCA）と再発防止策の実施
身代金について：IPAおよびCISAは身代金の支払いを推奨していません。支払っても復号されない事例も多く、「払った企業は次回も払う」として再度攻撃されるリスクもあります。
中小企業向け：優先順位付き対策ロードマップ
「全部は難しい」という中小企業向けに、予算・工数別の優先順位を整理します。
今すぐ無料でできること（コスト0）
- Windows UpdateとMicrosoft 365のパッチ適用確認
- RDPポートのインターネット公開停止
- Microsoft 365 Security Defaults（セキュリティの既定値群）の有効化 → MFA強制
- 管理者権限を持つアカウントの棚卸し
低予算でできること（月数万円〜）
- クラウドバックアップサービスの導入（Microsoft 365バックアップ等）
- EDR導入（Microsoft Defender for BusinessはMicrosoft 365 Business Premiumに含まれる）
- フィッシングメール訓練サービスの活用（年1〜2回）
本格的な対策（年間数百万円〜）
- 脆弱性診断・ペネトレーションテストの定期実施
- SOCサービスの導入（24/7監視）
- インシデントレスポンス体制の整備（CSIRT構築 or 外部IR契約）
部門別ランサムウェア対策チェックリスト
ランサムウェア対策は組織全体で取り組む必要があります。IT部門だけでなく、経営層や一般従業員それぞれが担うべき役割を明確にし、各部門が責任を持って対策を実施することが重要です。
IT部門が実施すべき対策
- エンドポイント保護ソフト（EDR/EPP）を全端末に導入し、定義ファイルを自動更新する設定になっているか確認する
- OSおよびすべてのソフトウェアに対してパッチ管理プロセスを確立し、重大な脆弱性は72時間以内に適用できる体制を整える
- 3-2-1ルール（3か所・2種類のメディア・1か所はオフサイト）に基づくバックアップを実施し、復元テストを四半期ごとに行う
- ネットワークをセグメント化し、業務系・管理系・ゲスト系を分離することで横展開（ラテラルムーブメント）を抑制する
- 多要素認証（MFA）をVPN・リモートデスクトップ・クラウドサービスを含む全ての外部接続に適用する
- 特権アカウント（管理者権限）の最小権限原則を徹底し、日常業務での管理者アカウント使用を禁止する
- SIEM・ログ管理ツールを活用し、異常な通信・大量ファイル操作・深夜帯のアクセスをリアルタイムで検知できる体制を構築する
- メールセキュリティゲートウェイを導入し、不審な添付ファイルやフィッシングリンクを自動的にフィルタリングする
- インシデント発生時の連絡先・手順・ツールをまとめたインシデント対応プレイブックを作成・更新する
- 年1回以上のランサムウェア侵害想定訓練（テーブルトップ演習または模擬攻撃）を実施し、対応手順の有効性を検証する
経営層が実施すべき対策
- 情報セキュリティ方針を文書化し、全従業員に周知するとともに、年1回以上の見直しを行うことを経営レベルで承認する
- サイバーセキュリティ対策への予算を年次計画に明示的に組み込み、IT部門の要請に基づいた適切な投資を判断する
- 主要取引先・重要顧客・規制当局・メディアへの連絡方法と責任者を定めたコミュニケーション計画を事前に策定する
- サイバー保険の加入状況を確認し、ランサムウェア被害がカバーされているか、補償額が現状のリスクに見合っているかを評価する
- 事業継続計画（BCP）にランサムウェア被害シナリオを明示的に組み込み、システム停止時の代替手段を経営判断として定める
- 主要なサプライヤー・クラウドベンダーのセキュリティ対策状況を定期的に確認するサードパーティリスク管理の仕組みを設ける
- インシデント発生時の意思決定権限と連絡系統を明確化し、経営層が迅速に判断できる承認フローを確立する
- 個人情報保護法・業界規制に基づく報告義務（72時間以内の当局への報告義務など）を把握し、対応責任者を指定する
- セキュリティ状況を定期的にボードレベルで報告させる仕組みを設け、主要KPI（パッチ適用率・訓練参加率など）を経営指標として管理する
- 身代金支払いに関する方針をあらかじめ定め、法的・倫理的観点からの判断基準を整理しておく
一般従業員が実施すべき対策
- 業務メールに添付された文書ファイル・リンクURLは、送信者に電話等の別経路で確認が取れない限り、不審と判断したら開かない
- フィッシングメールの特徴（送信元ドメインの不一致・緊急を煽る文面・不自然な日本語）を学習し、受け取った際のIT部門への報告手順を把握する
- 業務で使用するすべてのシステムに対して、推測されにくいパスワードを設定し、システムごとに異なるものを使用する
- 業務データを個人のUSBメモリ・個人クラウドストレージ・個人端末に無断で保存・持ち出しを行わない
- 端末の動作が異常に遅い・ファイルが開けない・見知らぬ拡張子に変わっているなど不審な状況が発生した場合は、直ちにIT部門へ連絡する
- 年1回以上実施されるセキュリティ研修・フィッシング訓練に必ず参加し、最新の脅威動向を継続的に学習する
ランサムウェア感染発生時の初動対応フロー
ランサムウェアに感染した際の初動対応の速さと適切さが、被害範囲の拡大を防ぐ上で最も重要です。
- 第1段階：検知（発生から0〜15分）
被害を最初に発見した従業員から、発見日時・端末名・異常の具体的な症状（ファイル名の変化・身代金要求画面の表示など）を聞き取ります。IT部門の担当者およびインシデント対応責任者に即時連絡し対応チームを招集します。EDRツール・SIEMコンソール・ファイアウォールログを確認し、感染端末の特定と通信先IPアドレスの洗い出しを開始します。感染が確認された端末のユーザーに対して、以降の操作（ファイルの削除・再起動・ウイルス対策ソフトによるスキャン）を行わないよう指示します。
- 第2段階：隔離（発生から15〜60分）
感染の拡大を防ぐため、感染端末およびその周辺システムをネットワークから切り離します。感染が確認された端末のネットワークケーブルを物理的に抜き、無線LAN接続もOFFにします（電源は切らない：フォレンジック調査のためメモリ情報を保持する）。同一セグメントに存在する他の端末・サーバーについて異常がないかを確認し、感染端末が接続していた共有フォルダ・ファイルサーバーへのネットワークアクセスを一時遮断します。バックアップシステムが感染していないことを確認し、安全が確認できるまでバックアップ処理を停止します。
- 第3段階：証拠保全（発生から1〜4時間）
法的手続き・保険申請・フォレンジック調査のために、感染状態の証拠を適切に保全します。感染端末のメモリダンプと、フォレンジック対応の方法でディスクイメージを取得します。ネットワーク機器・サーバー・セキュリティ機器のログを安全な場所にエクスポートし、身代金要求画面・暗号化されたファイルのスクリーンショットを撮影します。警察のサイバー犯罪相談窓口への報告・相談も実施します。
- 第4段階：復旧（発生から4時間〜数日）
感染端末の駆除と業務システムの復旧を段階的に実施します。復旧に使用するバックアップデータの完全性と安全性を検証し、感染端末はOSを完全に再インストールしてバックアップからデータを復元します（感染状態のままの修復は行わない）。業務継続計画（BCP）に基づいて最優先で復旧すべきシステムの順番を決定し、本番環境に戻す前に隔離されたテスト環境で動作確認を実施します。
- 第5段階：再発防止（復旧完了後1〜4週間）
インシデントの全体像が明らかになった後、根本原因を分析して再発防止策を講じます。感染の起点となった脆弱性を特定し、同種の脆弱性が組織内に残存していないかを全面的に点検します。対応プレイブック・BCPを今回のインシデントの教訓を踏まえて更新し、外部のセキュリティ専門家によるペネトレーションテストまたはレッドチーム演習を実施して残存するリスクを洗い出します。
ランサムウェア対策の優先順位付けフレームワーク
限られた予算・人員・時間の中でランサムウェア対策を効果的に進めるためには、優先順位の明確化が不可欠です。「重要度（実施しない場合のリスクの大きさ）」と「実施難易度」の2軸で対策を分類します。
即実施すべき対策（重要度：高 / 実施難易度：低）
対策項目 | 目的・期待効果 | 目安となる工数 |
|---|---|---|
OSおよびブラウザの自動更新を有効化 | 既知脆弱性を悪用した侵入を防止。ゼロコストで実施可能な最重要対策 | 1〜2時間（全端末設定確認） |
重要データの3-2-1バックアップ開始 | 暗号化被害からの復旧手段を確保。身代金支払いの回避に直結 | 1〜3日（設計〜初回バックアップ） |
VPN・クラウドサービスへのMFA適用 | パスワード漏洩後の不正アクセスを防止。最も費用対効果の高い対策のひとつ | 2〜5日（設定〜ユーザー周知） |
不要な管理者権限の剥奪・最小権限化 | 感染時の被害範囲を制限し、ランサムウェアの横展開を抑制 | 2〜3日（棚卸し〜権限変更） |
RDPの外部公開を停止またはVPN経由のみに制限 | ランサムウェアの主要な侵入経路を遮断 | 半日〜1日 |
計画的に実施すべき対策（重要度：高 / 実施難易度：高）
対策項目 | 目的・期待効果 | 目安となる導入期間 |
|---|---|---|
EDR（Endpoint Detection and Response）の全端末導入 | 既知・未知のマルウェアをリアルタイムで検知・隔離 | 1〜3か月 |
ネットワークセグメンテーションの実施 | 感染の横展開を物理的・論理的に制限し、被害範囲を最小化 | 2〜6か月 |
メールセキュリティゲートウェイの導入 | フィッシングメール・不正添付ファイルを組織全体で自動遮断 | 1〜2か月 |
インシデント対応プレイブックの整備と訓練 | 有事の対応速度を向上させ、判断ミスによる被害拡大を防止 | 2〜3か月 |
バックアップ・MFA・パッチ管理の3つは最低限かつ最優先で整備すべき対策であり、これらが揃っているだけでランサムウェア被害の深刻化を大幅に抑制できます。経営層はこのマトリクスを投資判断の根拠として活用し、優先度の高い対策から予算を確保することが求められます。
まとめ：ランサムウェア対策は「全滅を防ぐ」設計で
ランサムウェア攻撃は「100%防ぐ」ことはできません。重要なのは、感染しても事業を継続できる体制を作ること、そして感染の拡大を最小化することです。
バックアップ・ネットワーク分離・EDR・MFAの4つは最低限整備すべき対策です。その上で、定期的な脆弱性診断によって攻撃者が悪用する「穴」を先に塞いでいくことが、中長期的な防御の柱になります。
AEVUSでは、ランサムウェア対策の観点を踏まえたペネトレーションテスト・脆弱性診断を提供しています。「自社にどんな穴があるか知りたい」という方はお気軽にご相談ください。
