ランサムウェア対策の完全ガイド【2026年版】企業がすべき12の対策

ランサムウェア対策の完全ガイド【2026年版】企業がすべき12の対策

ランサムウェアによる被害は、2026年においても企業が直面する最大級のサイバー脅威であり続けている。業種・規模を問わず攻撃対象となる現状では、「自社は大丈夫」という前提そのものがリスクになる。本記事では、ランサムウェアの最新動向・感染経路・具体的な12の対策・バックアップ設計・EDR/XDR選定・インシデント対応手順を体系的に解説する。

1. ランサムウェアとは？2026年の最新動向

基本的な仕組み

ランサムウェア（Ransomware）は、感染した端末・サーバー上のファイルを暗号化し、復号と引き換えに身代金（Ransom）を要求するマルウェアの総称だ。近年は単なる暗号化にとどまらず、機密データを外部に窃取したうえで「公開するぞ」と脅す二重脅迫（Double Extortion）が標準手法となっている。さらに2024年以降は三重・四重脅迫——取引先・顧客への直接連絡や、被害企業の業界規制当局への通報——も確認されている。

2026年の被害実態

攻撃グループはRaaS（Ransomware as a Service）モデルで運営されており、技術力の低い犯罪者でも高度な攻撃を実行できる環境が整っている。LockBit・BlackCat（ALPHV）系の後継グループや、AIを活用してフィッシングメールを自動生成する新興グループが台頭している。

国内の注目事例（2025〜2026年）

• 製造業大手サプライチェーン経由の被害： 取引先中小企業のVPN機器を踏み台に本社ネットワークへ侵入。生産ラインが数週間停止。
• 医療機関へのランサムウェア攻撃： 電子カルテシステムが全停止し、診療制限が2か月以上継続。
• 自治体クラウド環境での感染： 適切なセグメント分割がなかったため、バックアップ領域まで暗号化される被害。

これらの事例が示すとおり、ランサムウェアは単なる「ITの問題」ではなく、事業継続を直撃するリスクへと進化している。

2. 主な感染経路5つ

攻撃者がランサムウェアを企業ネットワークに持ち込む手口を理解することが、対策の出発点になる。

経路①：VPN機器・公開サーバーの脆弱性悪用

企業のリモートアクセス環境として普及したVPN機器は、攻撃者の主要ターゲットだ。パッチ未適用の機器は、認証なしで内部ネットワークへの足がかりになる。Fortinet・Ivanti・Citrixなどの脆弱性は、公開後数日以内に悪用される事例が相次いでいる。

経路②：フィッシングメール・スピアフィッシング

請求書・配送通知・業務連絡を装ったメールに添付されたOfficeマクロやLNKファイルが入口になる。2025年以降はAI生成の日本語フィッシングメールが精度を高めており、従来の「不自然な日本語」では見分けがつかないケースが増えている。

経路③：RDP（リモートデスクトッププロトコル）の不正アクセス

インターネットに直接公開されたRDPポート（3389/TCP）に対するブルートフォース攻撃や、窃取した認証情報を使ったリスト型攻撃が依然として多い。テレワーク導入時に暫定的に開放したRDPがそのまま放置されているケースは珍しくない。

経路④：サプライチェーン攻撃（委託先・ソフトウェア経由）

セキュリティ対策が手薄な委託先企業を踏み台にして、本来の標的企業へ侵入するパターン。ソフトウェアのアップデート機構に悪意あるコードを混入させる「ソフトウェアサプライチェーン攻撃」も増加している。自社のセキュリティ強化だけでは防ぎきれない脅威だ。

経路⑤：内部犯行・権限の悪用

退職予定者・不満を持つ従業員・外部委託先スタッフによる意図的な感染事例も報告されている。また、内部権限を持つアカウントが侵害された場合、攻撃者はセキュリティソフトを無効化しながら横展開できるため、被害が深刻になりやすい。

3. 企業がすべき12の対策

以下の12項目は、優先度と実施コストを考慮して整理した。上位から順に着手するのが効果的だ。

対策1：ソフトウェア・ファームウェアの迅速なパッチ適用

OS・アプリケーション・VPN機器・ファイアウォールのファームウェアを、脆弱性公表後72時間以内を目標にアップデートする体制を構築する。パッチ管理ツール（WSUS・SCCM・Automox等）を用いて適用状況を一元管理し、未適用端末を即座に検出できる仕組みが必要だ。

対策2：多要素認証（MFA）の全社展開

VPN・クラウドサービス・特権アカウントへのアクセスにMFAを義務付ける。認証アプリ（TOTP）またはFIDO2ハードウェアキーが推奨される。SMSによるOTPはSIMスワップ攻撃に脆弱なため、重要システムへの適用には不向きだ。

対策3：ネットワークのセグメント分割とゼロトラスト化

業務系・管理系・バックアップ系・OT（工場・設備）系を分離し、セグメント間通信を最小限に制限する。ゼロトラストアーキテクチャの考え方に基づき、「内部ネットワークは安全」という前提を捨て、すべての通信を認証・検証する設計が有効だ。

対策4：特権アクセス管理（PAM）の導入

ドメイン管理者・ローカル管理者・サービスアカウントなどの特権ID を集中管理するPAM（Privileged Access Management）ソリューションを導入する。特権アカウントの認証情報はボルト（金庫）に格納し、必要時のみ払い出す設計にすることで、認証情報の窃取・横展開を抑止できる。

対策5：エンドポイント保護（EDR/XDR）の導入

従来型のウイルス対策ソフトでは検知が難しいファイルレス攻撃・難読化マルウェアに対応するため、振る舞い検知型のEDR（Endpoint Detection and Response）またはXDR（Extended Detection and Response）を導入する。詳細は「5. EDR/XDRの役割と選び方」で解説する。

対策6：メールセキュリティの強化

フィッシングメールを組織の入口でブロックするため、以下を組み合わせる。

対策7：脆弱性診断・ペネトレーションテストの定期実施

攻撃者が侵入経路として狙う公開サーバー・VPN機器・Webアプリケーションに対して、年1回以上の脆弱性診断を実施する。さらに実際の攻撃者視点で侵入可能性を検証するペネトレーションテスト（侵入テスト）を組み合わせることで、パッチ適用漏れや設定ミスを事前に発見できる。

対策8：不要なサービス・ポートの閉鎖

インターネットに公開されているポートを棚卸しし、業務上不要なもの（RDP・SMB・Telnet等）を閉鎖する。Attack Surface Management（ASM）ツールを活用して、外部から見えている資産を定期的にスキャンすることが有効だ。

対策9：従業員へのセキュリティ教育

技術的対策だけでは防げない人的要因に対処するため、以下を定期的に実施する。

• フィッシングメール・ソーシャルエンジニアリングの識別訓練（年2回以上）
• 不審なファイル・リンクを開いた際の即時報告フローの周知
• 持ち込みデバイス・私的クラウドストレージの利用ルール徹底

対策10：ログの収集・監視（SIEM/SOC）

攻撃者がランサムウェアを展開するまでには、侵入後に数日〜数週間の「滞留期間」がある。この間に異常なログイン・ラテラルムーブメント・大量ファイルアクセスなどの兆候をSIEM（Security Information and Event Management）で検出できれば、暗号化前に食い止められる可能性がある。24時間365日の監視体制が確保できない場合は、外部SOCの活用を検討する。

対策11：インシデント対応計画（IRP）の整備と訓練

感染が発生した場合の行動手順をIRP（Incident Response Plan）として文書化し、年1回以上の机上演習（テーブルトップ演習）を実施する。「誰が何を判断するか」「いつ経営層・顧客・監督官庁へ報告するか」が明確でないと、初動対応が遅れ被害が拡大する。

対策12：サイバー保険の検討

技術的対策を講じたうえで、残存リスクに対応するサイバー保険の加入を検討する。保険会社が要求するセキュリティ要件（MFA・EDR・バックアップ等）を満たすことで、保険料の低減にもつながる。ただし保険はあくまでも最後の手段であり、対策の代替にはならない。

4. 特に重要なバックアップ設計（3-2-1ルール）

ランサムウェアの被害を受けた際に身代金を支払わずに復旧できるかどうかは、バックアップ設計の質で決まる。最低限の基準として知られるのが「3-2-1ルール」だ。

3-2-1ルールとは

ランサムウェア対策で追加すべき「+1」

近年は3-2-1に加えて「イミュータブル（不変）バックアップ」の確保が必須とされる。

• イミュータブルストレージ： AWS S3 Object Lock・Azure Blob Storage（不変ポリシー）・テープなど、一定期間は上書き・削除が不可能なストレージに保存する。
• エアギャップ（ネットワーク切断）： バックアップ先をメインネットワークから物理的または論理的に切り離し、ランサムウェアがバックアップにアクセスできないようにする。
• オフライン保管： 磁気テープを定期的にオフラインで保管する手法は、サイバー攻撃に対して最も強固な方法のひとつだ。

バックアップ検証の重要性

バックアップが存在していても、復元テストを実施していなければ「いざというとき復旧できない」リスクがある。以下を定期的に確認する。

• 四半期に1回以上の実際の復元テスト
• 復元所要時間（RTO）・復元ポイント目標（RPO）の計測と記録
• バックアップデータの整合性チェック（ハッシュ値検証）

5. EDR/XDRの役割と選び方

EDR・XDRとは何か

EDR（Endpoint Detection and Response） は、エンドポイント（PC・サーバー）上の挙動をリアルタイムで監視し、不審なプロセス・ファイル操作・ネットワーク通信を検出・対応するセキュリティ製品だ。従来型アンチウイルス（シグネチャベース）が既知マルウェアの「見つけて止める」ことに特化しているのに対し、EDRは「侵入後の挙動を追跡して封じ込める」能力を持つ。

XDR（Extended Detection and Response） はEDRの拡張版で、エンドポイントに加えてネットワーク・クラウド・メール・アイデンティティなどの複数レイヤーのデータを統合分析する。より広範な攻撃の全体像を把握できる点が特徴だ。

ランサムウェア対策におけるEDR/XDRの効果

製品選定の視点

EDR/XDRの選定では、以下の観点を評価する。

1. 検知率と誤検知率： MITREのATT&CKエバリュエーション（年次評価）や独立機関のテスト結果を参照する。検知率が高くても誤検知が多ければ運用負荷が上がる。

2. 運用リソース： EDR/XDRは導入するだけでは機能しない。アラートをトリアージし対応するアナリストが必要だ。社内に専任担当者を置けない場合は、MDR（Managed Detection and Response）サービスの活用が現実的な選択肢になる。

3. 既存環境との統合： Microsoft Defenderエコシステム（Intune・Entra ID・Sentinel）やSIEM製品との連携のしやすさを確認する。

4. レスポンス機能の範囲： 端末の隔離・プロセス終了・ファイル削除をリモートで実行できるか確認する。対応が遅れるほど被害が広がるため、対応の自動化・半自動化が可能かが重要だ。

6. 感染後のインシデント対応手順

ランサムウェアに感染したことを検知した場合、以下の手順で対応する。パニックになって誤った行動（不用意な再起動・感染端末のシャットダウンによるメモリ証跡の消失等）を取ると、復旧が困難になる。

フェーズ1：封じ込め（発覚後〜数時間以内）

1. 感染端末のネットワーク切断： 有線LANケーブルを抜く・無線LANを無効化する。ただし電源は切らない（フォレンジック調査でメモリ情報が重要になるため）。
2. 感染範囲の特定： EDRコンソール・ログ・ファイルサーバーの暗号化状況を確認し、感染が拡大している端末・サーバーをリストアップする。
3. 共有フォルダ・バックアップへのアクセス遮断： 感染端末からバックアップサーバーへの通信を即座に遮断する。
4. インシデント対応チームの招集： IT担当者・情報セキュリティ責任者・経営層・法務・広報のキーパーソンを招集し、指揮命令系統を確立する。

フェーズ2：調査・評価（数時間〜24時間）

1. ランサムウェアの種類を特定： 身代金要求メモ・暗号化ファイルの拡張子・既知のランサムウェアデータベース（ID Ransomware等）を活用して種類を特定する。既知の亜種であれば、無料の復号ツールが存在する場合がある。
2. 侵入経路の調査： ファイアウォールログ・VPNログ・メールログ・EDRのタイムラインを分析し、侵入ポイントと攻撃者の行動経路を再構成する。
3. データ流出の確認： C2サーバーへの通信ログ・クラウドストレージへの大量転送ログを確認し、情報流出の有無と範囲を評価する。
4. バックアップの安全確認： バックアップが感染していないか、最新のクリーンなバックアップポイントがいつかを確認する。

フェーズ3：報告・通知（法的義務の確認）

身代金の支払いは、原則として推奨しない。 支払いが復号を保証しないうえ、資金が次の攻撃に使われる可能性がある。また、制裁対象国や組織への支払いは国際法・米国OFAC規制に抵触するリスクがある。判断に迷う場合は、専門家（インシデントレスポンス専門会社・弁護士）に相談する。

フェーズ4：復旧（数日〜数週間）

1. クリーンな環境の再構築： 感染したシステムを初期化し、クリーンなバックアップから復元する。既存の環境をそのまま修復しようとすると、バックドアが残存するリスクがある。
2. 段階的な業務再開： 最優先業務から順に復旧し、完全復旧まで代替手段で業務を継続する。
3. 侵入経路の閉鎖： 調査で判明した侵入経路（脆弱性・設定ミス・不正アカウント）を修正してから、ネットワークに接続する。
4. 事後レビュー（ポストモーテム）： 攻撃のタイムライン・対応の課題・改善点を文書化し、次の対策に反映させる。

7. AEVUSのランサムウェア対策支援

ランサムウェアへの対策は多岐にわたるため、「何から始めればよいかわからない」「社内リソースが足りない」という課題を抱える企業は少なくない。AEVUSは、ランサムウェア対策に必要な技術的支援を一貫して提供している。

AEVUSが提供する主な支援内容

ペネトレーションテスト（侵入テスト） 攻撃者の視点で企業ネットワーク・Webアプリケーション・VPN機器の侵入可能性を検証する。発見した脆弱性を優先度付きのレポートとして提供し、修正後の再検証まで対応する。

脆弱性診断 公開サーバー・内部システム・クラウド環境を対象に、既知の脆弱性・設定ミスを網羅的にスキャンする。定期的な診断によって、パッチ適用漏れや設定変更による新たなリスクを早期に発見できる。

インシデントレスポンス支援 ランサムウェア感染が発生した場合、フォレンジック調査・感染範囲の特定・復旧支援・証跡保全を行う。有事の際の緊急連絡先として、事前に契約しておくリテーナー型のサービスも提供している。

セキュリティアセスメント 現在のセキュリティ態勢を体系的に評価し、12の対策のうちどこにギャップがあるかを可視化する。優先度・コスト・実現可能性を踏まえたロードマップを提示する。

ランサムウェア対策の現状を点検したい場合、または具体的な対策計画の策定を検討している場合は、AEVUSへ相談してほしい。

ペネトレーションテスト・セキュリティ診断のお問い合わせはこちら

まとめ

本記事で解説したランサムウェア対策の要点を整理する。

ランサムウェアに対して100%の防御は存在しない。「感染しないための対策」と「感染しても事業を継続・復旧できる備え」の両輪を整えることが、2026年における企業のランサムウェア対策の本質だ。

本記事はAEVUS株式会社が作成した情報提供を目的としたコンテンツです。記載の情報は執筆時点のものであり、最新の脅威動向については各種セキュリティ機関の情報も併せてご確認ください。

関連記事

• マルウェア対策ガイド【2026年版】感染経路・検知・企業の対応手順
• サイバー攻撃の最新事例【2026年版】業種別被害と対策まとめ
• 情報漏洩対策ガイド【2026年版】原因・事例・企業が取るべき予防策