対策済みでもランサムウェア被害が止まらない理由

アンチウイルスとEDR、バックアップをそろえていても、ランサムウェアの被害はなくなっていません。攻撃者は未修正の脆弱性や漏えいした認証情報を悪用して社内ネットワークへ侵入し、防御をすり抜けた時点でファイルの暗号化が始まります。

侵入を100%防ぐことがすでに現実的ではなくなった今、暗号化という最後の挙動を止められるかどうかが被害の大きさを分けます。以降では、既存の対策がどこで力を失うのか、4つの角度から確認していきます。

アンチウイルスは新種・亜種を検出しきれない

アンチウイルスソフトは、既知のマルウェアのパターンと照合して脅威を見つける仕組みを基本としています。そのため、パターンが用意されていない新種や亜種のランサムウェアが持ち込まれると、暗号化が始まるまで気づけない場合があります。

警察庁の年次報告でも、被害に遭った企業・団体へのアンケートとして、ウイルス対策ソフト等の導入状況と検出状況が集計されており、導入済みの組織が被害を受けた実態がうかがえます。検出率には限界があり、パターン照合だけで新種・亜種の暗号化を止めきることはできません。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

EDRは検知できても暗号化を止めきれない

EDR（Endpoint Detection and Response）は、端末の操作や通信の記録を集めて分析し、不審な挙動を見つけ出すセキュリティ製品です。侵入の痕跡をたどる調査には強みを発揮しますが、暗号化という行為そのものを直ちに中断する専用の機能を備えているとは限りません。

ランサムウェアの暗号化は数分でファイルを書き換えるほど速く、アラートが上がってから担当者が端末を隔離するまでの時間差の間に被害が広がります。検知できることと、暗号化を止められることは同じではありません。

バックアップは攻撃者に狙われる

バックアップを取得していても、ランサムウェアからデータを取り戻せるとは限りません。攻撃者はネットワークへ侵入した後、管理者権限の奪取を試みながら内部を探索し、重要データとあわせてバックアップの保存場所も物色します。

警察庁の報告によれば、復旧を妨害する目的でバックアップも一緒に暗号化される場合が多く、被害組織へのアンケートでは、バックアップから復元できなかった理由も集計されました。保管しているという事実だけでは、復旧の裏づけになりません。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

ランサムウェア被害は業務・費用・取引に波及する

ランサムウェアの被害は、社内システムの停止だけでは終わりません。2025年には、飲料メーカー大手がサーバーを暗号化され、製品の受注・出荷が止まったうえ、個人情報約191万件が漏えいまたはそのおそれがあると公表しました。同年の被害報告件数は226件と高水準で推移し、復旧に総額1,000万円以上を要した組織は5割を超え、1か月未満で復旧できた組織は5割強にとどまります。

取引の面でも、対策状況を可視化するSCS評価制度が2026年度末頃の開始を目指しており、委託元から対策段階の提示を受ける場面が増えます。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

WhiteDefenderなら未知の攻撃を止めて復元できる

ランサムウェア対策の弱点は、防御をすり抜けられた後に現れます。「WhiteDefender」は、従来のウイルス対策ソフトでは防ぎきれないランサムウェアの脅威に特化し、100%行動ベースのアルゴリズムで未知の攻撃も迅速に遮断するソリューションです。

暗号化の挙動を捉えて止めるTDエンジンと、原本を退避して元の状態へ戻すWRエンジンが連携し、検知から復旧までを自動で進めます。以降では、2つのエンジンがどう働くのか、順に解説します。

既存対策を補完する、ランサムウェア特化型の防御層

「WhiteDefender」は、現在導入しているアンチウイルスやEDRを入れ替えずに追加できます。既存の製品を置き換える必要がなく、現在の環境を活かしたまま「2枚目」の防御として働く軽量設計だからです。

従来のウイルス対策ソフトが既知のマルウェアを見つけて不審なファイルの侵入を防ぐのに対して、「WhiteDefender」はOSのカーネルレベルで暗号化の阻止に特化した専用の防御層を作ります。役割が重ならないため、現行の構成を組み替えることなく、不足している部分だけを補えます。

TDエンジンが暗号化の挙動を検知して遮断する

TDエンジン（Triple Defender Engine）は、ランサムウェア特有のデータの暗号化や不審な動きを、OSの深層部でリアルタイムに監視します。

シグネチャ方式に頼らずファイルの挙動から悪意ある動きを判定するため、攻撃が動き出した初期段階でフィルタリングし、被害が出る前にプロセスを強制遮断できます。監視はプロセスレベル、システムサービスレベル、カーネルレベルの3階層で同時に働きます。
ここでは、保護機能を3つ取り上げ説明します。

おとりファイルによるトラップ検知

「WhiteDefender」は、ランサムウェアトラップとしておとりファイルを配置します。攻撃側のプログラムがこのファイルを暗号化しようとした時点で、TDエンジンがトラップ検知として異常を捉えます。おとりファイルへの操作は攻撃の予兆を示す動きになるため、業務データが書き換わる前に遮断へつなげられます。

シャドウコピー保護とセルフプロテクション

シャドウコピー保護は、復元用に保存されたファイルの複製を削除・変更しようと試みる不審なプロセスを検知し、その実行を遮断します。セルフプロテクションは、「WhiteDefender」自体への外部からの改ざんや停止、削除をブロックします。攻撃側は復旧手段と防御機能を先に奪おうとするため、この2つが守りの土台になります。

スクリプトベース攻撃とファイル書き込みのブロック

プロセスレベル防御では、実行中のすべてのアプリケーションやスクリプトの行動パターンを分析し、悪意を持つプロセスを初期段階でフィルタリングします。ファイル書き込みブロックは、大量のファイルの書き換えや暗号化を検知した時点で書き込み動作を止め、保護対象のデータが壊れる前に食い止めます。

WRエンジンが原本を退避して自動復元する

WRエンジン（White Rollback Engine）は、カーネルレベルでファイルのI/O要求を最優先で捕捉し、改ざんの直前に元データをSafe Zone（安全領域）へ複製します。

不審な振る舞いを検知したときだけ対象ファイルをバックアップする選別方式のため、CPUへの負荷を最小限に抑えられます。脅威を隔離した後は、退避しておいた原本が元の場所へ自動で復元されるので、担当者が書き戻し作業に時間を取られません。対応拡張子は130種類で、必要なものは追加登録できます。

検知0秒・復元3.4秒で業務を止めない仕組み

ランサムウェアの被害規模を決めるのは、暗号化が始まってからの数秒間です。「WhiteDefender」は検知した時点ですでに復元できる状態を作り、脅威プロセスを止めたうえで正常なファイルを戻します。

検知から復元までにかかる時間は3.4秒で、フルバックアップの書き戻しに必要な数時間を数秒へ短縮できます。利用者が操作を続けている間に、対応は自動で進みます。0.0秒から3.4秒までに何が起きるのか、段階ごとに追っていきます。

参照元：WhiteDefender｜バックアップ・復旧エンジン

0.0秒：暗号化の挙動を検知する

「WhiteDefender」は、ランサムウェア特有の不正な暗号化試行を、その行動から即座に検知します。パターンファイルに依存しない100%行動ベースのアルゴリズムを採用しており、既知のマルウェアと一致するかどうかを判断材料にしていないためです。

実行中のアプリケーションやスクリプトの行動を分析し、大量のファイルを書き換えるような動きを暗号化行為として捉えます。パターンが存在しない未知のランサムウェアであっても、攻撃の予兆をつかんだ時点で検知対象になります。

0.1秒：原本を保護領域へ退避する

検知の直後、WRエンジンが原本ファイルをSafe Zone（安全領域）へ自動で退避します。カーネルレベルでファイルの入出力要求を最優先で捕捉するため、ファイルが破損する直前の正常な状態をそのまま複製できます。

バックアップの取得と、その書き込み動作が怪しいかどうかの判定は同時に進みます。退避先の安全領域は許可プロセス以外のアクセスを遮断し、ファイルの変更・削除・移動を未然に防ぎます。攻撃側が退避データへ手を伸ばせないので、元に戻せる状態が0.1秒の時点で確保されます。

1.2秒：脅威プロセスを遮断する

脅威と判定された段階で、悪意のあるプロセスを強制終了し、切り離します。プロセスが動き続ける限りファイルの書き換えは広がるため、追加被害を防ぐには実行そのものを止める必要があるからです。

攻撃側が製品自体を無力化しようとする試みも、自己防御機能が同時に防ぎます。この遮断は自動で実行され、担当者がアラートを確認して端末を隔離する初動判断を待ちません。情報システム部門が動き出す前の1.2秒の時点で、ファイルの書き換えはそれ以上進まなくなります。

3.4秒：暗号化されたファイルを自動復元する

脅威を隔離した後は、退避しておいた正常なファイルが元の場所へ自動で書き戻されます。管理者が復元操作を行う必要がないため、フルバックアップの書き戻しに数時間から数日を要する手動のやり方と比べ、業務再開までの時間が大きく縮まります。

これにより、情報システム部門は手動バックアップの書き戻しという煩雑な作業からも解放されます。保護の対象はPC内の共有フォルダと外部共有ドライブにも及び、両方向で守られます。一連の動きが3.4秒で終わるため、作業の中断は最小限にとどまります。

従来のセキュリティ対策とWhiteDefenderの違い

ランサムウェア対策の製品は、それぞれ担う役割が異なります。「WhiteDefender」は、防御から検知、対応、復旧へと進む流れのなかで、既存の対策では埋めにくい「検知」と「復旧」の間に入り、データの暗号化そのものを阻止します。

入口の防御を置き換える製品ではないため、どの範囲をどの手段が守るのかを押さえておくと、既存構成との組み合わせを判断しやすくなります。

検知：パターン照合ではなく行為を見る

「WhiteDefender」の判断基準は、ファイルが既知のパターンと一致するかどうかではなく、暗号化という行為そのものです。シグネチャ方式に依存せず、OSの深層でファイルの挙動を監視して悪意ある動きを判定します。

検知方式はDBによる事前遮断とふるまい検知、シグネチャ検知を組み合わせており、おとりファイルを使ったトラップ検知も働きます。パターンが用意されていない未知のランサムウェアでも、暗号化へ向かう動きを見せた時点で検知対象になります。

参照元：WhiteDefender｜検知・攻撃遮断エンジン

保護範囲：端末だけでなく共有フォルダも守る

保護の対象は、端末内のファイルだけにとどまりません。「WhiteDefender」はPC内の共有フォルダと外部共有ドライブを両方向で保護し、許可プロセス以外のアクセスを遮断して、ファイルの変更・削除・移動を未然に防ぎます。

業務データが集まる共有フォルダまで含めるため、守る範囲に抜けが生まれません。対応拡張子は130種類あり、業務で使う形式が含まれていない場合は追加登録もできます。シャドウコピーの削除や変更を試みる不審なプロセスも遮断するため、復元手段そのものを攻撃で奪われません。

復旧：リストア作業を待たずに戻せる

バックアップからの手動リストアには、担当者の作業時間と業務停止時間がついてきます。フルバックアップの書き戻しには数時間から数日かかり、その間は対象データを使う業務が動かせません。

「WhiteDefender」は検知した時点で原本をSafe Zone（安全領域）へ退避しているため、脅威を遮断した直後に元の場所へ書き戻せます。書き戻しは自動で進むので、管理者が復旧手順に着手する時間も要りません。復元にかかる時間の差は、そのまま業務が止まる時間の差として現れます。

参照元：WhiteDefender｜バックアップ・復旧エンジン

WhiteDefenderが選ばれる4つの理由

「WhiteDefender」を検討する段階において、機能だけでなく仕様と費用の条件が重要になるのではないでしょうか。既存のアンチウイルスやEDRを残したまま暗号化対策だけを足せるのか、旧世代の端末でも動くのか、管理の手間と費用がどれだけ増えるのかが焦点です。

専用の防御層、共存性、管理コンソール、費用という4点を押さえておけば、社内で検討するときの根拠がそろうでしょう。判断に直結する項目を、下表にまとめました。

※CPU負荷1%未満は特定の検証環境における測定値です。利用環境や攻撃内容により異なる場合があります。

※価格は2026年7月時点のものです。

参照元：WhiteDefender｜料金プラン

暗号化阻止に特化した専用レイヤーを持つ

「WhiteDefender」は、他のセキュリティ製品がすり抜けられた場面で働きます。OSのカーネルレベルで暗号化の阻止に特化した専用の防御層を形成しており、未知のウイルスが既存のセキュリティソフトを無効化・すり抜けようとしても、この層がデータの破壊活動を検知・遮断するためです。

監視はOSの最深部であるカーネルモードで動き、ファイルシステムドライバを通じてすべての入出力に及びます。入口を突破された後にも、もう一枚の壁が残ります。

既存のウイルス対策ソフトと共存できる

既存のウイルス対策ソフトと競合せず、追加の防御層として機能します。担う役割が暗号化の阻止に絞られているため、現在使用している製品を外す必要がありません。既存対策との入れ替え作業が発生しないので、導入時の工数も抑えられます。

軽量設計によりCPU負荷は1%未満に抑えられ、CPUやメモリの使用率を最小限にとどめたレガシーシステムでも軽快に動作します。ただし対応OSやハードウェアの条件は定められているので、導入前に動作環境の確認が必要です。

管理コンソールで全端末を一元管理できる

管理コンソール「WhiteDefender Platform（WDP）」は契約時に無償で提供され、追加費用がかかりません。備える機能は、全体の状況をひと目で確認できるダッシュボード、ソフトウェアやハードウェアを把握するIT資産管理、ランサムウェア防御ポリシーの一括適用、検知ログの確認、管理レポートの出力、ユーザー・グループ管理です。

外部媒体の読み取りと書き込みの権限も中央で統制できます。全拠点の端末を一画面で見渡せるため、専任の担当者がいない組織でも状況をつかみやすくなります。

端末単位の低コストで始められる

ライセンスは年額制で、PC向けが1台あたり年額7,800円（税別）、サーバー向けが1台あたり年額250,000円（税別）です。この価格は2026年7月現在の公式サイトの記載にもとづきます。PCは1台から保護できるため、感染源になりやすい端末から必要な範囲だけ始められます。

判断の際は、被害後にかかる費用と並べて考えると見通しが立ちます。警察庁の調査では復旧に総額1,000万円以上を要した組織が5割を超えており、平時に払う対策費用との差は小さくありません。

参照元：WhiteDefender｜料金プラン

公共機関・大企業を含む導入実績

「WhiteDefender」は、公共機関および大企業を含む多様な業界・業種で採用されています。公式サイトの記載によると、導入企業・公共機関数は1,300以上、導入エンドポイント数は900,000以上にのぼります。

1,300を超える組織が使っているという事実は、特定の業種向けに作られた製品ではないことを示します。扱う情報の性質が異なる公共機関と民間企業の双方に入っている点は、社内で候補を絞り込むときの判断材料になります。数値は公式サイトに掲載されているもので、最新の状況は問い合わせ時に確認できます。

参照元：DirectCloud｜ランサムウェア対策ソフトならWhiteDefender

DirectCloudとの併用でクラウド側の復元も確保する

「WhiteDefender」が守るのは、端末とその周辺に置かれたファイルです。業務データの保存場所が社内とクラウドに分かれている環境では、片方だけの対策では戻せない範囲が残ります。

「DirectCloud」はバージョン管理機能で過去の世代へ戻せるため、2つを併用すると保存場所ごとに復元の手段がそろいます。どちらの製品がどのデータを担うのかを押さえておけば、復元できない領域が残っていないかを点検できます。対応を下表で確認してください。

参照元：DirectCloud｜法人向けクラウドストレージ

ローカルPCのファイルはWhiteDefenderが復元する

端末に保存されたファイルは、「WhiteDefender」が検知から復元まで一貫して担います。カーネルレベルでファイルの入出力要求を捕捉し、改ざんの直前に原本をSafe Zone（安全領域）へ退避したうえで、脅威を遮断してから元の場所へ自動で書き戻すためです。

対象になるのは、作成途中の資料のように端末上で扱っているファイルです。PC内の共有フォルダと外部共有ドライブも両方向で保護され、許可プロセス以外のアクセスは遮断されます。管理者が復元作業に着手する前に、端末側の被害は元に戻ります。

クラウド上のファイルはバージョン管理で復元する

クラウド上のファイルは、「DirectCloud」のバージョン管理機能で過去の状態へ戻せます。同じ名前のファイルがアップロードされたり上書き保存されたりするとバージョンが更新され、履歴から戻したい世代を選んで復元できるためです。

保存できる世代数は契約プランごとに40個から200個まで定められ、監査オプションを使えるエンタープライズプランでは制限がなくなります。復元できるのは副管理者やオーナーのアクセスレベルを持つ利用者に限られ、「ログ」の「ファイルの操作」メニューで誰が何をしたのかも追えます。

ローカルとクラウドの両方で業務データを復元できる

保存場所ごとに担当が分かれるため、復元の手段は端末側とクラウド側で二重になります。端末側は「WhiteDefender」が暗号化そのものを止めて原本から戻し、クラウド側は「DirectCloud」が履歴から感染前の世代を呼び出します。

片方で戻せない事態が起きても、もう一方に残っているデータから業務を再開できます。担当する範囲が重ならないため、同じ復元機能に二重で費用を払う形にはなりません。両方をそろえて初めて、業務データ全体を戻せる状態になります。

よくある質問（Q&A）

「WhiteDefender」の検討時によく寄せられる質問を、4つ取り上げます。「DirectCloud」との関係、対応しているOS、導入できる台数、契約までの流れという順に、公式に案内されている内容をそのまま示します。

参照元：DirectCloud｜ランサムウェア対策ソフトならWhiteDefender

まとめ

ランサムウェア対策の焦点は、侵入を防ぐ力から、暗号化されても元に戻せる力へ移っています。アンチウイルスやEDR、バックアップをそろえても被害が止まらないのは、新種の検出、暗号化の即時中断、バックアップ自体の保護という穴が残るからです。

「WhiteDefender」は行動ベースの検知で未知の攻撃を捉え、遮断から自動復元までを3.4秒で終えます。端末のファイルは「WhiteDefender」が戻し、クラウド上のファイルは「DirectCloud」のバージョン管理で感染前の世代へ戻せるため、保存場所を問わず復元できる状態が整います。既存の対策を外さず1台単位で始められる点も、導入の負担を抑えます。詳細については、以下より資料は無料でダウンロードできるので、社内で検討する材料としてまず目を通してみてください。