ランサムウェア対策の全体像と3つの層

ランサムウェア対策は、侵入を防ぐ予防、被害を止める検知・遮断、業務を戻す復旧という3つの層に分けて考えると、自社に足りていない部分が浮かび上がってきます。

警察庁は、攻撃者が侵入する「隙」を作らないための基本的なセキュリティ対策の継続と、被害を想定した備えの両方を求めています。どちらか一方だけでは対策として成立しません。3つの層がそれぞれ何を守り、なぜ単独では守りきれないのかを順に見ていきましょう。

参照元：警察庁：ランサムウェア被害防止対策

侵入を防ぐ予防の層

予防の層は、攻撃者が足がかりにする「隙」をふさぎます。警察庁によると、現在の主流はVPN（社外から社内へ安全に接続する仕組み）機器などインターネットに露出した箇所から、未修正のぜい弱性や漏えいした認証情報、設定不備を突く侵入です。

手を打つ先は、ネットワーク機器とOSへのパッチ適用、認証情報の管理と多要素認証、アカウント権限の最小化の3つに絞られます。ただし巧妙化する攻撃を完全に防ぐのは困難だと警察庁も認めており、侵入される前提で次の層が要るわけです。

被害を止める検知・遮断の層

検知・遮断の層は、侵入された後、暗号化や情報窃取が起きる前に攻撃を止めます。アンチウイルスとEDR（端末の不審な挙動を検知して対処する製品）が担い、警察庁も、検知して遮断できれば深刻な被害を防げるとしています。

速さが問われるのは、攻撃者が権限奪取と内部探索を進め、重要データとバックアップを突き止めるまでに時間差があるからです。ただし検知と遮断は別の機能で、EDRは分析と検知に優れる一方、暗号化行為そのものを中断する専用機能ではありません。気づいても業務は止まります。

業務を戻す復旧の層

復旧の層は、暗号化されたデータと止まった業務をどう戻すかを受け持ちます。含まれるのは、バックアップからの復元、サイバー攻撃を想定したBCP（業務継続計画）にもとづく代替手段での業務継続、そして対応手順の整備と訓練です。

この層が被害額を左右するのは、復旧に要した時間の分だけ受注も出荷も止まり、営業損失が積み上がるからです。しかも攻撃者は復旧を妨げるためバックアップも暗号化するので、ネットワークから切り離した保存が欠かせません。

参照元：令和７年におけるサイバー空間をめぐる脅威の情勢等について

ランサムウェアとは何か

ランサムウェアとは、データを暗号化して使えない状態にしたうえで、復号の対価に金銭や暗号資産を要求する不正プログラムです。被害の多くを、窃取したデータの公開を予告して支払いを迫る二重恐喝が占め、暗号化を伴わないノーウェアランサムも確認されています。攻撃者は侵入後、管理者権限の奪取とセキュリティ機能の無効化を進めながら内部を探索し、重要データとバックアップの保存場所を突き止めたうえで、窃取と暗号化に及びます。

RaaS（攻撃に必要な環境を提供して身代金の一部を受け取る仕組み）の広がりで専門知識を持たない攻撃者も実行できるようになり、IPAの「情報セキュリティ10大脅威 2026」では組織向け脅威の1位に11年連続で選ばれました。

参照元：IPA｜情報セキュリティ10大脅威 2026

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

ランサムウェア被害が企業に及ぼす実害

ランサムウェアの被害は、セキュリティ事故という枠に収まりません。企業を実際に苦しめるのは、受注や出荷が止まり、元に戻るまで売上が立たなくなる業務中断です。実害の中身を、次の4つの角度から見ていきます。

アンチウイルスもEDRもバックアップも入れているのに、なぜ被害額が膨らむのか。その答えは、以降の4つの側面に表れています。

国内の被害報告件数と業種の傾向

警察庁によると、2025年のランサムウェア被害報告件数は226件にのぼり、依然として高水準で推移しています。目を向けたいのは被害企業の内訳です。組織の規模別では中小企業が約6割を占め、前年と同じ傾向が続きました。

業種別は製造業が約4割で最も多く、卸売・小売業、サービス業、情報通信業が上位に並びます。ただし被害はこの4業種にとどまらず、業種を問わず確認されています。自社の規模や業種を理由に対象外だと構えられる状況ではありません。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

業務停止とサプライチェーンへの波及

ランサムウェアの影響は、社内のシステム障害では終わりません。2025年に飲料メーカー大手が受けた攻撃では、複数のサーバが暗号化され、製品の受注・出荷が停止しました。同年10月の通販大手の事案でも受注・出荷に影響が出ています。

中核業務が止まれば、取引先への供給や納期にも波及するわけです。しかも飲料メーカーの事案で攻撃者が通った経路は、グループ内のネットワーク機器でした。IPAが組織向け脅威の2位に「サプライチェーンや委託先を狙った攻撃」を挙げるとおり、協力会社や委託先が侵入口になる構図も生じています。

復旧に要する期間と費用

復旧にかかる時間と費用は、そのまま経営への打撃に変わります。警察庁が2025年にランサムウェア被害に遭った企業・団体等へ実施したアンケートでは、調査・復旧の総額が1,000万円以上に達した組織が全体の5割を超えました。

復旧期間についても、1か月未満で終えられた組織は5割強にとどまり、被害の長期化がうかがえます。復旧が長引く間、受注も出荷も止まったままです。復旧費用に営業損失が積み上がる構造になるため、備えの差がそのまま被害額の差として表れます。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

取引条件になるセキュリティ水準

セキュリティ対策の水準は、これから取引の条件になっていきます。経済産業省と内閣官房国家サイバー統括室は、対策状況を★で可視化するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の制度構築方針を2026年3月27日に公表しました。

★3と★4は2026年度末頃、つまり2027年1月から3月頃の申請受付開始を目指しています。委託元が委託先に適切な★の段階を示し、実施状況を確認する使い方が想定されており、発注企業から一定の水準を求められる場面も増えていくとみられます。

参照元：経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）

既存のランサムウェア対策に残る死角

アンチウイルスもEDRもバックアップも入れている企業が、それでも被害に遭っています。原因は運用の問題ではありません。アンチウイルスは侵入前、EDRは侵入後の検知、バックアップは被害の後始末を受け持ちます。そのどれもが担当しない瞬間に、暗号化は起こります。

以降では、この3つが何を防ぎ、どこから先を防げないのかを解説します。

アンチウイルスが新種を防げない理由

アンチウイルスは、既知のマルウェアのパターンと照合して検出する仕組みを基本にしています。そのため、パターンが登録されていない新種や亜種のランサムウェアには、検出率の限界が生じます。

警察庁も、被害に遭った企業・団体等へのアンケートで、ウイルス対策ソフト等の導入状況と検出状況を調べており、導入済みの組織が被害企業に含まれている実態がうかがえます。入れてあるから新種も止まる、とはいかないわけです。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

EDRが暗号化行為を止められない理由

EDRは、端末上の挙動を記録して分析する仕組みで、侵入の検知と、その後の調査に強みを発揮します。ただし、検知に優れていることと、暗号化を止められることは別です。

EDRは、暗号化行為そのものを直ちに中断する専用機能を備えているとは限りません。検知の通知が上がってから、担当者が内容を確かめて端末を切り離すまでには時間がかかります。

その間も暗号化は進むため、業務が中断すれば、検知できた事実だけでは対応として成立しなくなります。

バックアップが狙われる理由

バックアップが狙われるのは、攻撃者が暗号化の前に居場所を突き止めているからです。攻撃者はネットワークに侵入すると内部を探索し、重要データと並んでバックアップを物色します。そのうえで、復旧を妨害する目的からバックアップも一緒に暗号化される場合が多いと、警察庁は説明しています。

実際の被害では、日頃の運用面の課題によってバックアップからの復旧がうまくいかなかった事例も報告されました。取得しているだけでは復元まで届きません。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

ランサムウェア対策の実装手順

死角がわかったら、次は手を動かす番です。着手する順序は、次の4つになります。

専任担当を置けない企業でも進められるよう、各手順で何をどこまでやるかを示し、最後に自社点検用のチェックリストを載せました。

侵入経路をふさぐ

最初に手をつけるのは、外部から入られる経路です。警察庁の調査では、侵入経路の6割以上をVPN機器が占めました。VPN機器とOSは、更新ファイルやセキュリティパッチが公開されたら速やかに適用します。

認証情報も見直し、初期設定のままのパスワードや簡易な文字列をなくしたうえで、VPNやリモートデスクトップなど外部から接続できる経路に多要素認証をかけます。

アカウントの権限は業務単位で最小限に絞ってください。メール経由の感染は以前より少なくなりましたが、不審な添付ファイルやリンクを開かせない教育は続ける必要があります。

参照元：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について

暗号化の挙動とログを監視して遮断する

2つ目は、暗号化の挙動を見張って止める仕組みを、置き換えではなく追加として、いまの製品に足す作業です。パターンに頼らず、暗号化に特有のふるまいをリアルタイムで監視する仕組みなら、未知の新種でも予兆の段階でプロセスを遮断できます。

あわせてログイン履歴やファイル操作のログを取得し、短時間に大量のファイルが書き換えられるといった異常を、暗号化の前につかめる状態にします。導入前の確認点は2つあります。検知から遮断までが人の操作なしで完結するか、既存のウイルス対策ソフトと共存できるかを、資料や試用で確かめてください。

データを保全して戻せる状態にする

3つ目は、戻せる状態を作る作業です。バックアップは、ネットワークから切り離したオフラインの領域か、分離された領域に置きます。攻撃者は復旧を妨げる目的でバックアップも暗号化するため、同じネットワーク上に置いたままでは一緒に失われます。世代を残せる仕組みも欠かせません。

バージョン管理があれば、感染した時点より前の状態までさかのぼって復元できます。そして、取得しているだけで終わらせず、実際に復元できるかを定期的に試します。警察庁も、被害を想定した訓練でバックアップからの復旧手順を確認するよう求めています。

被害を想定した体制と初動手順を整える

最後は、被害が起きた後の動き方を決めておく作業です。警察庁の調査では、サイバー攻撃を想定した業務継続計画を策定済みの組織は約18%にとどまりました。感染がわかったらLANケーブルを抜くか無線を切り、端末をネットワークから隔離します。

このとき電源は落としません。調査に必要なログが消えるからです。続いて最寄りの警察署かサイバー犯罪相談窓口へ通報します。また、支払いを判断する前に、復号ツールを無償公開している国際プロジェクト「No More Ransom」に対応ツールがあるかを確かめてください。

参照元：警察庁｜ランサムウェア被害防止対策

• ☐VPN機器やOSの更新ファイル・セキュリティパッチを速やかに適用しているか
• ☐外部から接続できる経路に多要素認証を適用し、簡易なパスワードが残っていないか
• ☐アクセス権限を業務単位で最小化し、棚卸しをしているか
• ☐暗号化の挙動を検知して自動で遮断できる仕組みを端末に備えているか
• ☐バックアップをネットワークから分離した領域に保持しているか
• ☐バックアップから実際に復元できるかを定期的に検証しているか
• ☐ファイル操作のログを取得し、追跡できる状態にしているか
• ☐サイバー攻撃を想定した業務継続計画を策定し、連絡先を明記しているか
• ☐感染時の初動手順を文書化し、訓練を実施しているか

専任担当がいない組織での進め方

手順がわかっても、専任のセキュリティ担当がいない組織では、進め方そのものが壁になります。限られた人員で判断するときに効いてくるのは、導入後にどれだけ手がかかるか、いまの構成を崩さずに済むか、費用に見合うかという3つの物差しです。

製品の機能を並べて比べる前に、この3つを先に決めておくと、候補を絞る作業が短くなります。
以下では、運用負荷、既存製品との関係、コスト構造の順に、それぞれの考え方を説明します。

運用負荷を選定基準に置く

最初の物差しは、導入した後にどれだけ人手を取られるかです。検知した内容を人が確かめて対応する前提の仕組みは、担当者を張り付けられない組織では動きません。検知から遮断、復元までが自動で完結する製品であれば、人の対応を待たずに被害の拡大を止められます。

選定の場面では、日々の運用でどんな作業が発生するかを具体的に聞いてください。もう一点、管理画面から全端末の状態をまとめて確認できるかどうかも確かめます。ダッシュボードで端末ごとの検知状況やIT資産を一覧できれば、巡回して回る手間が要りません。

既存製品を入れ替えずに補う

2つ目の物差しは、いまの製品との関係です。既存のウイルス対策ソフトを別の製品へ入れ替える方式は、検証と切り替えに工数がかかり、専任担当のいない組織では負担が重くなります。

これに対し、足りていない層だけを追加する方式なら、現行の構成を変えずに守りを厚くできます。ランサムウェア対策に特化した製品には、既存のウイルス対策ソフトやEDRを置き換えず、2枚目の防御として共存する設計のものがあります。

ただし共存できるかどうかは製品ごとに違うため、無料トライアルなどで事前に確かめてください。

コスト構造で優先順位を決める

3つ目の物差しは、費用の比べ方です。被害を受けたときの復旧費用と、平時に支払う対策費用を並べて置くと、判断の材料になります。費用は端末を守る側とデータを守る側に分けて考えます。

端末側はライセンス単位の年額制が一般的で、たとえば次章で解説する「WhiteDefender」のPCライセンスは1台あたり年額7,800円、月額に直すと650円です。データ側は保管するデータ量や利用人数で条件が変わるため、別枠で見積もります。重要なデータを扱う端末から小さく始め、運用が回ることを確かめてから全社へ広げる形が現実的です。

DirectCloudとWhiteDefenderによる対策

ここまで挙げた死角に対して、当社は2つの製品で応えています。端末の上で暗号化そのものを止める「WhiteDefender」と、共有データを感染前の状態へ戻せる「DirectCloud」です。

本文で扱った課題とそれに対応する機能、そこから得られる効果を次の表にまとめました。

以下では、4つの機能がそれぞれどう働くのかを説明します。

未知のランサムウェアを検知・遮断できる

「WhiteDefender」は、ランサムウェアの脅威に特化したエンドポイントセキュリティ製品で、当社が販売代理店として取り扱っています。パターンファイルに頼らず、100%行動ベースのアルゴリズムで暗号化行為や不審なプロセスをリアルタイムに監視し、攻撃の予兆を捉えた時点でプロセスを強制遮断します。

監視はOSのカーネルレベルにも及び、既存のセキュリティソフトを無効化してすり抜けようとする攻撃に対しても、専用の防御層がデータの破壊を食い止めます。行為検知を担うTDエンジンには、おとりファイルを使ったトラップ検知、シャドウコピー保護、隠蔽型攻撃の検知も備わっています。

暗号化されたファイルを自動で復元できる

暗号化が始まってしまった場合に働くのが、バックアップと復元を担当するWRエンジンです。攻撃を検知した瞬間、対象ファイルの原本を保護領域であるSafe Zoneへ自動で退避させ、脅威プロセスを遮断した後、正常な状態へ即座に書き戻します。

検知から復元までが自動で完結するため、担当者がバックアップから手作業でファイルを戻す待ち時間は発生しません。保護の対象はPC内の共有フォルダと外部共有ドライブの両方向に及び、ネットワーク越しのファイルも守られます。

既存のウイルス対策ソフトを活かせる

いま使っているアンチウイルスやEDRを外す必要はありません。「WhiteDefender」は既存製品と競合しない追加の防御層として設計されており、現行の構成を保ったままランサムウェア対策を足せます。管理面では、White Defender Platform（WDP）という管理プラットフォームが標準で提供され、追加費用なしで利用できます。

ダッシュボードでの状況把握、IT資産の管理、セキュリティポリシーの一括適用、検知ログの確認までを1つの画面で行えるため、端末を1台ずつ見て回る手間がかかりません。CPU負荷は1%未満と示されていますが、これは特定の検証環境における測定値です。動作環境と既存製品との共存可否は、導入前にご確認ください。

共有データを感染前の状態に戻せる

「DirectCloud」は、3,000社以上に導入されている法人向けのクラウドストレージです。全プランにランサムウェア対策を標準で提供しており、その中心にあるのがバージョン管理機能です。ファイルの世代を保持しているため、端末側で同期していたファイルが暗号化されても、クラウドに残る感染前の世代から復元できます。

利用者ごとの権限設定によって、侵入した攻撃者が触れられる範囲を絞り込めるほか、250種類以上の操作ログから、誰がいつどのファイルを操作したかをたどって影響範囲を確かめられます。守る対象はクラウド上の共有データであり、端末のローカルデータやOSそのものは範囲に含まれません。

DirectCloudとWhiteDefenderの実績

【DirectCloud】
DirectCloudは、大企業から中小企業まで3,000社以上に導入され、150万人以上の方にご利用いただいています。利用企業を従業員規模で見ると、100人以下が32%、101人から300人が27%を占めます。あわせて約6割が、専任のセキュリティ担当を置きにくい300人以下の企業です。業種別では製造業が19%、情報通信業が16%、卸売業・小売業が12%と続き、業種・業界を問わずお使いいただいています。

【WhiteDefender】
WhiteDefenderは、導入企業・公共機関数が1,300以上、導入エンドポイント数が900,000以上に達しています。採用されている組織には公共機関や大企業も含まれ、ランサムウェア対策として多くの環境で検証されてきました。なお、WhiteDefenderはDirectCloudのオプションサービスではありません。DirectCloudと親和性が高く、ランサムウェア対策に有効なセキュリティ製品として当社がご案内しています。

まとめ

ランサムウェア対策は、製品を導入した時点で完結するものではありません。アンチウイルスは未知の新種を検出しきれず、EDRは暗号化そのものを中断せず、バックアップは攻撃者の探索対象になります。3つをそろえていても被害が起きるのは、それぞれが守る範囲と場面が違うためです。予防・検知・復旧の3層で自社の状態を見直し、抜けている層から順に手を打つ必要があります。

ここで選択肢になるのがWhiteDefenderです。暗号化の挙動を監視して遮断し、退避した原本を自動で復元するため、人の対応を待たずに被害の拡大を止められます。既存のアンチウイルスやEDRを置き換えずに追加できるので、専任担当がいない組織でも死角を埋められるでしょう。