中小企業の被害が6割以上！？今確認しておきたいランサムウェア対策

中小企業におけるランサムウェア対策は「侵入を完全に防ぐこと」よりも、まずは「侵入されても被害を最小限にとどめ、確実に重要なデータを復旧できる体制を整えること」が重要です。特に近年は、バックアップデータまでも標的とする攻撃が主流となっており、従来の対策だけでは不十分になっています。そのため、基本的なセキュリティ対策の徹底に加え、ネットワーク設計による被害拡大の抑止、さらにイミュータブルスナップショットのような改ざん不可能なバックアップの仕組みが不可欠です。

本記事では、中小企業が狙われやすい理由や具体的な侵入経路を踏まえながら、実務で見直すべき基本対策と、最新のランサムウェア動向に対応するための復旧戦略について紹介します。

ランサムウェア被害のうち6割以上が中小企業に集中している背景には、攻撃者の合理的な戦略があります。中小企業はセキュリティ投資や専任人材の確保が難しく、ソフトウェアパッチ未適用の機器や設定不備が残りやすい傾向にあります。VPN機器やリモートアクセス環境、ID・パスワード管理の甘さなどは典型的な侵入口となります。

また、サプライチェーンの一部として大企業と接続されているケースも多いため、大企業へ攻撃するための「踏み台」として中小企業が狙われている背景があります。こうした事情から、中小企業は「侵入しやすく、影響を広げやすい標的」として選ばれやすいのです。

出典：警察庁 令和8年4月3日「令和7年におけるサイバー空間をめぐる脅威の情勢について」を参考に作成

多くのインシデントは、脆弱性の悪用やフィッシングによる認証情報の窃取から始まります。その後、攻撃者は内部ネットワークを横断し、管理者権限を取得、ログの消去やバックアップの無効化を行い、最終的にデータの暗号化と情報窃取を同時に実行します。近年主流となっている二重恐喝では、従来のデータ復旧のために身代金を要求するだけでなく、「支払いに応じない場合、盗んだデータを公開する」と脅迫されるため、経営的なダメージは一層深刻化します。

この一連の流れを踏まえると、防御は単一の対策では不十分であり、入口・内部・復旧の各フェーズで多層的に備える必要があります。

まず取り組むべきは、いわゆる「基本の徹底」です。OSやミドルウェア、ネットワーク機器のアップデート管理は、既知の脆弱性を突かれるリスクを大きく下げます。認証については多要素認証の導入と権限の最小化が重要で、万一の認証情報漏えい時にも被害拡大を防ぎます。

バックアップ運用も見直しが必要です。取得の有無だけでなく、「分離されているか」「復元手順が検証されているか」が成否を分けます。実際の現場では、バックアップ自体が攻撃者により無効化・暗号化されてしまったり、いざという時に復旧手順が確立されていないケースが散見されます。日常運用としての訓練と検証が不可欠です。

侵入を完全に防げないことを前提にすると、ネットワーク設計の巧拙が被害規模を左右します。セグメント分離が適切に行われていれば、攻撃者の内部ネットワークでの横展開を抑制でき、重要システムへの到達を防ぎやすくなります。また、NDRやEDR、XDRといった通信の可視化により、不審な挙動の早期検知ができれば、暗号化実行前に対処できる可能性が高まります。

加えて、外部公開資産の棚卸しも重要です。未管理の機器や不要なポートは、それ自体が攻撃の侵入経路になります。拠点の増設や機器の更新を繰り返してきた環境ほど、棚卸しと整理が効果的です。

近年のランサムウェアは、単に本番データを暗号化するだけでなく、バックアップ環境に侵入し、バックアップデータそのものを削除・暗号化する手口が一般化しています。そのため「バックアップを取っているから安心」という前提は崩れつつあります。

この課題への有効な対策の一つが「イミュータブルスナップショット」です。これは、一度書き込まれたデータを一定期間、管理者権限をもってしても変更できない状態で保持する仕組みを指します。攻撃者が管理者権限を奪取したとしても、当該期間内のスナップショットは改ざんできないため、クリーンな復元ポイントを確実に確保できます。

運用上は、スナップショットの取得間隔と保持期間の設計が肝要です。業務要件に応じてRPO（目標復旧時点）を定義し、例えば時間単位でのスナップショット取得と、数日〜数週間のイミュータブル保持を組み合わせることで、被害発覚時点から遡って安全なデータに復旧できます。また、バックアップ系統を本番環境から論理的・物理的に分離し、管理プレーンの認証を強化することも併せて検討すべきです。

重要なのは、技術導入に加えて復旧手順の事前検証です。実際にイミュータブルスナップショットからのリストアを訓練し、所要時間や依存関係を把握しておくことで、インシデント時の意思決定が迅速になります。結果として、事業停止時間と信頼毀損の最小化につながります。

ランサムウェア対策は「侵入を完全に防ぐ」発想から、「侵入されても被害を最小限にとどめ、迅速に復旧する」発想へとシフトしています。中小企業においては、基本対策の徹底に加え、ネットワーク分離や可視化による拡散抑止、そしてイミュータブルスナップショットによる確実な復旧基盤の整備が現実的かつ効果的です。自社の現状を可視化し、優先順位をつけて段階的に強化していくことが、最終的に最も強固なセキュリティへとつながります。今この機会に、バックアップ運用とネットワーク設計を含めた全体最適の視点で見直しを進めてみてください。