ランサムウェア対策 中小企業が先にやること

1. VPN などの入口を更新し、使っていない接続を止める警察庁は、主な侵入経路である VPN 機器などは速やかな対応が必要だとし、セキュリティパッチが公開されたら速やかに当てるよう求めています。JPCERT/CC は、インターネットからつながるシステムや機器を洗い出し、業務に要らないものは止めるよう勧めています。名古屋港の事例では、保守用 VPN に接続元の制限がなく、VPN 機器の公表済みの脆弱性も残っていました。大阪急性期・総合医療センターの事例とイセトーの事例も、VPN から入られています。手口はVPN・エッジ機器の脆弱性悪用にまとめています。
2. 外から入れるアカウントに多要素認証を入れる警察庁は、初期パスワードや簡単な文字列を避け、多要素認証や IP アドレスによる接続の制限を組み合わせるよう求めています。アスクルの事例では、例外的に多要素認証を入れていなかった委託先向けの管理者アカウントが使われました。事例から言えるのは、例外のアカウントを作らないほうがよいということです。手口は認証情報の悪用と多要素認証の回避にあります。
3. バックアップを切り離して保管し、戻せるかを試す警察庁は、バックアップをこまめに取り、ネットワークから切り離してオフラインで保存するなど、暗号化されないように備えるよう勧めています。IPA は、書き換えられない仕組み（WORM）などでバックアップ自体を守ることと、バックアップから戻す訓練を挙げています。複数の場所に分けて持つ考え方は、用語集のバックアップの3-2-1ルールにまとめています。戻せなかった理由に「運用の不備」が 19 件あるように、取っているだけでは戻せないことがあります。
4. 権限を絞り、監視する警察庁は、アカウントの権限と触れる範囲を必要最小限にすると被害の広がりを防げるとし、ウイルス対策ソフトや EDR、ネットワークの監視製品を入れて最新に保つよう求めています。入られたあとに社内で広がる手口は横展開にまとめています。
5. 被害時の手順と連絡先を決めておく警察庁は、感染した端末を LAN ケーブルを抜くか無線を切ってネットワークから切り離し、調査に必要なログが消えないよう電源は切らないよう求めています。そのうえで、最寄りの警察署かサイバー犯罪相談窓口に通報します。連絡先は BCP（事業継続計画）に書いておくと、被害のときに連携しやすくなると警察庁は説明しています。

はじめの一歩として、IPA の SECURITY ACTION の一つ星「情報セキュリティ6か条」には、2026年3月から「バックアップを取ろう！」が加わりました。宣言を出発点に、上の 5 つへ進めます。

警察庁は、身代金について、犯罪グループの活動資金になることが懸念され、暗号化されたデータの復号が保証されるわけではないと被害者に説明しています。IPA は原則として身代金を支払わずに復旧するよう、JPCERT/CC は攻撃者の要求には応じずバックアップから復旧するよう勧めています。

警察は、初動の助言や復号ツールの提供などの支援ができる場合があります。2025年7月には、関東管区警察局サイバー特別捜査部が FBI の協力を得て、Phobos とその関連組織 8Base のランサムウェア（Phobos/8Base）で暗号化されたデータを復号するツールを開発しました。国際共同捜査の結果、2025年の報告件数は LockBit が 31 件から 19 件に、Phobos/8Base が 23 件から 1 件に減ったと警察庁は報告しています。警察から被害の公表を求めることはありません。

入口が VPN ではなく、社員のアカウントが盗まれたことが根本の原因と推測されたKADOKAWA の事例のように、入り方はさまざまです。ほかの事例はランサムウェアのテーマのページから引けます。