攻撃手法・影響
ランサムウェア
ランサムウェア（別名 ランサムウェア攻撃、二重恐喝、RaaS）は、端末やサーバのデータを暗号化して使えない状態にし、復号の対価として金銭を要求する不正プログラムによる攻撃です。
- 初期侵入
- 実行
- 横展開
- 窃取
- 影響
要点
- 段階 攻撃が進む段階のうち「影響」で使われます。MITRE ATT&CK の手口番号は T1486、T1657、T1490 です。
- 記録 このサイトの記録では、事例 8 件とハッカーグループ 4 組に出てきます。
- 最初の対策 リモートアクセス機器(VPN、RDP等)の修正プログラムを速やかに適用し、全リモートアクセスに例外なく多要素認証を適用する。
近年はデータを暗号化する前に窃取しておき、「対価を支払わなければ公開する」と脅す二重恐喝が被害の多くを占める。
攻撃の流れ
- 1インターネットに公開されたVPNやリモートデスクトップ機器の脆弱性、漏えいした認証情報、標的型攻撃メールなど複数の経路から社内ネットワークへ侵入する
- 2侵入後にネットワーク内部を探索し、管理者権限を奪ってより広い範囲にアクセスできるようにする
- 3重要データやバックアップを探し、クラウドストレージなどへ送って先に窃取する
- 4ランサムウェアを実行してファイルを暗号化し、バックアップも巻き込んで復旧を妨げる
- 5支払わなければ復号しない、または窃取したデータを公開すると脅して対価を要求する二重恐喝を行う
気づくための兆候
- 短時間に大量のファイルの拡張子や中身が変わり、複数のフォルダに脅迫状ファイルが出現する
- バックアップソフトやシャドウコピーの削除を指示する操作ログ
- 通常の業務時間外に発生する大量データの外部送信や、普段使われないクラウドストレージ向け通信
- EDRやアンチウイルスの停止、無効化を示すイベントログ
- 管理者権限の急な付与や、普段使わないアカウントでの認証成功ログ
対策
リモートアクセス機器(VPN、RDP等)の修正プログラムを速やかに適用し、全リモートアクセスに例外なく多要素認証を適用する
オフラインまたはランサムウェアを想定した環境にバックアップを保管し、定期的に復元できるか試す
サーバやエンドポイントにEDRを導入し、常時監視する体制を整える
管理者権限を持つアカウントを最小限にし、権限の棚卸しを定期的に行う
サイバー攻撃を想定した業務継続計画(BCP)を事前に策定し、復旧訓練を行う
日本での数字
226件
ランサムウェア被害報告件数（2025年）
出典 警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
出典
- 令和７年におけるサイバー空間をめぐる脅威の情勢等について 警察庁・2026-03
- MITRE ATT&CK Technique — Data Encrypted for Impact (T1486) MITRE ATT&CK・2026-05-12
- MITRE ATT&CK Technique — Financial Theft (T1657) MITRE ATT&CK・2026-05-12
- MITRE ATT&CK Technique — Inhibit System Recovery (T1490) MITRE ATT&CK・2026-05-12
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）