HOME
トレンド＆データ
ランサムウェアとは？主な感染経路・対策をわかりやすく解説

ランサムウェアとは？主な感染経路・対策をわかりやすく解説

2026年7月21日

#ランサムウェア #多層防御 #サイバーセキュリティ

▼1. ランサムウェアとは？意味・仕組みを解説
・ランサムウェアの種類
・ランサムウェア攻撃の4段階プロセス
▼2. ランサムウェア攻撃による被害状況
・被害報告件数は高水準で推移
・中小企業・製造業の被害件数が多い傾向
▼3. ランサムウェア攻撃の特徴
・二重・三重・四重の脅迫が行われる
・RaaSにより攻撃が仕組み化されている
▼4. ランサムウェアの主な感染経路
・VPN機器
・フィッシングメール・標的型攻撃メール
・改ざんされたWebサイト経由
▼5. ランサムウェア攻撃による企業への影響
・機密情報の漏洩
・サービス停止
・社会的信頼の低下
▼6. ランサムウェアの被害事例
・小売業｜サービス停止と個人情報の流出
・食料品製造業｜2ヶ月間にわたる受注・出荷システムの停止
・医療機関｜院内システムの停止による診察・健診業務の制限
▼7. 企業が今すぐ取るべきランサムウェア対策
・VPN機器やパソコンの脆弱性管理
・多層防御対策の実施
・多要素認証（MFA）の導入
・定期的なバックアップの実施
・従業員へのセキュリティ教育
▼8. ランサムウェアに感染してしまったときの初動対応
▼9. まとめ

近年、企業を狙ったランサムウェア攻撃が深刻化している。感染するとデータの暗号化だけでなく、機密情報の窃取やサービス停止など、事業継続を揺るがす被害につながる場合もあり、二重脅迫や生成AI悪用など手口の巧妙化も進んでいる。

本記事では、ランサムウェアの基礎知識と最新の攻撃手口、主な感染経路や国内の被害事例を整理したうえで、企業が今すぐ着手すべき対策や、万一感染した際の初動対応までをわかりやすく紹介する。

ランサムウェアとは？意味・仕組みを解説

ランサムウェアとは、社内ネットワークやパソコン・サーバーに侵入し、内部に保存された各種データを暗号化して読み取れない状態へと変えたうえで、その復旧と引き換えに金銭（身代金）を要求してくる不正プログラムの総称である。

「ランサムウェア（Ransomware）」という呼び名は、身代金を表す英単語「Ransom」に、ソフトウェアを示す接尾辞「-ware」をつなげた造語に由来する。

ランサムウェアの最初の攻撃が確認されたのは、1989年である。それ以降、30年以上にわたり手口を巧妙化させながら、国内外で犯行に利用されつづけてきた。

要求される身代金は、ビットコインなどの暗号資産で支払を求められるケースが多い。しかし、たとえ身代金を支払ったとしても、データが復元される保証はない。実際に、警察庁・IPA（独立行政法人情報処理推進機構）はいずれも、支払に応じないよう注意を呼びかけている。

ここでは、ランサムウェアの実態を知るために、次の2つのポイントを解説する。

　●ランサムウェアの種類
　●ランサムウェア攻撃の4段階プロセス

ランサムウェアの種類

ランサムウェアは、攻撃手口によって一般的に3つに分類される場合がある。

近年は特定の名称をもつ「攻撃グループ/ファミリー」が組織的に攻撃を仕掛けるケースが主流となっており、代表的な種類を把握しておくことは対策の優先順位付けにも役立つ。

3つの種類について、以下の表で確認してみよう。

分類	特徴	代表例
暗号化型（Crypto型）	端末内のファイルを暗号化し、復号鍵と引き換えに身代金を要求する。	LockBit、WannaCry、Ryuk
偽警告型（Scareware）	ウイルス感染や法執行機関の摘発を装う偽警告を表示し、解除と引き換えに金銭を要求する。	Reveton（Police Trojan）
情報窃取・公開型（Leakware/Doxware）	データを暗号化せず、または暗号化に加えて、窃取したデータの公開を脅迫材料とする。	Maze、REvil ※二重脅迫型の先駆

この他、ファイルの暗号化を行わず、盗み出した情報を公開すると圧力をかけるだけの「ノーウェアランサム」と呼ばれる手口も近年見られるようになった。Leakware/Doxwareから派生したタイプで、警察庁の統計でも2023年以降、独立した項目として件数が集計されている。

ランサムウェア攻撃の4段階プロセス

ランサムウェアの侵入から実行までは、一般的に次の4つのプロセスをたどる。

ランサムウェアの攻撃のプロセス
1.侵入	VPN機器の脆弱性やフィッシングメールなどを足がかりに、攻撃者が標的とするネットワークへ侵入する段階。
2.内部活動	侵入後、攻撃者は遠隔操作しながらネットワーク内部の探索や他端末への感染拡大（横展開）を進める段階。
3.データの窃取	脅迫材料として悪用するために、機密情報や個人情報などの重要データを攻撃者のサーバーにアップロードして、持ち出す段階。
4.ランサムウェアの実行	稼働中のセキュリティ製品を無効化したうえで、ランサムウェア本体を起動させる段階。データの暗号化を行い、感染した端末の画面に身代金を求めるメッセージを表示して脅迫する。

このようにランサムウェア攻撃は、侵入から実行まで段階的に進行する。各段階で攻撃の兆候を捉え、早期に対処することが被害の最小化につながると考えられる。

ランサムウェア攻撃による被害状況

ランサムウェアの脅威は拡大傾向にある。ここでは、警察庁の統計データをもとに、国内のランサムウェア被害について以下の2つの観点から紹介する。

　●被害報告件数は高水準で推移
　●中小企業・製造業の被害件数が多い傾向

被害報告件数は高水準で推移

出典：令和７年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局

警察庁の調査によれば、2025年（令和7年）に国内で報告されたランサムウェア被害は、226件に達した。前年と比べた件数の増減はわずかだが、2022年（令和4年）から続く高い水準を維持したままである。

実際、2025年には国内の大手飲料メーカーがランサムウェア攻撃を受け、個人情報の漏洩や製品の受注・出荷が停止する事態に陥ったケースも報じられている。大企業であっても、攻撃を受ければ事業全体に深刻な打撃を受ける恐れがある。

中小企業・製造業の被害件数が多い傾向

出典：令和７年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局

ランサムウェアの被害件数を規模別で見ると、大企業が64件であるのに対し、中小企業は143件と全体の約6割を占めている（※残りの19件は団体などで構成）。大企業と比べて予算や人員を十分に確保できず、セキュリティ対策が手薄になりやすい中小企業が、攻撃の標的になっていると考えられる。

また、業種別では製造業が最も多く91件で、全体の約4割を占める結果となった。次いで、卸売・小売業の34件、サービス業と情報通信業の24件が続く。

同調査では、ランサムウェアの復旧に総額1,000万円以上かかった組織の割合は5割以上にのぼるという報告もある。被害を最小限に抑えるためにも、ランサムウェアの手口や感染経路を把握し、対策を徹底して行うことが重要である。

ランサムウェア攻撃の特徴

ランサムウェア攻撃の手口は巧妙化を続けている。ここでは、近年のランサムウェア攻撃に見られる主な特徴を紹介する。

　●二重・三重・四重の脅迫が行われる
　●RaaSにより攻撃が仕組み化されている

二重・三重・四重の脅迫が行われる

ランサムウェア攻撃は、データの暗号化に加え、二重・三重・四重の脅迫が行われる点が特徴である。それぞれの脅迫手段は以下の通り。

段階別の脅迫	概要
単一脅迫：身代金の支払	暗号化したデータの復号と引き換えに、身代金を要求する。
二重脅迫：窃取情報の暴露	「身代金を支払わなければ、窃取したデータを公開する」と脅迫し、支払を迫る。
三重脅迫：ステークホルダーの情報暴露	「被害企業の取引先や顧客など、関係者の機密情報まで暴露する」と脅し、さらに圧力を強める。
四重脅迫：DDoS攻撃などによるサービス停止	「大量のデータを一斉に送りつけてサーバーに過剰な負荷をかけ、サービスを停止に追い込む攻撃（DDoS攻撃）を仕掛ける」と追い打ちをかける。

ランサムウェア攻撃は年々巧妙化しており、複数の脅迫手段を組み合わせて被害企業への圧力を強める傾向が見られる。

RaaSにより攻撃が仕組み化されている

RaaS（Ransomware as a Service）とは、攻撃に用いるランサムウェアや関連ツール一式を、いわば「商品」として他者に貸し出す・販売する事業形態のことである。この仕組みが悪用された結果、ランサムウェア攻撃は単独犯による行為から、分業化された組織的なビジネスへと姿を変えつつある。

従来、攻撃者自身がランサムウェアを開発する必要があった。しかしRaaSの仕組みを利用すれば、攻撃者は開発する必要はない。

攻撃者は開発者からランサムウェアを受け取って攻撃を実行し、身代金が得られると、その一部を報酬として開発者に支払う。このように、開発者と実行者による分業体制ができあがっている点がRaaSの特徴である。

RaaSの問題点は、ランサムウェアそのものについて専門知識がなくても、この仕組みを悪用すれば攻撃の実行が可能になってしまうことである。そのためRaaSは、ランサムウェア攻撃の増加を招く要因の一つになっていると考えられている。

ランサムウェアの主な感染経路

ここでは、ランサムウェアの主な感染経路について、次の3点を解説する。

　●VPN機器
　●フィッシングメール・標的型攻撃メール
　●改ざんされたWebサイト経由

VPN機器

VPN（Virtual Private Network）とは、社外から社内ネットワークへ安全にアクセスするための仕組みである。リモートワークの普及に伴い、多くの企業で導入されている。一方、近年ではVPN機器の脆弱性を狙った攻撃が増加しており、ランサムウェアの侵入口として悪用されるケースも見られる。

VPNで使用される機器には、ベンダー側から脆弱性（セキュリティ上の欠陥）を改善する修正プログラムが定期的に配布される。

しかし、この修正プログラムを適用せずに使いつづけるとサイバー攻撃の標的になりやすい。その結果、ランサムウェアをはじめとするマルウェアへの感染リスクが高まってしまう。

フィッシングメール・標的型攻撃メール

メールを入口としたランサムウェアの拡散も、依然として主要な手口の一つに数えられる。

代表的なのがフィッシングメールと標的型攻撃メールである。前者は実在の企業やサービスになりすまし、不特定多数へばらまかれる。後者は逆に、ねらいを定めた特定の企業・組織だけに送り込まれる点に違いがある。

この2種類のメールはいずれも、ランサムウェアを仕込んだ添付ファイルを開かせたり、URLをクリックさせて偽サイトに誘導したりするために使われる場合がある。受信者が通常のメールだと思い込み、添付ファイルやURLを開いてしまうことでランサムウェアに感染してしまう。

さらに近年は、生成AIの悪用も問題となっている。これまでは、本文に書かれた不自然な日本語表現が偽メールを見抜く手がかりとなっていた。しかし、生成AIによって自然な文章を作成できるようになったことで、本物のメールとの見分けが難しくなっている。

改ざんされたWebサイト経由

攻撃者に不正改ざんされたWebサイトが、感染の入口になることもある。利用者がそうと気づかないままそのページを開くだけで、ランサムウェアが裏で自動的にダウンロードされてしまうケースである。

こうした攻撃は「ドライブバイダウンロード攻撃」と呼ばれている。OSやブラウザに修正されていない脆弱性が残っていると、ファイルを自分でダウンロードしたり実行したりしていなくても、サイトを閲覧しただけで感染に至る恐れがある。

ランサムウェア攻撃による企業への影響

ランサムウェアに感染すると、企業は多方面にわたり深刻な影響を受ける場合がある。ここでは、企業が受ける主な影響を次の3つの観点から解説する。

　●機密情報の漏洩
　●サービス停止
　●社会的信頼の低下

機密情報の漏洩

ランサムウェアの二重脅迫により、盗み出された企業の機密情報が、ダークウェブ上のリークサイトに掲載される場合がある。ダークウェブとは、一般的な方法ではアクセスが不可能なWebサイトのことで、個人情報や脆弱性情報などが取引されている。

また、攻撃者によっては、実際に暴露したサイトを被害企業に見せ、身代金支払いの交渉を有利に進めようとするケースもある。

しかし、身代金を支払ったとしても、公開された情報が削除される保証はない。そもそも、一度流出した情報を完全に回収することは極めて困難であり、被害拡大につながる恐れが残るだろう。

サービス停止

ランサムウェア攻撃によってサービス停止、ひいては事業停止など深刻な事態に追い込まれる場合もある。事業に必要なファイルデータが暗号化され、バックアップを取っていなければデータの復旧は難しく、通常業務を継続できなくなるためである。

また、受発注システムや電子商取引サイトなどに影響が及ぶと、顧客との取引を行えなくなってしまうだろう。

復旧には数日から数週間、なかには数ヶ月かかるケースもあり、その間に多くの調査費用や復旧コスト、機会損失が生じる事態となる。

社会的信頼の低下

ランサムウェアに感染することで個人情報の漏洩やサービス停止が発生すると、取引先や顧客からの信頼を失うリスクがある。特にサービス停止が長期化すれば、ブランド価値の低下を招きかねない。

こうした事態を避けるためにも、多層的な防御対策や定期的なバックアップなどを通じて、被害そのものを未然に防ぐ取り組みの強化が求められる。具体的な対策については、「企業が今すぐ取るべきランサムウェア対策」で詳しく解説する。

ランサムウェアの被害事例

前述のように、ランサムウェアに感染すると「機密情報の漏洩」や「サービス停止」、「社会的信頼の低下」などのリスクが生じる。

ここでは、こうした影響が実際にどのように表れるのか、業種の異なる以下の3つの事案から解説する。

　●小売業｜サービス停止と個人情報の流出
　●食料品製造業｜2ヶ月間にわたる受注・出荷システムの停止
　●医療機関｜院内システムの停止による診察・健診業務の制限

小売業｜サービス停止と個人情報の流出

2025年、小売業に携わる企業が、ランサムウェア攻撃による大規模なシステム障害に見舞われた。

物流システムや社内システムがランサムウェアに感染した結果、通販サービスで受注・出荷業務が全面的に停止。復旧の要となるバックアップデータの一部も暗号化されていたことから、サービスの完全復旧には長い時間を要する事態に陥った。

また、個人情報の流出も発生し、その規模は70万件以上にのぼっている。さらに、同社は別ブランドへの出荷も担っていたことから、提携先のサービスにまで影響が波及した。現代のサプライチェーンが抱えるリスクが浮き彫りになった事例だといえる。

食料品製造業｜2ヶ月間にわたる受注・出荷システムの停止

2025年、食料品製造業を営む企業が、ランサムウェア攻撃によってファイルが暗号化され、大規模なシステム障害の被害にあった。攻撃を受けたことで受注・出荷業務がシステム上で全面的に停止し、一部の工場では稼働の一時停止を余儀なくされた。

同社は、手作業で受注を受け付けながら順次出荷に対応。しかし、システムによる業務正常化には発生から約2ヶ月を要することとなった。

後の調査では、取引先や従業員などの個人情報が10万件以上漏洩していたことも明らかにされた。

生活に身近な商品を扱う企業でもあるため、システム停止により商品が店頭や飲食店から姿を消し、一般消費者に影響を及ぼすこととなった事例である。

医療機関｜院内システムの停止による診察・健診業務の制限

2025年、ある医療機関では、院内システムの障害をきっかけにランサムウェアの感染が発覚した。電子カルテなどが使用不能となり、感染拡大を防ぐためにサーバーをインターネットから遮断したことで、院内システムが利用できない状態が続いたという。

この影響により、医療機関は通常の診療体制を維持できなくなった。人間ドックや新規の外来受付を一時停止し、通院患者の対応に限定するなど、診察・健診業務を制限せざるを得ない事態に追い込まれた。

さらに、サーバーに保管されていた患者や健康診断受診者、医療関係者の個人情報についても、最大で約30万人分が外部に流出した可能性があると公表している。

医療機関が一時停止し個人情報が流出する事態は、医療機関の社会的信頼を損なう要因となり得るだろう。

企業が今すぐ取るべきランサムウェア対策

ランサムウェアの脅威から企業を守るには、複数の対策を組み合わせて多角的に備えることが欠かせない。ここでは、企業が今すぐ着手すべき対策について5つの観点から解説する。

　●VPN機器やパソコンの脆弱性管理
　●多層防御対策の実施
　●多要素認証（MFA）の導入
　●定期的なバックアップの実施
　●従業員へのセキュリティ教育

VPN機器やパソコンの脆弱性管理

VPN機器やパソコンのOSには、日々新たな脆弱性が発見されている。攻撃者はこうした脆弱性を突いて侵入を試みるため、ベンダーから修正プログラムが提供されたら速やかに適用することが重要である。

前述のように、特にVPN機器はランサムウェアの主な侵入経路の一つとなっている。修正プログラムの適用を後回しにすると、攻撃者に狙われやすい状態が続いてしまう。そのため、最新の状態を常に維持することが、侵入を防ぐ第一歩となる。

ネットワーク機器の運用・脆弱性管理そのものに課題を抱える企業様には、株式会社ミライト・ワンの「SD-WANマネージドサービス」が有効な選択肢となる。拠点間や拠点・クラウド間のセキュアな通信を実現しつつ、機器の設定変更や運用・保守を遠隔で一括して任せられるため、ネットワーク管理者の負担を抑えながら安全な通信環境を維持できる。

詳しくは、以下のリンクで確認できる。

「SD-WANマネージドサービス」

多層防御対策の実施

ランサムウェア対策では、単一のセキュリティ製品に頼らず、複数の防御層を設けることが大切になる。

具体的には、入口対策・内部対策・出口対策の3つの観点から、多層的に防御を進めていく。

多層防御対策
入口対策	ランサムウェアの侵入を防ぐために、不正な通信をブロックするファイアウォールや、悪意のある添付ファイルを排除するメールフィルタリングなどを利用する。
内部対策	万が一、ランサムウェアに侵入されても感染拡大を防ぐために、異常な通信を検知するログ監視機能や、端末上の不審な動きを監視するEDRなどを導入する。
出口対策	ランサムウェアによって窃取されたデータが外部へ持ち出されないよう、外部への不正な通信を遮断したり、機密情報の持ち出しを自動でブロックしたりする機能を導入する。