中小企業のセキュリティ対策 比較サイト

セキュットSECUTTO
お問い合わせ
入門

ランサムウェアってなに？データを人質にとられないためのバックアップ入門

公開日 2026-10-10　|　セキュット編集部

この記事でわかること

  • ランサムウェアがどんなしくみで会社を困らせるのか
  • 身代金を払っても解決するとは限らない理由
  • バックアップの基本と「本当に戻せるか」を確かめる方法

ランサムウェアってなに？

ランサムウェアは、悪いプログラム（マルウェア）の一種です。名前は「ランサム（身代金）」と「ソフトウェア」を合わせた言葉です。

しくみはシンプルです。パソコンやサーバー（会社のデータをまとめて置いておくコンピューター）のファイルに、勝手にカギをかけてしまいます。これを「暗号化」といいます。カギがかかったファイルは開けません。そのうえで「カギを返してほしければお金を払え」と要求してきます。

たとえるなら、家の金庫に知らない人が別の錠前を付けて、「開けてほしければお金を払え」と手紙を置いていくようなものです。

最近は、カギをかける前にデータを盗み出す手口が多くなっています。「払わなければ盗んだデータをネットに公開する」と二重に脅すのです。警察庁はこれを「二重恐喝」と呼び、被害の多くを占めていると説明しています。くわしい用語はランサムウェアの用語解説でも確認できます。

中小企業も狙われている

「うちは小さい会社だから関係ない」と思うかもしれません。でも、警察庁の発表では、2026年上半期のランサムウェア被害の報告は123件でした。半年ごとの件数としては、統計を取り始めてから最も多い数です。被害にあった企業のうち、約6割は中小企業でした。

入り口として多いのは、社外から会社のネットワークにつなぐための機器（VPN機器）です。警察庁のアンケートでは、侵入経路の約5割を占めています。古いままの機器や、もれたパスワードがねらわれます。

攻撃者は侵入したあと、社内を見て回り、大事なデータやバックアップを探します。そして最後にカギをかけます。つまり、バックアップも最初からねらわれていると考えておく必要があります。

身代金は払うべき？

結論からいうと、払っても解決するとは限りません。警察庁は、被害者に次の2点を説明していると公表しています。

  • 犯罪グループなどの活動資金になることが心配される
  • 暗号化されたデータが元に戻る保証はない

相手は犯罪者です。お金を受け取ったあとに約束を守るとは限りません。

被害にあったら、まずは落ち着いて次の行動をとりましょう。

  1. 感染したパソコンのLANケーブルを抜き、Wi-Fiを切ってネットワークから離す
  2. 電源は切らない（原因を調べるための記録が消えることがあるため）
  3. 社内の担当者や、保守をお願いしているIT業者に連絡する
  4. 最寄りの警察署やサイバー事案の相談窓口に通報・相談する

警察は、初動対応の支援や、データを元に戻すツール（復号ツール）の案内ができる場合があるとしています。

バックアップの基本

ランサムウェアへの大きな備えになるのが、バックアップです。バックアップとは、データの「予備のコピー」を別の場所にとっておくことです（バックアップの用語解説）。

ただし、コピーがあればそれでOK、ではありません。警察庁のアンケート（2026年上半期）では、バックアップから元に戻せたと答えた組織は、有効回答40件のうち11件だけでした。戻せなかった理由で最も多いのは「バックアップの暗号化・消去」です。バックアップまで一緒にカギをかけられてしまったのです。

IPAは、バックアップの考え方として「3-2-1ルール」を紹介しています。

数字 意味 身近なたとえ
3 データのコピーを、元のデータを含めて3つ以上持つ 家のカギを3本用意する
2 2種類の保存先（媒体）に分けて保管する 財布とカバンに分けて入れる
1 そのうち1つは、ふだん使うシステムとは別の場所に置く 1本は実家に預けておく

IPAは、バックアップに使う装置は「バックアップのときだけパソコンにつなぐ」ことも勧めています。警察庁も、ネットワークから切り離して保存しておくことを勧めています。つなぎっぱなしの外付けハードディスクは、パソコンと一緒にカギをかけられてしまうからです。

「本当に戻せるか」を確かめよう

バックアップは、戻せて初めて意味があります。IPAも「バックアップしたデータを戻せるか定期的に確認する」ことを対策として挙げています。

避難訓練と同じで、本番の前に一度やってみることが大切です。始めやすい確認の例です。

  • 大事なフォルダから数ファイルを選び、別の場所に戻して開けるか試す
  • 数日前や数週間前の時点のデータも戻せるか試す
  • 戻すのに何時間かかったかをメモしておく
  • 手順を紙やファイルに書き残し、担当者以外でもできるようにする

クラウド（インターネット上の保存サービス）に置いているデータも安心しきらないでください。総務省は、サービスの障害でデータが消え、規約上バックアップは利用者の責任だった、という事例を紹介しています。

まとめ

  • ランサムウェアは、データにカギをかけたり盗んだりして、お金を要求する悪いプログラムです。
  • 中小企業も多く被害にあっています。身代金を払っても、データが戻る保証はありません。
  • バックアップは「3つ・2種類・1つは別の場所」で取り、ふだんはネットワークから離しておきましょう。
  • 「本当に戻せるか」を定期的に試すことが、いざというときの安心につながります。

次に読む

参考資料