ランサムウェア対策、中小企業がまず何をすべきか｜被害事例から学ぶ初動対応
「ランサムウェア被害に遭うのは大企業だけ」というイメージを持っていないでしょうか。実際には、警察庁の統計でも被害の約3分の2が中小企業という結果が出ており、規模の大小を問わず備えが必要な脅威になっています。
この記事では、最新の被害統計と実際に報道された事例をもとに、ランサムウェアに感染してしまった場合にまず取るべき初動対応と、日頃からできる予防策を解説します。
※本記事は2026年7月4日時点の情報をもとに作成しています。最新の統計・注意喚起は警察庁・IPAの公式サイトでご確認ください。
拡大するランサムウェア被害の実態
警察庁サイバー警察局の発表によると、令和7年（2025年）上半期のランサムウェア被害報告件数は116件にのぼり、半期件数として過去最多の水準となりました。組織規模別に見ると、中小企業の被害は77件で全体の約66%を占め、件数・割合ともに過去最多を更新しています。
手口としては、データを暗号化するだけでなく、事前に窃取したデータを「対価を支払わなければ公開する」と脅す「二重恐喝型」が全体の約9割を占めています。侵入経路はVPN機器経由が6割超、リモートデスクトップ経由が2割強で、この2つで全体の8割以上に達しています。被害後の調査・復旧費用が1,000万円以上と回答した組織の割合は59%にのぼり、復旧までに1週間以上を要した組織も53.2%と、経営に与えるダメージは金銭・時間の両面で決して小さくありません。
IPA（情報処理推進機構)が発表する「情報セキュリティ10大脅威2026」でも、「ランサム攻撃による被害」は組織編で1位を維持しており、近年連続でトップの座にある深刻な脅威として位置づけられています。
なぜ中小企業が狙われやすいのか
被害の背景には「RaaS（Ransomware as a Service）」と呼ばれる、ランサムウェア攻撃のツールやインフラをサービスとして提供する仕組みの広がりがあります。専門的な技術がなくても攻撃を仕掛けられる攻撃者が増えたことで、これまで標的になりにくかった中小企業にも攻撃の裾野が広がっているとみられています。
加えて、大企業に比べてセキュリティ投資に割ける予算や専任担当者が少ない中小企業は、VPN機器やソフトウェアの脆弱性対応が後回しになりやすく、結果として攻撃者にとって「侵入しやすい標的」になってしまっているという構造的な問題もあります。
実際に何が起きるのか：報道された被害事例
統計上の数字だけでなく、実際の被害事例を知っておくことも、対策の重要性を社内で共有するうえで役立ちます。
医療機関のケース：電子カルテが使用不能に
2025年2月、栃木県の宇都宮セントラルクリニックでシステム障害が発生し、調査の結果ランサムウェア攻撃であることが確認されました。電子カルテをはじめとする院内システムが使用不能となり、患者・関係者の個人情報が最大約30万件、外部に流出した可能性があると公表されています。攻撃を主張したのは「Qilin」という脅威アクターでした。この事例は、業務システムの停止という直接的な被害だけでなく、大量の個人情報を扱う組織にとって情報漏えいという二次被害も伴うことを示しています。
サプライチェーンのケース：取引先経由で本体の工場が停止
2022年3月には、トヨタ自動車の部品サプライヤーである小島プレス工業がランサムウェアに感染したと報道され、これに伴いトヨタ自動車の国内全14工場が一時稼働を停止したとされています。この事例は、自社が直接ターゲットにされていなくても、取引先を経由した攻撃によって自社のセキュリティ対策の甘さが取引関係全体に影響を及ぼしうることを示す典型例として、たびたび取り上げられています。
この2つの事例に共通するのは、被害が「自社の中だけ」で完結しないという点です。医療機関のケースでは患者という第三者の個人情報が、サプライチェーンのケースでは取引先の生産活動が、それぞれ自社の被害の延長線上で影響を受けています。中小企業であっても、扱っている情報や取引関係次第で、被害の影響範囲は決して小さくないことを認識しておく必要があります。
感染したらまず何をすべきか（初動対応）
万が一ランサムウェアへの感染が疑われる場合、警察庁・IPAが推奨する初動対応は次のとおりです。
- ネットワークから物理的に隔離する：感染が疑われる端末は、被害拡大を防ぐためすぐにLANケーブルを抜く、Wi-Fiをオフにするなどしてネットワークから切り離します
- 警察に通報・相談する：最寄りの警察署のサイバー犯罪相談窓口、または警察庁が設置しているサイバー事案の通報・相談窓口に連絡します。関連する通信ログなどはできる限り保存しておきましょう
- 専門機関に相談する：IPAの「情報セキュリティ安心相談窓口」や、JPCERT/CC、契約しているセキュリティベンダーに調査を依頼することで、感染経路の特定や復旧の可能性を高められます
- 証拠を保全する：復旧を急ぐあまりログや暗号化されたファイルをむやみに削除せず、後の調査に使えるよう保全しておきます
身代金を支払うべきではない理由
攻撃者から身代金の支払いを要求されても、警察庁・IPAは一貫して支払わないことを推奨しています。主な理由は次の3点です。
- 支払ってもデータが復号される保証がない
- 攻撃者への資金供与となり、犯罪組織の活動資金になってしまう
- 「支払いに応じる組織」と認識されることで、再攻撃や追加の金銭要求を招くリスクが高まる
主な侵入経路と、今すぐできる予防策
前述のとおり、ランサムウェアの主な侵入経路はVPN機器とリモートデスクトップで全体の8割以上を占めます。警察庁のアンケート調査では、侵入経路となった機器のセキュリティパッチについて「適用済み」と回答した組織は約49%にとどまり、約半数が未適用のまま侵入を許していたことも分かっています。日頃からできる予防策として、次の項目に取り組むことをおすすめします。
- VPN機器・OS・ソフトウェアの定期的なアップデート：修正プログラム（パッチ）が公開されたら速やかに適用する
- 定期的なバックアップの取得：ネットワークから切り離した環境やオフラインの媒体にもバックアップを保管し、感染時にバックアップごと暗号化される事態を防ぐ
- 多層的な防御の導入：ウイルス対策ソフト（EPP）に加えて、感染後の不審な挙動を検知・隔離するEDR製品の導入も有効
- ネットワーク機器の脆弱性診断：VPN機器やルーターなど外部からアクセス可能な機器について、定期的に脆弱性の有無を確認する
- 従業員向けの情報セキュリティ研修：不審なメールや添付ファイルへの対応など、基本的な注意点を全社で共有する
基本的なセキュリティ対策の考え方については、別記事「中小企業が最低限やるべきサイバーセキュリティ対策5選｜IPAガイドラインをわかりやすく解説」もあわせてご覧ください。
よくある質問
Q. バックアップさえ取っていれば安心ですか？
バックアップは非常に重要な対策ですが、それだけでは万全とはいえません。バックアップ自体が社内ネットワークに接続されたままだと、ランサムウェアに一緒に暗号化されてしまう恐れがあります。オフラインの媒体や、本番環境とは切り離された別環境にもバックアップを保管しておくことが重要です。また、二重恐喝型の攻撃ではデータが暗号化されるだけでなく窃取・公開の脅しも伴うため、バックアップだけでは情報漏えいそのものは防げない点にも注意が必要です。あわせて、取得したバックアップが実際に復元できるかを一度試しておくことも重要です。データベースの場合、形式や取得範囲によっては復元できないことがあります（pg_dumpで復元できない原因）。
Q. 中小企業でもEDRのような高度な製品を導入すべきですか？
予算に余裕がない場合は、まずウイルス対策ソフト（EPP）の確実な導入とOS・ソフトウェアのアップデート、バックアップ体制の整備を優先し、そのうえで余力があればEDRの導入を検討する、という段階的な進め方で構いません。すべてを一度に揃えようとせず、侵入経路として比率の高いVPN機器・リモートデスクトップ周りの対策から着手するのが効率的です。
Q. 身代金の支払いは法律で禁止されていますか？
日本国内において、被害企業が身代金を支払うこと自体を直接禁止する法律は本記事執筆時点では確認できませんでした。ただし警察庁・IPAは一貫して支払いを推奨しておらず、前述のとおり復旧の保証がないことや、犯罪組織への資金供与になりうることから、支払いは避けるべきだとされています。
顧客情報が漏えいした場合の法的な報告義務にも注意
個人情報保護法では、要配慮個人情報の漏えいや、財産的被害が生じるおそれのある事態など一定の要件に該当する場合、個人情報保護委員会への報告および本人への通知が義務付けられています。前述の医療機関の事例のように、顧客・患者の個人情報を扱う中小企業がランサムウェア被害に遭った場合、システムの復旧だけでなく、こうした法的な報告義務への対応も同時に求められることになります。日頃からインシデント発生時の報告フローや相談先（顧問弁護士、個人情報保護委員会の窓口等）を確認しておくと、いざというときの対応がスムーズになります。
参考にした主な調査・資料
まとめ
ランサムウェア被害の約3分の2が中小企業という統計が示すとおり、この脅威はもはや大企業だけの問題ではありません。侵入経路の多くを占めるVPN機器・リモートデスクトップの管理を見直し、バックアップ体制を整えておくことが、被害の予防と万が一の際の早期復旧につながります。感染が疑われる場合は、慌てて身代金を支払おうとせず、まずネットワークからの隔離と警察・専門機関への相談を優先してください。
