【情報セキュリティマネジメント】ランサムウェアとは｜二重脅迫・リークサイト・RaaS・初動対応

ランサムウェアは、データやシステムを利用できない状態にし、復旧や窃取情報の非公開などを材料として金銭を要求する攻撃に用いられるマルウェアです。

「ファイルを暗号化して身代金を要求するもの」という説明が基本ですが、現在の手口は暗号化だけではありません。

• 暗号化前に情報を窃取する
• 窃取情報を公開すると脅す
• 取引先や顧客へ連絡すると脅す
• バックアップや監視機能を破壊する
• 暗号化を行わず、情報窃取と公開の脅しだけで金銭を要求する
• RaaSによって開発者と攻撃実行者が分業する

そのため、ランサムウェア対策を「バックアップさえあればよい」と考えるのは不十分です。

この記事では、ランサムウェアの基本、二重脅迫、リークサイト、RaaS、主な侵入経路、発見時の初動、身代金支払の判断を一つの流れで整理します。

先に結論：復旧できることと、漏えいを防げることは別

二重脅迫を伴うランサムウェア攻撃では、攻撃者は二つの圧力を組み合わせます。

バックアップは、暗号化されたデータを「復号する」ものではありません。

攻撃者の暗号化や侵害の影響を受けていないバックアップから、クリーンな環境へデータやシステムを復元するための手段です。

したがって、バックアップから業務を復旧できても、既に窃取された情報の漏えいリスクは残ります。

1．ランサムウェアの基本

典型的なランサムウェア攻撃では、次のような被害が発生します。

• 業務ファイルが暗号化される
• サーバや端末を利用できなくなる
• 共有フォルダや仮想環境へ被害が広がる
• 接続されたバックアップが削除・暗号化される
• 認証情報や機密情報が窃取される
• 復号や情報の非公開と引換えに金銭を要求される
• 調査と復旧によって業務停止が長期化する

暗号化される対象は、感染した一台のPC内だけとは限りません。

攻撃者が管理者権限などを取得している場合、共有ストレージ、サーバ、仮想基盤、バックアップ管理環境などへ被害が広がる可能性があります。

また、攻撃者は侵入直後に暗号化を始めるとは限りません。ネットワーク内を調査し、認証情報を盗み、権限を拡大し、情報を窃取した後で暗号化する場合があります。

2．二重脅迫：暗号化と情報公開の脅しを組み合わせる

二重脅迫は、一般に次の二つを組み合わせる手口です。

1. データやシステムを暗号化し、業務を停止させる
2. 事前に窃取した情報を公開すると脅す

英語ではDouble Extortionと呼ばれます。

典型的な流れ

1. VPN（Virtual Private Network）機器、漏えいした認証情報、標的型メールなどから侵入する
2. 内部の端末・サーバ・アカウントを調査する
3. 権限を拡大し、別のシステムへ侵害を広げる
4. 機密情報を外部へ窃取する
5. データやシステムを暗号化する
6. 復号と情報の非公開を材料に金銭を要求する

ただし、全ての事例がこの順序になるわけではありません。

暗号化を行わず、窃取した情報の公開だけを材料に金銭を要求する「ノーウェアランサム」と呼ばれる手口も確認されています。

したがって、次の説明は誤りです。

ランサムウェアはデータを暗号化するだけであり、情報窃取や公開の脅しは行わない。

現在は、暗号化による可用性への被害と、情報窃取による機密性への被害を同時に受ける可能性があります。

3．バックアップだけでは二重脅迫を解決できない

安全で利用可能なバックアップは、ランサムウェア被害からの復旧に重要です。

しかし、バックアップには役割と限界があります。

バックアップが役立つこと

• 暗号化されたデータを使わず、バックアップから被害前のデータを復元する
• システムを再構築する
• 業務停止時間を短縮する
• 攻撃者の復号鍵へ依存せず復旧する

バックアップだけでは解決できないこと

• 既に窃取された情報を攻撃者から取り戻す
• 攻撃者が保有する複製を削除する
• 情報公開を確実に防ぐ
• 侵入経路や不正アカウントを除去する
• 個人情報・営業秘密の漏えい対応を不要にする
• 顧客や取引先の信用への影響をなくす

さらに、バックアップ自体が同じネットワークや同じ管理権限へ依存している場合、攻撃者によって削除・暗号化される可能性があります。

そのため、バックアップは次の観点で整備します。

• 通常環境から直接書き換えにくい状態で保管する
• 複数世代を保持する
• 復元試験を行う
• 復旧順序と責任者を定める
• バックアップ環境のアカウントと権限を分離する
• 復旧先がクリーンであることを確認する

具体的なバックアップ方式や3-2-1ルールは、「データ保護とバックアップ」で扱います。

4．リークサイト：窃取情報を公開して圧力をかける

リークサイトは、ランサムウェア攻撃者などが、窃取したと主張する情報の一部を掲載し、被害組織へ支払の圧力をかけるために利用するサイトです。

攻撃者は、次のような情報を掲載する場合があります。

• 被害組織名
• 支払期限
• 窃取したと主張するファイル名
• 文書や画像の一部
• 個人情報、取引先情報、財務情報の見本
• 追加公開を示す予告

リークサイトによって生じ得る影響

• 個人情報や営業秘密の漏えい
• 取引先・顧客への二次被害
• フィッシングや詐欺への悪用
• 組織の信用低下
• 法令・契約に基づく報告や通知
• 公開情報の複製・再拡散
• 第三者による長期的な保有・再利用

ただし、リークサイトへ掲載された情報だけで、侵害範囲の全体を判断することはできません。

• 掲載された情報が本物か
• 掲載されていない情報も窃取されたか
• どの期間、どのシステムが侵害されたか
• 個人情報や営業秘密が含まれるか

などを、ログ、端末、通信記録、クラウド監査記録などから調査する必要があります。

5．RaaS：ランサムウェア攻撃を支える分業・サービス型の仕組み

RaaSは、Ransomware as a Serviceの略です。

ランサムウェアの開発者・運営者が、攻撃を実行する者へ攻撃に必要な機能や基盤を提供し、得られた金銭の一部を受け取るなどの分業形態を指します。

提供され得るもの

• ランサムウェア本体
• 攻撃状況を管理する画面
• 身代金要求文
• 支払案内
• リークサイト
• 被害組織との交渉機能
• 復号機能
• 技術サポート

開発・基盤運営を担う者と、組織への侵入・攻撃を実行する者が役割分担することで、高度なマルウェア開発能力をもたない者でも攻撃へ参加しやすくなります。

RaaSは、次のものではありません。

• 暗号方式の名称
• 感染経路の名称
• 一種類のランサムウェア名
• 被害組織が利用する復旧サービス

RaaSは、ランサムウェア攻撃を実行・運営するためのサービス型・分業型の仕組みです。

6．主な侵入経路

ランサムウェア攻撃では、最初から暗号化プログラムだけが送り込まれるとは限りません。

攻撃者は、組織のネットワークへ侵入し、内部を調査した後でランサムウェアを実行する場合があります。

公開機器・サービスの脆弱性

• VPN機器
• リモートアクセス機能
• ファイアウォール
• Webサーバ
• 業務用ソフトウェア
• クラウド管理画面

未修正の脆弱性や設定不備が侵入へ悪用される可能性があります。

認証情報の悪用・認証設定の弱さ

• 別の事故で漏えいしたID・パスワード
• 推測されやすいパスワード
• 使い回されたパスワード
• 初期パスワードの放置
• 多要素認証を設定していない管理者アカウント

漏えいした認証情報だけでなく、推測されやすい認証情報や弱い認証設定も侵入へ悪用される場合があります。

フィッシング・標的型メール

添付ファイルやリンクからマルウェアを実行させたり、偽サイトで認証情報を窃取したりして、最初の侵入地点を作る手口です。

委託先・取引先経由

保守事業者、委託先、取引先などが侵害され、その接続経路やアカウントを通じて侵入される場合があります。

7．侵入後に行われる活動

攻撃者は侵入後、直ちに暗号化を開始するとは限りません。

次のような活動を行い、より大きな被害を与えられる状態を作ります。

1. 端末、サーバ、ネットワーク構成を調査する
2. ID、パスワード、認証トークンなどを窃取する
3. 管理者権限を取得する
4. 内部の別端末やサーバへ移動する
5. バックアップや監視機能を確認・妨害する
6. 重要情報を外部へ送信する
7. 多数の端末・サーバでランサムウェアを実行する
8. 身代金を要求する

内部の別システムへ侵害を広げる活動は、ラテラルムーブメントと呼ばれます。詳しくは「標的型攻撃」で解説します。

8．発見者の初動：独断で復旧・調査・交渉しない

業務用PCへ身代金要求画面が表示された場合、発見者が独断で復旧や調査を始めるのは不適切です。

最初に優先するのは、被害拡大を防ぎ、組織として対応を開始することです。

発見者が行うこと

• 所定の窓口へ直ちに報告する
• 感染が疑われる端末をネットワークから隔離する
• 電源は切らず、必要以上の操作をしない
• 発見時刻、画面表示、直前の操作などを記録する
• 組織のインシデント対応手順と役割分担に従う
• 攻撃者へ独断で連絡しない
• 単独で初期化、復元、支払を行わない

電源を切るか、LANケーブルを抜くか

警察庁は、被害拡大を防ぐため、感染端末のLANケーブルを抜く、又は無線通信を無効化してネットワークから隔離するよう案内しています。一方、調査に必要なログなどが失われる場合があるため、端末やネットワーク機器の電源は落とさないよう案内しています。

組織内で隔離方法や担当者が定められている場合は、その手順と役割分担に従います。発見者が安全に隔離できない場合や操作方法が分からない場合は、電源を切ったり他の設定を変更したりせず、所定窓口へ直ちに報告して指示を受けます。

基本は、ネットワークから隔離して被害拡大を防ぎ、電源を維持して調査に必要な情報を残すことです。

「直ちに電源を切る」「誰にも連絡せず何もせず待つ」と一律に考えず、隔離、証拠保全、報告の目的を区別します。

9．対応担当者の初動

インシデント対応担当者は、定められた権限と手順に従って対応します。

• 感染端末・対象区域のネットワーク隔離
• 被害拡大の監視
• ログ、メモリ、端末情報などの保全
• 侵入経路と侵害範囲の調査
• 不正アカウント、認証情報、トークンの失効
• バックアップや復旧環境の安全確認
• 経営層、法務、広報、個人情報保護担当への報告
• 警察、専門機関、委託先などとの連携
• 原因除去後の復旧

原因や侵害範囲を確認せず、端末を初期化して業務だけを再開すると、侵入経路、バックドア、不正アカウントなどが残り、再度被害を受けるおそれがあります。

ただし、証拠保全と事業継続の優先順位は、組織の方針、被害状況、法令・契約上の要求などを踏まえて判断します。

インシデントハンドリングの段階や詳細な手順は、「インシデントハンドリングの4段階」で扱います。

10．身代金を支払っても復旧・非公開は保証されない

身代金を支払っても、次のことは保証されません。

• 復号鍵が提供される
• 全てのデータを正常に復号できる
• システムが安全な状態へ戻る
• 窃取情報が削除される
• 情報が公開されない
• 攻撃者が追加要求をしない
• 別の攻撃者へ情報が渡らない
• 同じ組織が再び攻撃されない

さらに、支払が犯罪グループの活動資金になることも懸念されます。

誰が判断するか

現場の発見者やシステム担当者が、独断で支払の可否を判断してはいけません。

組織内では、経営層、インシデント対応責任者、法務・コンプライアンス担当、財務・保険担当などが、復旧可能性、情報漏えい、事業継続、契約、法令その他の影響を整理します。

必要に応じて、警察、保険会社、インシデント対応の専門家、弁護士などへ相談し、法令等に基づく報告先がある場合は、所管機関への報告・相談も行います。

SGでは、次の点を押さえます。

身代金の支払は、担当者が技術的な都合だけで決めるものではなく、組織として検討する経営上の判断です。支払っても、復号、情報削除、非公開、再攻撃の防止は保証されません。

11．ランサムウェアを似た攻撃と区別する

ボットネットとC&Cサーバの定義は「マルウェアの分類」、DDoS攻撃は「ネットワーク・通信への攻撃」で扱います。

よくある取り違え

科目Bでの判断手順

1. 何が利用できなくなったかを確認する

ファイル、サーバ、共有ストレージ、バックアップなどの被害を確認します。

1. 情報窃取の兆候があるか確認する

暗号化だけか、外部送信や公開の脅しもあるかを区別します。

1. 二重脅迫・リークサイト・RaaSのどれを問うているか確認する

攻撃手口、公開の場、分業形態を混同しません。

1. 発見者が独断で行動していないか確認する

調査、初期化、復元、攻撃者への連絡、支払を単独で行う選択肢に注意します。

1. 報告・隔離・証拠保全の目的を確認する

組織の手順に従い、被害拡大を防ぎながら調査に必要な情報を残します。

1. バックアップの効果と限界を区別する

復旧には役立ちますが、窃取された情報の非公開は保証しません。

1. 支払を確実な解決策としていないか確認する

復号、削除、非公開、再攻撃防止は保証されません。

まとめ

• ランサムウェアは、データ・システムの利用不能化や情報の非公開などを材料に金銭を要求する攻撃に用いられる
• 現在の手口は暗号化だけでなく、情報窃取、公開の脅し、暗号化なしの恐喝も含む
• 二重脅迫は、暗号化による業務停止と、窃取情報の公開の脅しを組み合わせる
• 安全なバックアップは復旧に有効だが、窃取された情報の漏えいリスクはなくならない
• バックアップは暗号化を復号するのではなく、クリーンな環境へ復元する手段
• リークサイトは、窃取情報の一部などを公開して圧力をかけるために利用される
• リークサイトの掲載だけで侵害範囲の全体は判断できない
• RaaSは、ランサムウェア攻撃の機能や基盤を提供する分業・サービス型の仕組み
• 攻撃者は侵入後、認証情報の窃取、権限昇格、内部移動、情報窃取などを行う場合がある
• 発見者は、所定窓口へ直ちに報告し、感染が疑われる端末をネットワークから隔離する
• 原則として電源は切らず、ログ・メモリなどの証拠保全と被害拡大防止を両立する
• 発見者が独断で初期化、復元、攻撃者への連絡、支払を行わない
• 身代金を支払っても、復号、情報削除、非公開、再攻撃防止は保証されない
• 支払を含む対応は、経営層、法務、警察、専門家などと連携して組織的に判断する

関連記事

• C1-T03：マルウェアの分類
• C1-T05：標的型攻撃
• C1-T09：ネットワーク・通信への攻撃
• C5-T07：マルウェア対策
• C5-T10：データ保護とバックアップ
• C6-T01：インシデントハンドリングの4段階
• C6-T02：初動対応とエスカレーション
• C6-T03：封じ込めから復旧まで
• C6-T06：事業継続とBCP（RTO・RPO・RLO）
• C8-T02：個人情報の取扱いルール

参考資料・基準日

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• 警察庁「ランサムウェア被害防止対策」
• CISA「#StopRansomware Guide」
• 英国NCSCほか「Guidance for organisations considering payment in ransomware incidents」

記事最終確認日：2026年8月7日

関連する問題

• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 択一式（応用） 第11問〜第15問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 一問一答 第26問〜第30問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 一問一答 第31問〜第35問
• 情報セキュリティマネジメント 情報セキュリティの基礎・脅威・攻撃 一問一答 第36問〜第40問

---