日本企業のランサムウェア対策：防御だけでなく復旧まで備える理由

2026年上半期のランサムウェア被害から経営層が見るべき数字

警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、次のような結果が示されています。

• これらの数字を読む際には注意が必要です。
• 日本企業全体の平均ではありません。
• 質問ごとに有効回答数も異なります。

123件は警察に報告された被害であり、日本国内で実際に発生したすべてのランサムウェア被害を示すものでもありません。

また、「復旧期間」と会社全体が完全停止していた期間が必ず同じとは限りません。

それでも、このデータから一つ重要なことが分かります。

攻撃前のセキュリティ対策だけでなく、攻撃後に本当に復旧できるかが極めて重要です。

公式資料：警察庁：令和8年上半期のサイバー空間の脅威の情勢等（PDF） · 警察庁：令和8年上半期の統計データ（Excel）

ランサムウェアの攻撃方法は変化している

ランサムウェアというと、

ウイルス感染

ファイル暗号化

金銭要求

というイメージを持つ人も多いでしょう。

しかし、現在の攻撃はそれだけではありません。

警察庁は、VPN機器などインターネットに露出しているシステムの脆弱性、漏えいした認証情報、弱いパスワード、設定不備などを悪用し、まず企業ネットワークへ侵入する手口が多く確認されていると説明しています。

攻撃者は、最終的な暗号化を行う前に、社内環境を調査する。

• より高い権限を取得する。
• 重要なデータを探す。
• バックアップを探す。
• 機密情報を窃取する。
• セキュリティ機能を無効化する。
• といった活動を行う可能性があります。

さらに、データを暗号化すると同時に、事前に窃取した情報を、「支払わなければ公開する」と脅す、

二重恐喝

も確認されています。

また、ファイルを暗号化せず、情報だけを窃取し、公開すると脅して金銭を要求する、

ノーウェアランサム

も確認されています。

つまり、ランサムウェアでは、

Availability／利用可能性

と、

Confidentiality／機密性

の両方が問題になります。

システムを復旧できても、一度外部へ持ち出された情報を「元に戻す」ことはできません。

公式資料：警察庁：令和8年上半期のサイバー空間の脅威の情勢等（PDF）

暗号化が見つかった時点では、攻撃は既に終盤かもしれない

IPAが2026年9月に公開した、

「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」

では、暗号化が発覚した時点では、攻撃者の活動が既に最終段階に入っている可能性があるという重要な視点が示されています。

その前に、侵入。

• 内部調査。
• 権限取得。
• 横展開。
• 情報窃取。
• バックアップ探索。
• などが行われている可能性があります。

そして暗号化が始まった瞬間、企業側では一気に多くの判断が必要になります。

• 何が侵害されたのか。
• 業務を続けられるのか。
• どのシステムを隔離するのか。
• 何から復旧するのか。
• 情報は盗まれたのか。
• 誰に報告するのか。
• 社員へ何を伝えるのか。
• 顧客・取引先へ何を伝えるのか。
• 誰が最終判断するのか。
• これらを事故発生後に初めて考えるのは非常に困難です。

だからこそ、

ランサムウェア対応は、被害が発生する前から始まっています。

公式資料：IPA：ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜 · IPA：経営者のためのランサムウェア対策ハンドブック Ver.1.1（PDF）

もちろん、侵入防止は依然として重要

レジリエンスを考えるからといって、侵入防止を諦めるわけではありません。

警察庁は引き続き、基本的なセキュリティ対策の重要性を示しています。

特に、VPNなどのインターネット公開機器。

• リモートアクセス。
• 未修正の脆弱性。
• 漏えいした認証情報。
• 弱いパスワード。
• 設定不備。
• などが侵入に関係します。

2026年上半期に被害を受けた企業・団体のうち、

侵入経路について回答した36件では、

VPN機器が18件

リモートデスクトップが9件

でした。

ここで分母を正しく理解する必要があります。

「日本のランサムウェア攻撃の半分が必ずVPNから侵入する」という意味ではありません。

123件のうち、

侵入経路について有効回答が得られた36件での結果です。

それでも、

外部から社内へ接続する仕組みは、セキュリティ上非常に重要

だと言えます。

企業は、どのシステムがインターネットに公開されているか。

• 誰が管理しているか。
• まだ本当に必要か。
• アップデートされているか。
• どのアカウントから接続できるか。
• 強い認証を利用しているか。
• メーカーのサポートが終了していないか。
• を把握する必要があります。

公式資料：警察庁：ランサムウェア被害防止対策

ランサムウェア対策ではID・認証も重要

侵入経路は脆弱性だけではありません。

認証情報も重要です。

攻撃者が正規のID・パスワードを入手すれば、最初のアクセスは通常利用のように見える可能性があります。

確認したいことには、誰がリモートアクセスできるか。

• 誰が管理者権限を持つか。
• 不要なアカウントが残っていないか。
• 退職者・契約終了した協力会社のアカウントは削除されているか。
• 通常利用と管理者アカウントを分けているか。
• 必要な場所で多要素認証を利用しているか。
• 共有アカウントが残っていないか。
• 一つのアカウントが侵害されるだけで広範囲へアクセスできないか。
• などがあります。

多要素認証はアクセス保護を強めますが、侵害を完全に防ぐ保証ではありません。

それでも「100%防ぐ」ことを前提にはできない

どれだけ対策しても、

「絶対に侵入されない」

ことを前提とした経営は危険です。

警察庁も、日々変化・巧妙化するサイバー攻撃を完全に防ぐことは難しいため、サイバー攻撃を想定した備えが重要だと説明しています。

つまり企業は、

侵入される可能性を下げる

だけではなく、

侵入された場合の影響を小さくする

ことも考える必要があります。

これが、

サイバーレジリエンス

です。

公式資料：警察庁：ランサムウェア被害防止対策

図1：侵入から事業影響まで

「バックアップがあります」と「復旧できます」は違う

2026年上半期の警察庁データで、特に重要なのがバックアップです。

バックアップ取得状況について回答した50件のうち、

44件はバックアップを取得していました。

一見すると安心できる数字です。

しかし、バックアップから実際に復元できたかについて回答した40件では、

復元できた：11件

復元できなかった：29件

でした。

復元できなかった理由として最も多かったのは、バックアップ自体の暗号化・削除です。

その他、バックアップ運用上の問題なども報告されています。

ここでも、回答数が異なるため単純に同じ母数として計算してはいけません。

それでも重要な教訓があります。

バックアップは、実際に復元できることを確認して初めて「復旧能力」になります。

公式資料：警察庁：令和8年上半期のサイバー空間の脅威の情勢等（PDF） · 警察庁：令和8年上半期の統計データ（Excel）

「バックアップはありますか？」より重要な5つの質問

1. 攻撃対象の環境から十分に分離されているか？

警察庁は、必要に応じてネットワークから切り離したオフライン保存など、バックアップ自体が暗号化されないための対策を推奨しています。

2. 本当に必要なデータが入っているか？

バックアップがあっても、重要データベース。

• システム設定。
• ID情報。
• アプリケーション依存情報。
• 最新業務データ。
• などが不足している可能性があります。

3. 復元したことがあるか？

バックアップファイルが存在することと、システムを正常に戻せることは別です。

4. 実際にどれくらい時間がかかるか？

「復元可能」でも、

1日、

3日、

1週間

かかるのであれば、事業にとって意味が大きく変わります。

5. どの順番で戻すか？

すべてのシステムを同時に復旧できるとは限りません。

優先順位が必要です。

公式資料：警察庁：ランサムウェア被害防止対策

図2：バックアップから復旧能力へ

復旧優先順位はサーバー一覧では決められない

例えば企業に、メール。

• 認証基盤。
• ERP。
• ファイルサーバー。
• CRM。
• 製造システム。
• サプライヤーポータル。
• 人事システム。
• 顧客サイト。
• があるとします。
• どれを最初に復旧しますか？
• 正解は企業によって異なります。

製造業なら、生産関連システムが最優先かもしれません。

物流企業なら、配車・配送管理が重要かもしれません。

オンラインサービスなら、顧客向けサービスや認証基盤が優先かもしれません。

つまり、復旧優先順位はITだけでは決められません。

確認すべきなのは、重要業務。

• それを支えるシステム。
• 必要な社員。
• 必要な取引先。
• データ依存関係。
• 許容できる停止時間。
• 代替運用。
• 復旧順序。
• です。

公式資料：警察庁：令和8年上半期のサイバー空間の脅威の情勢等（PDF）

RTO・RPOを使うと「早く戻す」を具体化できる

RTO — Recovery Time Objective／目標復旧時間

そのシステム・業務を、どのくらいの時間以内に復旧する必要があるか。

例えば、

2時間。

1日。

3日。

1週間。

RPO — Recovery Point Objective／目標復旧時点

どの程度のデータ損失まで事業として許容できるか。

例えば、前日の状態まで戻ればよいのか。

1時間前まで必要なのか。

数分の取引データ消失も許容できないのか。

これは単なるIT設定ではありません。

経営・事業側の判断

です。

また、より短いRTO・RPOを実現するには、一般的により多くの投資や設計が必要になります。

公式資料：IPA：エンタプライズ系事業／ITサービス継続（アーカイブ）

普通の災害BCPだけでは足りない場合がある

多くの日本企業では、地震。

• 火災。
• 水害。
• 停電。
• などに備えたBCPを作成しています。
• これは非常に重要です。

しかし、警察庁は、ランサムウェアと物理災害では状況が異なり、調査・復旧・広報などについて異なる対応が必要になると説明しています。

例えば地震では、バックアップそのものが攻撃者によって意図的に破壊されることは通常ありません。

しかしサイバー攻撃では、本番システム。

• バックアップ。
• 管理者アカウント。
• ネットワーク。
• 復旧に必要な情報。
• そのものが攻撃対象になる可能性があります。

さらに、侵入経路調査。

• 封じ込め。
• 認証情報変更。
• 安全な再構築。
• 情報窃取の確認。
• 外部公表。
• 警察との連携。
• なども必要になる可能性があります。

そこで、

自社BCPに「サイバー攻撃」を想定したシナリオがあるか？

を確認する必要があります。

公式資料：警察庁：ランサムウェア被害防止対策

ランサムウェア向けBCPで事前に決めたいこと

これは法令チェックリストではありません。

経営・事業・ITで事前に話し合うための質問です。

経営判断を事故発生後に即興で作らない

IPAの2026年9月のランサムウェア教訓集では、

経営者による迅速な経営判断と明確な関与

が重要なテーマの一つになっています。

ランサムウェアでは、システム停止。

• 生産停止。
• 顧客対応。
• 手作業への切り替え。
• 外部公表。
• 取引先連絡。
• 調査費用。
• 復旧投資。

など、技術だけでは決められない判断が発生します。

数千万円・数億円規模の事業影響につながる判断を、偶然その日にセキュリティアラートを見つけた担当者一人へ任せることはできません。

事前に、

誰が何を決められるのか

を明確にしておく必要があります。

公式資料：IPA：ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜 · 経済産業省・IPA：サイバーセキュリティ経営ガイドラインVer.3.0実践のためのプラクティス集

図3：ランサムウェアは技術事故から経営事故へ変わる

ランサムウェアが疑われた場合

実際の初動対応は、システム環境、被害範囲、業種、契約、法的要件などによって異なります。

したがって、自社のインシデント対応計画と、適切な専門家の指示に従う必要があります。

その上で、警察庁はいくつかの一般的な考え方を示しています。

被害拡大を防ぐ

警察庁は、ランサムウェア感染が疑われる端末等をネットワークから隔離することを案内しています。

一方、調査に必要な情報が失われる可能性があるため、安易に電源を落とさないよう注意も示しています。

可能であれば、適切なインシデント対応専門家と連携して判断します。

調査に必要な情報を守る

• ネットワーク機器。
• サーバー。
• 端末。
• 認証基盤。

などのログは、侵入経路。

• 侵害範囲。
• 攻撃者の活動。
• を理解するための重要な情報になります。

警察へ通報・相談する

警察庁は、ランサムウェア被害に遭った場合、最寄りの警察署またはサイバー犯罪相談窓口への通報・相談を案内しています。

場合によっては、初動支援や利用可能な復号情報等につながる可能性もあります。

同時に事業対応を開始する

技術的な封じ込めだけでなく、経営へのエスカレーション。

• 事業継続。
• 広報。
• 個人情報・法務対応。
• 顧客・取引先対応。
• 復旧計画。
• も並行して進める必要があります。

公式資料：警察庁：ランサムウェア被害防止対策 · 警察庁：サイバー事案に関する相談窓口

急いで復旧するあまり証拠を失わない

被害が発生すると、

「とにかく早くシステムを戻してほしい」

という圧力が生まれます。

当然です。

しかし、侵入経路を確認せずに復旧すれば、同じ経路から再侵入される可能性があります。

ログや証拠を失えば、何が起きたのか。

• どこまで侵害されたのか。
• 情報は盗まれたのか。
• 再発をどう防ぐか。
• を判断しにくくなります。

復旧では、

事業を早く戻す

ことと、

安全に戻す

ことの両方を考える必要があります。

公式資料：IPA：ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜

システムが動くことと「信頼できる状態に戻ること」は違う

例えば、サーバーが暗号化された。

• 昨日のバックアップから復元した。
• サーバーが起動した。
• これで終わりでしょうか。
• まだ確認すべきことがあります。
• 攻撃者が使ったアカウントは残っていないか。
• VPNの脆弱性はまだ存在していないか。
• 管理者パスワードは盗まれていないか。
• 他システムにマルウェアが残っていないか。
• バックドアは作られていないか。
• 別のシステムも侵害されていないか。
• 機密情報が持ち出されていないか。

つまり、

システムの復旧

と、

安全な環境への復旧

は同じではありません。

情報窃取があると復旧問題はさらに難しくなる

現代のランサムウェアでは、暗号化前に情報を持ち出すケースがあります。

その場合、システムを元に戻せても、外部へ流出した情報を「戻す」ことはできません。

そこで、どの情報がアクセスされた可能性があるか。

• 事業上どの程度重要か。
• 個人情報等が含まれるか。
• どのような法令・規制・契約上の対応が必要か。
• 誰へ説明する必要があるか。
• 公開された場合どう対応するか。
• などを検討する必要があります。

IPAの2026年ランサムウェア教訓集でも、

窃取されたデータの暴露への備え

が経営・リスク管理上の重要項目として整理されています。

そのため、ランサムウェア対策には、

自社がどのデータをどこに保有しているかを平時から把握すること

も含まれます。

法令上の対応・報告義務は、事故の内容、影響を受けた情報、適用される規則によって異なります。個別事情に応じた専門家の助言を確認してください。

公式資料：IPA：ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜

身代金要求にはどう対応するか？

これは実際のランサムウェア事案で最も難しい判断の一つです。

警察庁は被害者に対して、要求された金銭を支払うことについて、

犯罪グループ等の活動資金になる懸念がある

こと、そして、

支払っても暗号化されたデータの復号が保証されない

ことを説明しています。

実際の事案では、法務。

• 制裁。
• 契約。
• 保険。
• 事業継続。

その他の個別事情が関係する可能性もあります。

そのため、ランサムノートを見て経営者一人が即座に判断するのではなく、経営。

• 警察。
• 法務専門家。
• インシデント対応専門家。
• 必要に応じて保険会社。
• などと連携して検討することが重要です。
• 本記事は個別事故についての法的助言や支払判断を提供するものではありません。

重要なのは、

この判断に誰が参加するかを、事故発生前に決めておくこと

です。

公式資料：警察庁：ランサムウェア被害防止対策 · 国家サイバー統括室：サイバーセキュリティ関係法令Q&AハンドブックVer.2.0（Q62：ランサムウェア）

サイバー保険だけではレジリエンスにならない

サイバー保険は、契約内容によって、サイバー事故による一定の費用・損害をカバーできる場合があります。

しかし保険は、壊れたバックアップを直してくれません。

• 不足したログを作ってくれません。
• 復旧順序を決めてくれません。
• 手作業の業務フローを作ってくれません。
• 流出したデータを取り戻してくれません。
• インシデント対応計画の代わりにもなりません。

事故前に、何が補償されるか。

• 誰へ連絡する必要があるか。
• 指定業者があるか。
• 免責・除外事項は何か。
• どの判断で保険会社への連絡が必要か。
• を確認することが重要です。
• 保険はレジリエンスの一部になり得ます。

しかし、

保険そのものがレジリエンスではありません。

よくある「安心材料」を実際に確認する

ランサムウェア対策を4つの層で考える

Axtonによる説明用の編集モデルであり、警察庁・IPA・経済産業省・国家サイバー統括室の公式モデルではありません。

第1層だけ強くしても、第3・第4層が弱ければ、事故発生後に大きな混乱が起こる可能性があります。

防御と復旧を一つの対策として考える

外部露出

攻撃入口になり得る公開システムは何か

ID

一つのアカウント侵害で広範囲へアクセスできないか

脆弱性管理

重要な外部公開脆弱性をどれくらい早く対応できるか

検知

暗号化前の不審動作に気づけるか

封じ込め

侵害されたシステム・アカウントを隔離できるか

バックアップ

本番環境から守られているか

復元

実際に復元テストしているか

事業継続

システムなしで一時的に業務を続けられるか

権限

緊急判断を誰が行うか

証拠

調査に必要なログがあるか

連絡

通常システム停止時も連絡できるか

外部支援

緊急時に誰へ連絡するか決まっているか

一つのセキュリティ製品ですべてを解決することはできません。

訓練の価値

ランサムウェア対応計画は、紙の上では完璧に見えるかもしれません。

しかし、実際に使えるかどうかは別です。

例えば、次のような机上訓練を行います。

• そこで質問します。
• 最初に誰へ連絡するか？
• 誰がシステム隔離を判断できるか？
• 工場は動かすか？
• 社員へどう指示するか？
• 外部セキュリティ会社へ誰が連絡するか？
• 緊急連絡先はどこに保存されているか？
• 顧客対応を続けられるか？
• 何から復旧するか？
• バックアップは復元できるか？
• 外部公表を誰が承認するか？
• 警察へ誰が連絡するか？

訓練で答えられないことがあれば、それは失敗ではありません。

本物の攻撃者より先に、弱点を見つけられたということです。

公式資料：警察庁：ランサムウェア被害防止対策

復旧テストも現実的である必要がある

良い復旧テストは、

「バックアップファイルが存在することを確認した」

だけではありません。

確認したいのは、アプリケーションを復元できるか。

• ユーザーが認証できるか。
• データベースへ接続できるか。
• 証明書・秘密情報がそろっているか。
• ネットワーク設定は正常か。
• 関連システムから接続できるか。
• 実際の重要業務を最後まで実行できるか。
• 何時間かかったか。
• どの程度データが失われたか。
• どこで失敗したか。
• です。

そこで初めて、現実的なRTO・RPOを設定・改善できます。

公式資料：IPA：ランサムウェア被害から学ぶ教訓集〜経営者のためのランサムウェア対策ハンドブック〜

取引先もランサムウェア計画に入れる

企業内部だけ準備していても、重要業務が、クラウド事業者。

• IT保守会社。
• ソフトウェア会社。
• 物流会社。
• 設備保守会社。
• 決済会社。
• 重要サプライヤー。
• に依存している可能性があります。

ランサムウェアでは、

2つのシナリオを考える必要があります。

自社が攻撃された場合

復旧するために、どの外部企業が必要か？

重要取引先が攻撃された場合

その会社が停止しても、自社事業を継続できるか？

つまり、ランサムウェア対策と、サプライチェーンセキュリティは密接につながっています。

これは日本で準備が進むSCS評価制度とも関連するテーマです。

日本のSCS評価制度について読む

中小企業は「大企業と同じ組織」を作る必要はない

50人の会社が、

• 世界的大企業と同じセキュリティ組織を持つことは現実的ではありません。
• CISO。
• SOC。
• 専任インシデント対応チーム。
• フォレンジック専門家。
• 個人情報専門部署。
• BCP専門部署。
• がすべて社内にいるとは限りません。

しかし、重要システム。

• バックアップ責任者。
• 外部IT会社。
• 経営判断者。
• 手作業で続けられる業務。
• 警察への連絡先。
• 保険会社。
• 広報方法。
• 事故時に依頼する専門家。
• を事前に整理することはできます。

目的は、巨大な組織を作ることではありません。

緊急時に迷わない状態を作ることです。

公式資料：IPA：ランサムウェア対策特設ページ

Axton Group LTD Japanが支援できる領域

プロジェクト範囲と実際の技術要件に応じて、Axton Group LTD Japanでは、ランサムウェア準備状況の確認。

• 重要業務・重要システム整理。
• 資産・アクセス・依存関係整理。
• バックアップ・復旧準備の確認。
• サイバー攻撃を想定したBCP整理。
• インシデント対応の役割・エスカレーション設計。
• 机上訓練の計画。
• 重要取引先・外部依存関係の整理。
• セキュリティポリシー・ガバナンス。
• 是正ロードマップ。
• セキュリティ業務ワークフロー設計。
• などを支援できる可能性があります。

一方、高度なデジタルフォレンジック。

マルウェア解析。

24時間監視。

• 専門的な封じ込め。
• 高度なペネトレーションテスト。
• 専門的なOTインシデント対応。

などが必要な場合には、プロジェクト内容に応じて、適切な専門家・パートナーとの連携が必要になる場合があります。

Axtonが保有していない専門能力まで、自社能力であるかのように表現するべきではありません。

それ自体が、責任あるサイバーセキュリティの考え方です。

サイバーセキュリティ・サイバーレジリエンス支援を見る

セキュリティ業務ワークフローは、タスクの記録、確認の振り分け、意思決定履歴の管理を支えます。エンタープライズ業務の連携を見る

ランサムウェアに備えることは「攻撃される前提」ではない

「被害発生後のことを考えるのは悲観的だ」と感じる企業もあるかもしれません。

しかし企業は普段から、火災。

• 地震。
• 設備故障。
• 停電。
• 取引先停止。
• 社員の緊急事態。
• などに備えています。

サイバー攻撃も、同じように事業継続の視点で考える必要があります。

目的は、「必ず攻撃される」と考えることではありません。

目的は、

一度の侵入成功が、そのまま企業全体の存続危機にならないようにすること

です。

経営層が問うべきランサムウェアの質問

次の問いではありません。

「セキュリティ部門は、ランサムウェアを絶対に防げますか？」

責任あるセキュリティ担当者なら、そのような保証はできません。

代わりに聞くべきなのは、

「攻撃者が成功しにくい状態をどこまで作れているか。そして、それでも侵入された場合、被害をどこまで限定し、どれくらい早く判断・復旧できるか？」

です。

これが、

セキュリティ対策を持っている企業

と、

サイバーレジリエンスを持つ企業

の違いです。

2026年の日本のランサムウェア情勢は、

その両方が必要であることを示しています。

よくあるご質問