ランサムウェアのおもな感染経路とは？感染防止の対策、感染した場合の対処法も解説

近年、企業を狙ったサイバー攻撃が増加しており、その中でも特に被害が深刻化しているのが「ランサムウェア」です。ランサムウェアは感染するとデータが暗号化され、復旧のために多額の身代金を要求されるケースが多く、企業に甚大な損害をもたらします。

しかし、ランサムウェアによる被害は「あらかじめ感染経路を知ること」で防ぐことが可能です。この記事では、ランサムウェアの感染経路やその手口の変化、そして万が一感染した場合の対策について詳しく解説します。

Cloud Mail SECURITYSUITEのサービス資料を受け取る

ランサムウェアとは

ランサムウェアとは、端末やサーバー内のデータを暗号化して使用不能にして、復旧と引き換えに金銭や暗号資産を要求する悪意ある不正プログラムです。攻撃手法は進化しており、データを暗号化するだけではなく、データを窃取して公開すると脅す「二重脅迫型」も増えています。 以下でランサムウェアのおもな種類について解説します。 　

画面ロック型

画面ロック型ランサムウェアは、パソコンやスマートフォンなどの画面をロックして操作不能にした上で、解除コードと引き換えに身代金を要求する悪意あるプログラムです。特にスマートフォンなどのモバイルデバイスが標的になる傾向にあります。

再起動をしてもロックが解除されないだけではなく、端末の起動自体が妨げられるなど、復旧が困難になるケースもあります。 　

暗号化型

暗号化型ランサムウェアは、端末内のデータを不正に暗号化して使用できない状態にして、復旧と引き換えに身代金を要求する攻撃手法です。ただし、身代金を支払ってもデータが復元される保証はありません。重要データへのアクセスが阻害されるため、企業の業務に多大な損失が生じる可能性があります。 　

恐喝型

恐喝型ランサムウェアは、窃取したデータを暗号化せずに、公開や暴露を示唆して身代金を要求する手口です。特に企業の機密情報や顧客データを持つ組織が狙われやすく、被害者は深刻な情報漏えいリスクに晒されます。近年は、データを暗号化した上で窃取・公開を脅迫する「二重恐喝型」も増えています。 

ランサムウェアが企業にもたらす被害

ランサムウェアによる被害や影響は多岐にわたります。ここでは、おもな被害について解説します。　

業務やサービスの停止

ランサムウェア感染による被害として、基幹システムや生産設備、製造ラインの停止に伴う業務の停滞や停止が挙げられます。業務停止による売上機会の損失に加え、感染経路や被害状況を調べる調査費用、データやシステムの復旧や再構築費用、専門家の人件費、再発防止のための対策費用なども発生します。復旧まで長期間を要すると、企業経営が大きく圧迫されます。 　

情報漏洩

ランサムウェア攻撃では、システムに保存された個人情報や機密情報が不正に持ち出されるリスクがあります。個人情報が流出すると、顧客や取引先から損害賠償を求められるほか、関連法令に基づく行政指導や罰則といった法的な責任が生じます。また、企業の信用低下や取引先との関係悪化、対応や再発防止に伴う費用の発生など、長期的な影響も生じかねません。 　

社会的信用の失墜

ランサムウェアによる業務停止や情報漏えいは、企業の社会的信用やブランドイメージの失墜につながります。顧客や取引先からセキュリティ体制に不安を抱かれて、契約の見直しや新規取引の停止など、ビジネスの機会損失が生じます。

また、SNSなどで被害状況が拡散されると、企業への評価はさらに低下します。失った信頼を取り戻すためには、長期的な対応や広報活動、コストが必要になります。 

ランサムウェアのおもな感染経路

ランサムウェアのおもな感染経路は以下の7つです。

VPN機器やネットワーク接続からの感染

VPN機器やネットワークの脆弱性を突いてランサムウェアが侵入するケースがあります。VPNは、外部からでも企業内部と同じレベルのネットワーク環境を安全に利用できる仕組みです。しかし、VPN機器そのものに脆弱性が存在すると、攻撃者に利用される危険性があります。

特に、企業ネットワークへのアクセスを可能にするような設定ミスや、脆弱性のある古い機器の使用は、攻撃者に侵入のきっかけを与えてしまうことになります。近年では、不特定多数を狙う攻撃だけではなく、特定の組織を狙って、長期間にわたり侵入を試みる「標的型攻撃」も増加傾向にあるため、注意が必要です。 　

リモートデスクトップからの感染

リモートデスクトップ機能を狙ったランサムウェアの感染ケースも多発しています。リモートデスクトップは、離れた場所からオフィス内のデバイスを操作できる便利な仕組みですが、このシステムに不備があると、攻撃者に侵入される危険性が高まります。

具体的には、弱いパスワードやセキュリティ更新の欠如、権限管理の甘さが原因となる場合がほとんどです。リモートデスクトップを活用する際には、必ず強力なパスワードを設定し、2要素認証を有効にするなどの対策を講じる必要があります。

不審なメール・添付ファイルからの感染

一般的な感染経路のひとつが、不審なメールや添付ファイル付きメールです。ランサムウェアの多くは、フィッシングメールを利用して企業のネットワークに侵入します。攻撃者は、信頼性のある組織や個人を装い、悪質なリンクや添付ファイルを送信します。

不明な送信元からのメールを不用意に開かないことが基本であるものの、それだけでは感染を防ぎきれないケースもあります。有効な対策としては、従業員向けのセキュリティ教育や、メールのフィルタリングシステムの導入が挙げられます。 　。

Webサイトの閲覧による感染

悪意のあるWebサイトの閲覧も、ランサムウェアに感染するリスクにつながります。攻撃者は、特定のWebページに悪意のあるスクリプトを埋め込み、訪問者がページを開いた瞬間にランサムウェアを自動的にダウンロードさせる手法を取ることがあります。

このような手口では、ユーザが気付かないうちにバックグラウンドでダウンロードが進み、システム内に侵入されてしまいます。

基本的な対策は、業務に無関係なWebサイトへのアクセスを避けることです。特に、不正なポップアップ広告が目立つサイトや、読み込みが極端に遅いサイトは危険であるため、アクセスを控えましょう。

ソフトウェアやファイルのダウンロードによる感染

不正なソフトウェアやファイルをダウンロードすることも、ランサムウェア感染の原因となります。正規のソースではないソフトウェアやファイルには、ランサムウェアが仕込まれているケースがあります。

安全なダウンロードを行うためには、信頼できる公式サイトや認証済みのソースからのみソフトウェアやファイルを入手することが重要です。

記録メディアからの感染

USBメモリや外付けHDDなどの記録メディアも、ランサムウェア感染のルートになることがあります。例えば、感染した記録メディアをコンピューターに接続した際、システム内部にマルウェアが侵入し、ランサムウェアが展開されるケースがあります。

記録メディアからの感染を防ぐには、組織で管理された安全なメディアのみを使用することや、接続前にセキュリティソフトでスキャンを行うことが効果的です。

不審なアプリケーションの実行による感染

不審なアプリケーションの実行により、ランサムウェアが侵入するケースもあります。攻撃者は、正規のアプリケーションを装い、過剰な権限を要求したり、公式アプリストア以外からダウンロードをさせる仕組みを用意したりします。さらに、公式アプリストアを偽装したWebサイトに誘導することもあります。

アプリケーションをインストールする際には、必要以上の権限を要求されていないかを確認します。また、公式のアプリストア以外からは、アプリケーションをダウンロードしないことが大切です。

ランサムウェアの感染経路の変化

ランサムウェア攻撃の手法は年々進化しています。以前はメールを介した攻撃が主流でしたが、現在ではメール以外の複雑で気付きにくい手法も増加しています。

それでもなお、従来のメール経由の攻撃は引き続き多いため、古い手法への対策を怠ることはできません。ここでは、従来の攻撃方法と現在増えている手法について解説します。

従来のランサムウェア攻撃

従来のランサムウェア攻撃は、おもにメールを利用して行われていました。攻撃者は、悪意のある添付ファイルやリンクを含んだメールを組織内の個人に送信します。ユーザがそのメールを不用意に開封することが感染を引き起こします。

メールを介した攻撃は現在も多いため、基本的なメール対策の継続が重要です。たとえば「不審なメールを開かない」「リンクをクリックしない」「添付ファイルを開く前にセキュリティソフトでスキャンする」といった対策が求められます。 

現在のランサムウェア攻撃

最近では、ランサムウェア攻撃がより複雑化し、侵入手段が多様化しています。メール経由に加えて、VPN機器やリモートデスクトップの脆弱性を狙った攻撃が増加しており、こうした攻撃は組織のインフラ全体を標的にするため、侵入されると甚大な被害をもたらします。

さらに、総当たり攻撃（ブルートフォース攻撃）によるパスワード突破や、ソフトウェアの脆弱性を利用した攻撃なども広く見られるようになりました。攻撃者は、侵入後にシステム内のデータを暗号化し、暗号化解除や流出したデータの非公開を条件に金銭を要求することが一般的です。

ランサムウェアに感染した際の対処法

万が一、ランサムウェアに感染してしまった場合、迅速かつ適切に対応することが被害を最小限に抑える鍵です。以下では、ランサムウェア感染時に取るべき具体的な対処法を解説します。

感染したコンピューターをネットワークから切り離す

ランサムウェアに感染したコンピューターを特定したら、最初に行うべきはインターネットから切り離すことです。

ネットワークを通じて他の端末やサーバーに被害が拡大するのを防ぐため、感染が疑われるすべてのデバイスをネットワークから隔離する必要もあります。この初動対応が迅速であるほど、被害の範囲を抑えることが可能です。

専門家に相談する

感染したコンピューターをネットワークから切り離した後は、社内のITセキュリティ担当者やサイバーセキュリティの専門家、場合によっては警察に相談してください。

専門家は感染状況を適切に評価し、データの復旧やランサムウェアの除去などの対応策を提案してくれます。また、警察に相談することで、犯罪捜査の視点から助言を得ることができ、再発防止策にもつながります。

金銭の要求には従わない

ランサムウェアに感染した場合、多くのケースで攻撃者から身代金の支払いを要求されます。しかし、金銭の要求には絶対に従わないでください。

身代金を支払ったとしても、データが完全に復元される保証はありません。また、一度支払うと、さらなる攻撃の標的にされる可能性もあります。

ランサムウェアの感染を防ぐ対策

ランサムウェアの被害を防ぐためには、日頃からの対策が欠かせません。以下では、具体的な対策方法を解説します。

OSやソフトウェアは常に最新の状態にする

使用しているOSやソフトウェアは常に最新の状態に保ちましょう。

ソフトウェアの更新により、既知の脆弱性が修正され、攻撃者に悪用されるリスクを減らすことができます。また、自動更新機能を有効にしておけば、更新を忘れる心配もなく安心です。

セキュリティ対策ソフトを導入する

セキュリティ対策ソフトを導入することで、ランサムウェアの検出や除去が可能になります。

リアルタイム監視や定期スキャンを活用することで、攻撃を未然に防ぐことができます。また、セキュリティソフト自体も最新の状態に保つことが重要です。

以下の関連記事も参考にしてください。

関連記事：【2024年版】メールセキュリティ対策サービスの比較ポイント５選を解説

定期的にバックアップ・アーカイブをする

重要なデータや機密情報は、定期的にバックアップを取っておくことが基本です。

特に、バックアップデータをネットワークから切り離してオフラインで保管することで、ランサムウェアの影響を最小限に抑えることができます。また、複数のバックアップを異なる場所に保管することで、さらなるリスク軽減が可能です。

メールに関しても。取引内容の確認や監査、コンプライアンス対応などに備えて、アーカイブすることをおすすめします。サイバーソリューションズでは、長期保管が可能でメール環境を問わないメールアーカイブサービス「ENTERPRISEAUDIT Σ（エンタープライズオーディットシグマ）」を提供しています。

多要素認証を導入する

多要素認証は、IDやパスワードに加えて、スマートフォンの確認コードや指紋・顔など、複数の認証要素を組み合わせて本人確認を行う仕組みです。特にVPNやリモートデスクトップなど、社外からアクセスする環境においては、ランサムウェアの侵入経路を遮断できるセキュリティ対策です。

万が一パスワードが漏えいした場合でも不正ログインを防ぎやすく、ランサムウェアの侵入経路となるアカウントの乗っ取り対策にもなります。 　

メールフィルタリングを実行する

フィッシングメールは、ランサムウェア感染につながる代表的な経路のひとつです。対策として、迷惑メールや不正なURL・添付ファイルを検知・遮断するメールフィルタリングを導入して、危険性が高いファイルの隔離・検査ができる環境の整備が重要です。

併せて、不審なメールを検知した際の報告窓口を定めて、従業員が速やかに相談できる環境を構築することで、被害の拡大を抑えます。

MAILGATES Σー日本企業特有のセキュリティ意識に最適な『クラウドメールセキュリティサービス』

外部記録メディアの使用を制限する

外部記録メディアは、ランサムウェアの感染経路となる可能性があるため、使用方法を適切に管理することが重要です。私物や出所が不明なUSBメモリなどの使用を制限し、安全性を確認した媒体のみを利用するルールを設けます。ウイルススキャンの徹底や持ち出すデータの制限も有効な対策です。

必要に応じて、クラウドなどの安全な共有手段に移行して、物理メディアの使用を減らすことが望まれます。 　

アクセス権限の最小化を徹底する

ユーザやアカウントに対して、業務に必要な範囲だけアクセス権限を与える考え方を「最小権限の原則」といいます。一般の従業員には管理者権限を付与せず、必要な場合のみ、一時的に権限を変更することで、アカウントが不正利用された際の被害を抑えられます。また、アクセス元のIPアドレスや時間帯を制限し、不要な権限や接続を無効化することも重要です。 　

エンドポイントセキュリティを導入する

エンドポイントセキュリティは、PCやスマートフォンといった、ネットワークの末端機器（エンドポイント）をサイバー攻撃から守る対策です。テレワークの普及で、従来のセキュリティ対策や管理体制では防御が難しくなったため、導入する企業が増えています。

マルウェアの侵入を防ぐEPPと、端末を監視して不審な挙動を検知・対処するEDRの導入が、包括的に被害を防止する上で不可欠です。 　

従業員へ定期的に教育しておく

従業員一人ひとりがランサムウェアのリスクを理解し、正しい対策を知ることが感染防止につながります。

定期的にセキュリティ研修を行い、全員の意識を高めることが重要です。また、社内ルールを明確に策定し、共有することで、全社的な防御体制を築くことができます。

ランサムウェアの感染経路を特定する4つの方法

ランサムウェアに感染した場合、その感染経路を特定することは、被害の拡大を防ぎ、再発を防止するために重要です。ここでは、感染経路を特定するための4つの具体的な方法を解説します。

1.システムログを分析する

感染経路を特定するためには、まず感染したコンピューターのシステムログを分析することが効果的です。

システムログを調査することで、不正な通信履歴やプロセスの実行履歴を見つけることができます。ログ管理ツールを使用して情報を収集し、接続先やポート番号などを解析することで、ランサムウェアがどのように侵入したかを明らかにします。

2.メールを分析する

ランサムウェアの感染経路の多くはメールを介したものです。そのため、感染したコンピューターに関連するメールを分析することも重要です。

まず、メールの送受信履歴を確認し、怪しいメールを特定します。その後、メールヘッダーを解析し、送信元のIPアドレスや添付ファイル、リンクの安全性を調査します。また、フィッシングメールを精査することで、攻撃者がどのような手口を用いてランサムウェアを仕込んだかを把握できます。

3.記録メディアを調査する

USBメモリや外付けHDDなどの記録メディアを調査することも、感染経路の特定に役立ちます。感染が疑われる記録メディアを特定し、その中のファイルを詳しく調べることで、ランサムウェアがどのようにシステムに侵入したかを明らかにします。

感染ルートが分かれば、それに応じた対策を講じることで、同じ経路からの再感染を防ぐことができます。 

4.専門家に相談・依頼する

感染経路の特定や被害状況の調査は、専門家に相談することも効果的です。自社や個人での調査には限界があるため、ランサムウェア対応の実績があるセキュリティ調査会社に依頼することで、被害を最小限に抑えることができます。

5.感染状況を確認する

ランサムウェアの感染が疑われる端末をネットワークから遮断したら、被害状況を調査します。端末に表示された内容やファイルの状態などから、感染の有無・マルウェアの種類・感染した端末の台数・暗号化されたデータ・サーバや共有領域への影響などを把握します。

調査結果を記録しておくと、その後の復旧や再発防止、関係機関への報告にも活用できます。自社だけで判断するのが難しい場合は、専門家に調査を依頼することも重要です。 　

6.ランサムウェアを駆除する

ランサムウェアの感染状況を把握した後は、端末やネットワークからマルウェアを除去します。駆除には専用のツールを使用しますが、確実性を高めるために端末を初期化する場合もあります。

ただし、初期化すると保存データが失われるため、実施前にバックアップの有無を確認しなければなりません。対応にあたっては、社内の専門部署やセキュリティ専門家の指示を受けることも必要です。 　

7．データを復元する

ランサムウェアを駆除したら、端末を初期化してマルウェアを完全に排除したクリーンな環境で、バックアップからデータやシステムを復元します。バックアップは、ネットワークから隔離されていたものを使用し、感染の影響を受けていないことを確認します。

一部のランサムウェアは、警察庁や公的機関などが提供する復号ツールを利用できる場合があります。ただし、すべてのデータを復元できるとは限らないため、信頼できる情報源を確認して利用する必要があります。 

まとめ

ランサムウェアは手口が多様化して、企業にとって大きな脅威となっています。感染経路の特定や被害を最小限に抑える迅速な対応に加えて、事前の予防策も効果的です。この記事で解説した感染経路や対処法を参考に、従業員教育やシステムの管理体制を強化し、ランサムウェアへの備えを万全にすることが重要です。

メールセキュリティの強化を検討しているなら、Cloud Mail SECURITYSUITEがおすすめです。「Microsoft 365」や「Google Workspace」を補完する日本企業向けのセキュリティ機能を、オールインワンで提供します。必要な機能を低コストで導入できて、脅威防御や標的型攻撃対策を月額200円で利用可能です。ランサムウェア対策にぜひご活用ください。

Cloud Mail SECURITYSUITEのサービス資料を受け取る