ランサムウェア対策の実態、「払う・払わない」を決めていない企業が多数派？ -セキュリティ通信-

この記事の内容

●ランサムウェア対策の現状

●不正取得された認証情報でVPNへ侵入｜オーミケンシ株式会社

エスカ＆レン：

今月もやってきました！「エスカとレンのセキュリティ通信」のお時間です。

エスカ：

この時期は、アイスやかき氷など、冷たいものが恋しくなりますね。

レン：

そうだね。でも冷たいものばかりだと夏バテしやすいから、たまには温かいスープや、栄養のあるものも一緒にね。

エスカ：

おいしく食べて、楽しく過ごして、暑い夏を乗り切りましょう。
さて、今回ご紹介するトピックスはこちらです！

●ランサムウェア対策の現状

エスカ：

まずは、ランサムウェア対策の状況に関する調査結果をご紹介します。

ガートナージャパン株式会社は2026年6月、国内におけるランサムウェア対策の状況に関する調査結果を発表しました。本調査は、2026年2月に、日本国内の従業員数500人以上の組織を対象として実施されたものです。

近年、ランサムウェア被害は依然として深刻な脅威となっており、企業の対策状況に注目が集まっています。
まずは、企業がどのような対策を進めているのか、調査結果を見ていきます。

（図1：ランサムウェア感染に備えた対策状況）

感染を想定した対策では、「バックアップからの復旧」が最も多く挙げられました。次いで、「ランサムウェア感染時の対応のマニュアル化」「インシデントの公的機関への届け出体制」が上位に並んでいます。
昨年の調査時と比べて、対策を強化している企業は増加しています。しかし、依然として十分な水準には達しておらず、さらなる強化が求められています。
また、ガートナージャパンは、インシデントの発生そのものをなくすことは難しいと指摘しています。そのため、発生を前提とした事前準備や、対応体制の整備が重要です。
続いて、ランサムウェア感染時の身代金要求への対応方針に関する調査結果を見ていきます。

（図2：ランサムウェア感染時の身代金要求への対応状況）

身代金を支払わない方針を社内規定として明文化している組織は、29.5％にとどまっています。多くの組織が、実際にランサムウェアに感染した後、その時点の状況を見て判断する実態が明らかになりました。
原則として支払わない方針を定めていても、意思決定の基準や手続きが曖昧なままでは、初動の遅れや判断のぶれにつながりやすい点が問題視されています。
また、ガートナージャパンは、攻撃者との交渉を、必ずしも身代金の支払いのためのものと決めつけるべきではないとしています。
被害状況や情報漏えいの範囲を調査・分析する時間を確保するための手段と捉える見方にも言及しています。
ただし、インシデントの発生後に対応の検討を始めると、時間的な制約によって誤った選択をしやすくなります。そのため、平時から専門ベンダーへ相談できる体制を整えておくことが重要です。
加えて、攻撃者と直接やり取りは避けるべきだとしています。経営層を含めた机上演習やシミュレーションを通じて、自社の判断基準を明確にすることも推奨しています。

出典：ガートナージャパン株式会社（https://www.gartner.co.jp/ja/newsroom/press-releases/pr-20260624-ransomware-survey）

■推奨する対応策

ランサムウェア感染時の対応方針や判断基準を明文化し、有事の際にも適切に対応できる体制を整備する
システム停止時の損失や業務への影響を整理し、経営層や現場にランサムウェア対策の必要性を共有する
ランサムウェア被害事例を定期的に共有し、組織全体の危機意識の向上や対策の見直しに活用する

■関連サービス

・ Security FREE ：ログを24時間365日監視し、不審な挙動や脅威を早期に検知する
・インシデント対応支援：ランサムウェアなどの被害が発生した際に、被害拡大の防止や封じ込め、原因調査、事業復旧を支援する
・セキュリティ教育：ランサムウェアの被害事例や業務影響を周知し、組織全体のセキュリティ意識の向上を図る

そふくリス：

身代金を払うかどうかは、被害に遭った瞬間に決めるのではなく、平時から考えておくべきテーマなんだね。

エスカ：

焦っている状態では、冷静な判断が難しいからね。事前にルールを決めておけば、「誰が」「何を基準に」判断するのか、迷わずに済むよ。

レン：

災害訓練と同じで、セキュリティも本番前の準備が大事だね。何も決めないまま発生当日を迎えることが、一番危険なのかもしれない。

●不正取得された認証情報でVPNへ侵入｜オーミケンシ株式会社

エスカ：

続いて、不正に取得された認証情報を悪用し、VPNから社内ネットワークへ侵入されたランサムウェアの事例をご紹介します。

オーミケンシ株式会社は2026年7月16日、同年3月に発生したランサムウェアによるシステム障害について、最終報を公表しました。
外部専門家によるデジタルフォレンジック調査およびダークウェブ調査が完了したことを受けたものです。

（図3：弊社システム障害に関する調査結果のご報告（最終報）｜オーミケンシ株式会社）

同社では、2026年3月16日深夜、ランサムウェアによるものとみられるシステム障害が発生しました。不正アクセスを確認した後、直ちに社内ネットワークとインターネット回線を切断し、不正アクセスの疑いがあるサーバを隔離しました。
その後、外部専門家による調査を開始するとともに、警察をはじめとする関係機関へ報告・相談を行いました。

調査の結果、攻撃者は不正に取得した認証情報を使用し、VPNを経由して社内ネットワークへ侵入していたことが確認されました。
さらに、攻撃者は特定のサーバへ侵入した後、外部サービスを利用した遠隔操作の経路を構築した可能性があるとされています。

また、特定のサーバから外部のクラウドストレージサービスへ、データが送信されていたことも確認されました。
一方で、利用可能なログや痕跡だけでは、外部へ送信された具体的なファイルの内容までは特定できませんでした。

ダークウェブなどを対象とした調査では、攻撃者側のリークサイトに、同社の会社名やロゴなどが掲載されていました。
ただし、攻撃者が設定した公開期限を過ぎた後も、窃取されたとされる実データの公開は確認されませんでした。
もっとも、実データが公開されていないことだけでは、攻撃者がデータを保有していないと断定することはできません。そのため、同社は引き続き監視を継続するとしています。

同社は対策として、攻撃に使用された認証情報やアカウントへの措置、VPNアカウントの確認・整理などを実施しました。さらに今後は、通信やログの監視体制の強化、多要素認証の対象拡大、アクセス制御の強化についても検討を進めるとしています。

出典：オーミケンシ株式会社（https://omikenshi.co.jp/wordpress/wp-content/uploads/2026/07/20260716_1.pdf）

■推奨する対応策

VPNアカウントを定期的に確認し、使用していないアカウントの無効化や、アクセス権限の見直しを行う
VPNに多要素認証を導入するとともに、接続元IPアドレスによるアクセス制限を行う
VPN、Active Directory、サーバー、端末のログを監視し、不審なログインや遠隔操作、外部へのデータ通信を早期に検知する
ネットワークから切り離したバックアップを保管する。あわせて、ランサムウェア感染を想定した復旧訓練や、連絡体制の確認を定期的に実施する

■関連サービス

・ SCSmart ASM(攻撃対象領域管理) ：インターネット上に公開されているIT資産や設定不備、漏えいした認証情報などを継続的に監視し、攻撃に悪用される可能性のあるリスクを可視化する
・ Active Directory 監視サービス：Active Directoryやファイルサーバーへの攻撃を24時間365日監視し、不審な管理者ログインや認証情報の窃取、遠隔操作などの兆候を早期に検知する
・インシデント対応支援：ランサムウェアなどの被害が発生した際に、被害拡大の防止や封じ込め、原因調査、事業復旧を支援する