自衛のためのサイバー攻撃の仕組み講座（AI時代・エンジニア水準）
区分5 守りを回す仕組みと、学び続ける場所★★★ランサムウェアは「身代金（ランサム）」と「ソフトウェア」を合わせた言葉です。 パソコンやサーバーの中のファイルを暗号化して使えなくし、元に戻したければお金を払えと要求します。
暗号化は、鍵がないと読めない形に変えることです。 金庫に書類を入れて鍵をかけられた状態を想像してください。書類は無事でも、鍵を持つ相手が言うことを聞くまで取り出せません。
最近は、暗号化の前にデータを盗んでおく手口が一般的です。 「払わなければ公開する」と二重に脅すので、二重恐喝と呼ばれます。 公開される脅しには、あとで見る通り、控えだけでは対抗できません。
混ざりやすい3つを先に分けます。
| 名前 | 何をするか | ランサムウェアに対して |
|---|---|---|
| 同期（Googleドライブのデスクトップ版など） | 片方を変えると、もう片方も同じに変える | 暗号化された状態まで同じになる |
| ミラー（RAIDなど） | 2つのディスクに同じ物を同時に書く | 暗号化も2つに同時に書かれる |
| バックアップ（控え） | ある時点の状態を、別に取っておく | 過去の無事な状態に戻せる |
つまり同期とミラーは「壊れた時に続けて使うための仕組み」で、「悪い変更を取り消す仕組み」ではありません。 消えても戻せるのは、ある時点を別に残した控えだけです。
攻撃者が狙うのは、技術的な勝ち負けではなく、被害者の「止まると困る」という事情です。
業務のデータは、止まった日から売上と信用が減っていきます。 そこに「払えば戻る」と言われると、払う方向に気持ちが傾きます。 攻撃者は、この心の動きを見込んで金額を決めています。
さらに、データを盗んでいれば、控えがあっても「公開されると困る」という別の圧力を作れます。 攻撃者は、一つの手が効かなくても別の手で払わせる設計にしています。
警察庁の統計では、ランサムウェアの被害報告は2025年が226件でした（2022年以降は毎年200件前後）。 情報セキュリティ10大脅威2026（IPA）の組織向けでも、1位です。2016年に初めて選ばれてから11年連続で入っています。
ランサムウェアは、いきなり暗号化から始まりません。 No.01で見た通り、まず入って、居座って、広げてから、最後に暗号化します。
警察庁やJPCERT/CCの整理では、入口として多いのは、外から接続するための機器（VPN機器など）の古い部品の弱点と、盗まれたIDとパスワードです。 どちらも「更新していない」「2段階認証を付けていない」という設定の問題で、特別な技術ではありません。
入口ごとの塞ぎ方は、No.05〜06（アカウント）とNo.09（WordPressとVPS）で扱います。 この単元では、入られた後でも負けないところに絞ります。
多くの人が見落とすのが、ここです。 攻撃者は、広げる段階で、バックアップを探して消したり暗号化したりします。
CISA（米国のサイバー防衛の機関）のガイドも、ランサムウェアは「到達できるバックアップを探して削除・暗号化することが多い」と書き、オフラインで暗号化した控えを勧めています。
パソコンにつなぎっぱなしの外付けディスクや、同じアカウントで書き込めるクラウドは、入った攻撃者から見れば、同じ場所です。 「控えがある」と「控えが守られている」は別の話です。
○ よくある勘違い：「クラウドに保存しているから安全」
→ 同期型のクラウドは、暗号化された状態も同期します。過去の版に戻せる機能があっても、保管期間や設定を確かめていなければ、頼れません。
○ 関係する単元：No.01 攻撃の流れ（入る→居座る→広げる→持ち出す・壊す）
控えの基本は「3-2-1」という覚え方です。
これはもともと、故障や災害に備える考え方です。 ランサムウェアには、さらに1つを「改ざんできない形」か「オフライン」にすることが要ります。 民間のバックアップ事業者の間では「3-2-1-1-0」（改ざんできない1つを足し、復元して0件のエラーを確かめる）とも呼ばれています。
3-2-1は、公的機関が一つの正式な型として定めた物ではなく、実務で広く使われている覚え方です。 受講生には、型の名前より、「同じ攻撃で全部が一度にやられない置き方か」と問いかける方が伝わります。
| 作り方 | しくみ | 向いている物 | 弱点 |
|---|---|---|---|
| 取り外す（オフライン） | 控えを取る時だけ接続し、終わったら外して保管する | Macの外付けディスク | 外し忘れると意味がない。手間がかかる |
| 書き換え不能の保存（イミュータブル） | クラウドの保存先に「期間中は消せない」設定をする | VPS・WordPressの控え | 設定を間違えると、消したい時にも消せない |
| 権限を分ける | 控えの保存先には「書き込み専用」の別アカウントで送る。消す権限は別の人・別の鍵 | チームの控え | 権限の管理を雑にすると、同じ鍵で全部入れる |
どれも「攻撃者が奪った権限では、控えに届かない」という点が共通です。 普段使っているアカウントで消せる控えは、改ざんできない控えではありません。
控えで一番多い失敗は、取っていたのに戻せなかったことです。
だから、月に一度は、控えから実際に別の場所へ戻してみます。 戻した物を開いて、中身が使えるかを確かめるところまでが一回分です。
戻す時間も測ります。 「戻すのに何時間かかるか」と「何時間までなら止まっても耐えられるか」を並べて見ると、控えの取り方の水準が決まります。 前者を決めずに控えを作ると、足りているかどうかが分かりません。
○ 受講生によく聞かれる質問：「バックアップを取っていれば、身代金は払わなくていいですか」
→ 答え方：暗号化されて使えなくなる被害には、控えで負けません。ただし、盗まれたデータの公開という脅しには、控えは効きません。ここは第3章で扱います。
○ 関係する単元：No.15 気づく仕組みと、やられた時の初動（控えを切り離す手順）
あなたの環境に合わせた、考え方の例です。細かい設定は、環境ごとに変わります。
| 守る物 | 失うと困る物 | 控えの考え方 |
|---|---|---|
| Mac | 作業ファイル・設定 | Time Machineなどの控えを、普段は外して置く。もう1つはクラウドに別アカウントで |
| VPS | サイト・データベース・設定 | サーバーの外に、日付付きの控えを定期的に送る。送り先は書き換え不能の設定にする |
| WordPress | 記事・画像・設定 | データベースとアップロード画像の両方を取る。サイトを新しく立てて戻す練習を一度する |
| Googleドライブ等の同期 | 共有の資料 | 同期は控えではない。別に、定期的にまとめて書き出した物を、改ざんできない場所へ置く |
| LINE・UTAGEなどのSaaS | 顧客リスト・配信履歴 | 提供側が戻してくれると決めつけない。書き出せる物は定期的に書き出して、自分側で持つ |
| スタッフのパソコン | 個人の作業ファイル | 大事な物を置く場所を決め、そこだけを控える（全部ではなく） |
「全部を完璧に」ではなく、失ったら事業が止まる物から順にです。順番の決め方はNo.03の脅威モデルと同じです。
やり方はAIに頼めばよいです。頼み方の例：「このVPSの控えを、サーバーの外の別の保存先に毎日送って、その保存先は一定期間消せない設定にしたい。手順を、元に戻せる順で教えて」
JPCERT/CC（ジェーピーサート。日本のインシデント対応の窓口）は、身代金を支払うべきではないという立場です。理由を3つ挙げています。
また、JPCERT/CCは、攻撃者との交渉も勧めていません。 CISAのガイドは、研究者が復号の道具を公開している場合があるため、警察に問い合わせることを勧めています。 IPAも、暗号化されたファイルを復号する道具を探す国際的な取り組み（No More Ransom）を支援しています。
これは「払ってはいけない」と叱る話ではありません。 払わなくて済む状態を、事前に作っておくことが、本当の守りです。控えがあるほど、交渉の場に立たされなくて済みます。
ただし、控えが守れるのは「使えなくなる」被害までです。盗まれたデータの公開という脅しは、控えでは止められません。この場合の動き方は、No.15（やられた時の初動）で扱います。
控えは、同期やミラーとは別の物。攻撃者は控えも狙うので、権限を分けた、改ざんできない（またはオフラインの）控えを1つ持つ。月に一度、実際に戻して、時間も測る。
問1 Googleドライブのデスクトップ版で、仕事のフォルダをパソコンと同期しています。パソコンのファイルがランサムウェアで暗号化されました。同期はバックアップの代わりになりますか。
問2 外付けディスクを常にMacにつないで毎日控えを取っています。この控えを守るために、最も効く見直しはどれですか。
問3 「バックアップを毎日取っているので、安心です」と言う受講生に、講師として最初に返す問いはどれですか。
問4 控えがあるのに、攻撃者から「払わなければ盗んだデータを公開する」と脅されました。控えが守れるのはどこまでですか。
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（https://www.npa.go.jp/publications/statistics/cybersecurity/index.html）／IPA「情報セキュリティ10大脅威2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）／IPA「ランサムウェア対策特設ページ」（https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html）／JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」（https://www.jpcert.or.jp/magazine/security/ransom-faq.html）／CISA「#StopRansomware Guide」（https://www.cisa.gov/stopransomware/ransomware-guide）