ランサムウェアの身代金は払うべきか？払ってはいけない理由と感染時の対応

「ランサムウェアに感染した。身代金を払えばデータが戻るのか——でも本当に払うべきなのか」。そんな判断を迫られたとき、冷静に動けますか？

ランサムウェアは企業・組織のファイルやシステムを暗号化し、復号と引き換えに多額の身代金を要求するサイバー攻撃です。近年は「支払わなければ情報を公開する」という二重脅迫型に進化しており、バックアップがあっても安心できない状況になっています。

このページでは、身代金を支払うべきではない理由から感染時の初動対応、平時から備えるセキュリティ対策まで、経営者・情報システム担当者が知っておくべき内容をわかりやすく解説します。

ランサムウェアとは？身代金要求の仕組みと最新の手口

ランサムウェアの被害が増加し続けている現在、まずその仕組みと最新の手口を正しく理解しておくことが不可欠です。以前とは大きく変化した攻撃のパターンを知ることで、感染時に慌てず対応できる備えができます。

データ暗号化から二重脅迫へ進化した攻撃手口

ランサムウェアとは、感染した端末やサーバのデータを暗号化し、復号するための「鍵」と引き換えに身代金（Ransom）を要求するマルウェアの一種です。

攻撃の流れは以下の通りです。

1. 感染経路を通じて企業ネットワークへ侵入する
2. ネットワーク内を横断し、重要なファイルサーバやバックアップを特定する
3. データを暗号化し、「〇〇ビットコインを支払え」という要求を表示する
4. 支払いがない場合、盗んだデータをダークウェブ上で公開すると脅す（二重脅迫）

近年特に問題となっているのが「二重脅迫型」の手口です。攻撃者はデータを暗号化する前に情報を盗み出しており、仮にバックアップから復旧できたとしても「情報を公開しない代わりに払え」と脅し続けることができます。バックアップがあれば安心とは言い切れない時代になっています。

主な感染経路（VPN・リモートデスクトップ・メール添付ファイルなど）

ランサムウェアの感染経路は多岐にわたりますが、企業環境で特に多く報告されているのは以下の経路です。

感染経路	内容
VPN・リモートデスクトップ（RDP）の脆弱性	脆弱なVPN装置やRDPへの不正アクセスで侵入
メール添付ファイル・悪意あるURL	不審なメールの添付ファイル開封や偽リンクのクリック
アカウント乗っ取りによる不正アクセス	弱いパスワードや認証情報の窃取で正規ユーザーに成りすます
ソフトウェアの脆弱性悪用	パッチ未適用のOSやアプリの脆弱性を突く
サプライチェーン攻撃	取引先・委託先を経由して本命の組織へ侵入

テレワーク普及に伴い、VPNやリモートデスクトップを経由した侵入が急増しています。セキュリティパッチの適用遅れや、単純なパスワードの使用が突破口になるケースも多く報告されています。

ランサムウェアの身代金は支払うべきではない4つの理由

「早くデータを取り戻したい」「事業を早期に再開したい」という焦りから、身代金の支払いを検討する気持ちは理解できます。しかしセキュリティの専門家も各国政府機関も、一貫して「支払うべきではない」と警告しています。その理由を確認しておきましょう。

①支払ってもデータが戻る保証はない

身代金を支払っても、復号ツールが提供されるとは限りません。

各国の調査データによると、身代金を支払った組織のうち完全にデータを復旧できたのは一部に過ぎず、大半は部分的な復旧にとどまっているか、まったく復旧できなかったという報告も多くあります。攻撃者は犯罪組織であり、約束を守る義務はありません。

提供された復号ツールが不完全でデータが破損するケース、複数のファイルが対象外とされるケースも報告されています。数百万〜数千万円の身代金を払ったうえにデータも戻らなかった、という二重の損失を被るリスクがある点を理解しておく必要があります。

②支払うと再攻撃・追加要求の標的になる

身代金を支払った組織は、「払ってくれる組織」として攻撃者のリストにマークされます。

支払いが確認された後、数ヶ月以内に再度攻撃を受けたという事例は国内外で多数報告されています。一度支払いをすると「次はもっと払ってもらえる」という判断から、追加の脅迫や要求金額の引き上げにつながるケースもあります。

さらに攻撃グループ内で「この企業は支払う」という情報が共有される可能性もあり、別のランサムウェアグループからも狙われやすくなります。

③制裁対象組織への支払いは法的リスクを伴う

ランサムウェア攻撃を行う犯罪グループの中には、各国政府の制裁リストに登録されている組織が含まれています。

制裁対象の組織や個人への資金移転は、たとえ被害者であっても法律上問題となる可能性があります。米国財務省のOFACは制裁対象グループへの身代金支払いに対して民事上のペナルティを科すことがあると明示しており、日本企業が海外の制裁対象グループに支払いを行った場合も国際的な法的リスクを伴う可能性があります。

支払いを検討する場合は、必ず法務・コンプライアンス担当者や弁護士に確認することが必要です。

④身代金が犯罪組織の資金源になり被害が拡大する

支払った身代金は、攻撃者のインフラ整備・ツール開発・人員採用に使われ、次の攻撃の資金源になります。

身代金が支払われるほど攻撃者のビジネスモデルは成立し続け、ランサムウェア攻撃そのものが増加・高度化します。「自社の被害を早く収めたい」という一社の判断が、他の多くの企業や組織への攻撃を助長することにつながります。個社の判断としてだけでなく、社会全体のセキュリティの観点からも、身代金の支払いは抑止すべき行為です。

ランサムウェア感染が発覚したときの初動対応【優先順位順】

ランサムウェアへの感染が疑われる場合、最初の数時間の対応が被害の大きさを左右します。パニックにならず、以下の優先順位に従って行動してください。身代金の支払いを検討するのは、すべての対応を試みた後で十分です。

①すぐにネットワークを遮断する

感染を確認したら、最初にやることはネットワークの遮断です。感染した端末のLANケーブルを抜く、Wi-Fiを無効にする、VPN接続を切断するなど、インターネットおよび社内ネットワークからの物理的・論理的な切り離しを行います。

ネットワーク遮断の目的は2つです。

• 他の端末・サーバへのランサムウェアの横展開（拡散）を止める
• 攻撃者による追加のデータ窃取・遠隔操作を止める

「作業中のデータが消えてしまう」「業務が止まってしまう」という懸念から遮断をためらうケースがありますが、遮断の遅れが被害を数十倍に広げることがあります。まず遮断、業務継続は後で考えるという判断が正解です。

②影響範囲の確認と証拠保全

ネットワーク遮断後、感染した端末・サーバの範囲と暗号化されたファイルの種類・範囲を確認します。

あわせて以下の証拠を保全しておきましょう。これらはその後の専門家調査・保険申請・当局への報告に必要になります。

• 感染した端末の画面（要求画面のスクリーンショット）
• システムログ・イベントログのバックアップ
• 暗号化されたファイルの一覧
• 攻撃者からの連絡内容（メール・テキストファイルなど）

ランサムウェアの種類によっては無料の復号ツールが公開されているケースもあります。要求画面や暗号化ファイルの拡張子を「No More Ransom（ノーモアランサム）」プロジェクトのサイトで照合することで、支払いなしの復旧が可能かどうか確認できます。

③専門家・当局への相談と報告

ランサムウェアへの対応は、自社だけで判断・処理しようとせず、速やかに専門家と当局に連絡することが重要です。

連絡先	対応内容
情報セキュリティの専門業者（インシデント対応会社）	フォレンジック調査・感染範囲の特定・復旧支援
警察（サイバー犯罪相談窓口 #9110）	被害届の提出・捜査協力
IPA（情報処理推進機構）情報セキュリティ安心相談窓口	技術的な相談・情報提供
個人情報保護委員会	個人情報漏洩が疑われる場合の報告義務の確認
サイバー保険の保険会社	保険適用の確認・対応支援の手配

個人情報が漏洩した可能性がある場合は、個人情報保護法に基づく報告義務が生じる可能性があります。対応が遅れると法的責任を問われるリスクがあるため、早期に確認してください。

④バックアップからのデータ復旧

ネットワーク遮断・専門家への相談後、感染が拡大していないクリーンな環境を確認したうえで、バックアップからのデータ復旧を進めます。

復旧の際に確認すべきポイントは次の通りです。

• バックアップ自体がランサムウェアに感染・暗号化されていないか確認する
• 感染前の時点のバックアップを特定する
• 復旧後に再感染しないよう、脆弱性の修正・認証情報の変更を行ってから本番環境を稼働させる

バックアップがなかった、またはバックアップも暗号化されていた場合は復旧が困難になります。この教訓を次の対策に生かすことが重要です。

ランサムウェア被害を防ぐ平時のセキュリティ対策

ランサムウェアへの最善の対策は「感染後の対応」ではなく「感染させない・させても被害を最小化する備え」です。既存のウイルス対策ソフトだけでは不十分な現在、多層的な対策が求められます。ランサムウェア被害の復旧コストは対策コストを大幅に上回るケースが多く、事前の投資が結果的に大きなリスク軽減につながります。

バックアップ体制の見直し（3-2-1ルール）

ランサムウェア対策の根幹となるのが、適切なバックアップ体制です。バックアップがあれば、身代金を支払わなくても復旧できる可能性が大幅に高まります。

推奨されているのが「3-2-1ルール」です。

ルール	内容
3	データのコピーを3つ保持する（オリジナル＋バックアップ2つ）
2	2種類の異なる媒体・場所に保存する（例：社内サーバ＋クラウドストレージ）
1	1つはオフサイト（社外・インターネット非接続）に保管する

重要なのは、バックアップをネットワークから切り離して保管することです。ネットワークに接続したままのバックアップは、ランサムウェアに一緒に暗号化されてしまうリスクがあります。また、定期的にバックアップからの復旧テストを実施し、本当に復元できるかどうかを確認しておくことも欠かせません。

EDRとウイルス対策ソフトによる多層防御

従来のウイルス対策ソフト（アンチウイルス）は既知のマルウェアのパターンに基づいて検知するため、新種・亜種のランサムウェアには対応しきれないケースがあります。

EDR（Endpoint Detection and Response）は、端末上での不審な動作や挙動をリアルタイムで監視し、ランサムウェアが活動を開始した段階で検知・遮断する仕組みです。ウイルス対策ソフトと組み合わせることで多層防御を実現できます。

ツール	役割
ウイルス対策ソフト	既知のマルウェアをシグネチャで検知・ブロック
EDR	挙動ベースで未知の脅威を検知・隔離・インシデント調査
メールセキュリティ	フィッシングメール・不審な添付ファイルのフィルタリング

「EDRは大企業向け」というイメージがありますが、近年はクラウド型のサービスが普及し、中小企業でも導入しやすい価格帯の製品が増えています。ウイルス対策ソフトだけの環境であれば、EDRの導入を検討するタイミングです。

VPN・リモートデスクトップのアクセス権限管理

感染経路の上位を占めるVPNとリモートデスクトップ（RDP）の管理を見直すことは、ランサムウェア対策の優先度が高い施策の一つです。

確認・実施すべき項目は次の通りです。

• VPN装置・RDPのセキュリティパッチを常に最新状態に保つ
• RDPは社外から直接アクセスできないようにする、または多要素認証を設定する
• 不要なユーザーアカウントを削除し、アクセス権限を最小化する（最小権限の原則）
• 管理者権限アカウントの使用を業務上必要な場面に限定する
• ログイン試行の監視を行い、不審なアクセスを検知できるようにする

アクセス権限が広すぎると、一つのアカウントが侵害されただけでネットワーク全体に被害が拡大するリスクがあります。定期的な権限の棚卸しを習慣化しましょう。

インシデント対応計画（BCP）の策定とサイバー保険の活用

ランサムウェアに感染した「その瞬間」に初めて対応を考えるのでは遅すぎます。平時から「感染したらどう動くか」を定めたインシデント対応計画とBCPを策定しておくことで、感染時のパニックを防ぎ迅速な初動対応が可能になります。

インシデント対応計画に盛り込むべき主な項目は次の通りです。

• 感染確認時の連絡体制・エスカレーションフロー
• ネットワーク遮断の手順と権限者
• 連絡すべき専門業者・警察・監督官庁のリスト
• バックアップからの復旧手順
• 顧客・取引先・メディアへの対応方針

また、サイバー保険への加入も選択肢の一つです。サイバー保険は、ランサムウェア被害による業務停止損失・復旧費用・専門家費用・法的対応費用などをカバーする場合があります。既存の火災保険や賠償責任保険ではサイバー攻撃被害がカバーされないケースが多いため、自社のリスク状況に合わせて検討してください。

ランサムウェアの身代金に関するよくある質問

身代金を支払うと本当にデータが戻りますか？

必ずしも戻る保証はありません。身代金を支払っても復号ツールが提供されないケース、ツールが不完全でデータが一部しか復元できないケースが多数報告されています。支払いはデータ復旧を保証せず、再攻撃を招くリスクもあるため推奨されません。

バックアップがあれば身代金を払わなくていいですか？

バックアップがあれば支払いなしで復旧できる可能性は大きく高まります。ただし、二重脅迫型ランサムウェアの場合、攻撃者はデータを暗号化する前に情報を盗み出しており、「バックアップで復旧しても情報は公開する」と脅すことがあります。バックアップは必須ですが、それだけでは不十分な場合もある点を理解しておきましょう。

ランサムウェアに感染したら警察に届け出る必要はありますか？

法的な義務ではありませんが、届け出ることで捜査協力・情報収集のメリットがあります。また、個人情報漏洩が確認・疑われる場合は個人情報保護委員会への報告義務が生じる場合があります。警察庁のサイバー犯罪相談窓口（#9110）への相談もあわせて検討してください。

中小企業でもEDRは必要ですか？

規模を問わず、ランサムウェアの攻撃は中小企業も積極的に狙っています。大企業よりセキュリティが手薄な中小企業は標的にされやすい傾向があります。近年はクラウド型の低コストEDRも普及しているため、ウイルス対策ソフトだけの環境であれば導入の検討をおすすめします。

サイバー保険はランサムウェアの身代金も補償されますか？

保険商品や約款により異なりますが、身代金の支払い費用・復旧費用・業務停止損失・専門家費用などをカバーするサイバー保険があります。ただし支払い前に保険会社への連絡・確認が必要な場合が多いため、感染が発覚したら速やかに保険会社へ連絡してください。

まとめ：身代金を払わず、備えることがランサムウェア対策の第一歩

ランサムウェアに感染したとき、「払えば早く解決するかもしれない」という考えは理解できます。しかし、支払ってもデータが戻る保証はなく、再攻撃を招き、法的リスクまで伴います。身代金の支払いは問題を解決しません。

感染が疑われたら、まず次の行動を取ってください。

• 感染した端末をすぐにネットワークから切り離す
• 影響範囲を確認し、証拠を保全する
• セキュリティ専門業者と警察に速やかに相談する
• バックアップからの復旧を専門家とともに進める

そして、最も重要なのは被害を受ける前の備えです。3-2-1ルールに基づいたバックアップ体制の構築、EDRとウイルス対策ソフトの多層防御、VPN・リモートデスクトップのアクセス権限の見直し、インシデント対応計画の策定——これらを平時から実施しておくことで、万が一感染しても被害を最小限に抑えられます。

「被害に遭ってから対応すればよい」という考えは、ランサムウェアの前では通用しません。1件の被害復旧にかかるコストは、事前対策にかかるコストを大幅に上回ることがほとんどです。まずはバックアップ体制の確認とEDR導入の検討から、今日始めてみてください。