ランサムウェアとは 感染経路や被害事例 対策を簡単に解説

ランサムウェアは感染するとPCやサーバなどの端末や保存しているファイルを暗号化や使用不能にし、元の状態に戻したければ「身代金を支払え」と要求するマルウェアの一種です。その他概要や特徴、攻撃手法、歴史を解説しています。

ランサムウェアとは 簡単に解説すると？

ランサムウェアは感染するとPCやサーバなどの端末や保存しているファイルを暗号化や使用不能にし、元の状態に戻したければ「身代金を支払え」と要求するマルウェアの一種です。

言葉の由来ですが、ランサムウェアはRansom（身代金）とSoftware（ソフトウェア）を組み合わせた造語になります。

ランサムウェアの概要

ランサムウェアは前述のとおり感染すると身代金の支払いを求められるマルウェアですが、近年は日本企業での被害も継続的に発生しています。トレンドマイクロの調査によると、2025年（1月〜12月）にランサムウェア攻撃被害を公表した国内組織は87件で、2024年同時期の98件と比較すると減少しているものの、依然として高い水準で推移しています。あわせて、2025年の1年間でランサムウェア攻撃グループが運営するリークサイトに情報を掲載された組織数は、世界全体で7,759件に上っています。

2025年は、アサヒグループホールディングスやアスクルがランサムウェア攻撃を受け、受発注業務が停止するなど、事業活動そのものに直結する被害が国内でも相次いで公表されました。2026年に入ってからも、食品メーカーのニチレイが不正アクセスによるシステム障害に見舞われ、ランサムウェアグループRansomHouseが窃取データの公開を主張するなど、業種・企業規模を問わず被害が続いています。

ランサムウェアの特徴

ランサムウェアの特徴は以下ですが、高度に分業化され効率よく金銭を窃取することに特化しています。

RaaS（Ransomware-as-a-Service）により簡単に攻撃できる

従来のサイバー攻撃は踏み台PCを用意しIPを偽装するなど、攻撃自体の環境整備が大変でした。RaaS（Ransomware-as-a-Service）は、ランサムウェア攻撃を行う環境やランサムウェア自体を提供するダークウェブ上のサービスです。RaaSの発達によりランサムウェア攻撃の障壁がかなり下がり、専門的な知識がなくても攻撃を行えるようになっています。一方で、SafePayのように、RaaSとしてアフィリエイトを募集する形態を取らず、開発・侵入・交渉のすべてを自グループ内で完結させる中央集権型の運用体制を取るグループも登場しており、ランサムウェアグループの運用モデルは多様化しています。詳細はランサムウェアグループSafePayとは 非RaaS型で急成長した二重恐喝集団の手口と国内被害事例で解説しています。

分業化されている

ランサムウェアを行うハッカーグループは分業化されており、例えば以下のような役割があります。

• マルウェア開発者： ランサムウェアを開発する役割です。
• 初期侵入者： 標的となる組織に侵入する役割です。
• ペネトレーションテスター： 標的となる組織の脆弱性を発見する役割です。
• 交渉人： 被害者と身代金の交渉を行う役割です。
• マネーロンダリング： 身代金を洗浄する役割です。

流出したランサムウェアグループの教育マニュアルには、就労体系や人材スカウトの方法、メンバーのマネジメント方法なども記載されており、サイバー攻撃を行う企業と言っても差し支えありません。2024年にテイクダウンされたロックビット（LockBit）も分業化していました。

関連記事：サイバー攻撃集団 ロックビット(LockBit)とは？

情報暴露の脅迫

脅迫の手口として、「身代金を支払わなければ窃取した個人情報を暴露・流出させる」といった手口も発生しており、ランサムウェアグループによってはダークウェブ上のリークサイトで窃取した情報を段階的に公開します。また、窃取した個人情報を利用し、個人へフィッシングメールを送信することもあります。

二重脅迫を行う

身代金を支払った場合でも、その事実を世間に暴露してほしくなければさらに金を払えと迫るなど、データの暗号化と情報暴露を組み合わせた二重脅迫が一般的な手口になっています。

ランサムウェア攻撃の流れ

ランサムウェア攻撃の流れは以下です。一般的に侵入から感染まで3日かかると言われています。

標的への侵入

フィッシングメールやVPN機器、リモートデスクトップ端末など様々な方法を用いて標的への侵入を試みます。標的型攻撃としてその企業へ侵入すること自体が目的の場合もありますし、前述のRaaSなどを用いて既知の脆弱性に対応していない機器へ機械的に攻撃する場合もあります。

ポストエクスプロイト

ポストエクスプロイトとは、侵入後に対象のネットワーク内で情報収集を行い、重要なインフラやファイルを特定する活動です。専用ツールでの解析や、侵入後にワームやトロイの木馬を仕込んで調査するなど、手法は様々です。

管理者情報へのアクセスと奪取

侵入した後、重要な情報へのアクセス権を奪取します。近年は、この段階でOS標準のセキュリティ機能そのものの脆弱性が悪用されるケースも報告されています。実際、Microsoft Defenderの権限昇格の脆弱性BlueHammer（CVE-2026-33825）は、公開から間もなく実際のランサムウェア攻撃で悪用されたことがCISAによって確認されています。

横展開

管理者権限を奪取した後、侵入対象と窃取情報の範囲を拡大するために、他のシステムへ侵入を繰り返していきます。この段階では管理者権限を奪取されている場合、ログの消去も行えるため、侵入行為を発見することが難しくなります。

データ窃取

重要そうな情報をダウンロードしていき、二重脅迫などにも利用します。

暗号化

データ窃取後にファイルを暗号化していきます。

犯行声明の発表と交渉開始

データを暗号化した後、リークサイトで指定期限までに身代金を支払わない場合、全ての情報を公開するなどの犯行声明を発表します。同時にFAXやメールにて暗号化と身代金要求を行います。

ランサムウェアの攻撃手法

ランサムウェアの攻撃手法は以下です。

フィッシングメールやフィッシングサイト

取引先やサポート宛の連絡メールを装い、添付ファイルにランサムウェアを仕込んだり、フィッシングサイト（正規のクラウドサービスと似たサイト）を製作しメール経由でアクセスさせランサムウェアに感染させます。

リモートデスクトップ(RDP)端末への攻撃

社内システムへ外部から接続するための、メンテナンス用のリモートデスクトップ(RDP)端末へ攻撃を行い、その端末経由で対象の社内システムへランサムウェアをダウンロードさせます。リモートデスクトップ端末へ基本的なウイルスソフトをインストールしていなかったり、UTMの監視から外れたりして、ランサムウェアへ感染した事例も存在します。

関連記事：国分生協病院がランサムウェア攻撃を受け、一部診療記録のPDFが閲覧不可に

既知の脆弱性

ランサムウェア攻撃の被害はセンセーショナルに報道されますが、既知の脆弱性を突かれている場合が多く、端末のOSを最新にしていたりサポートを受けていれば回避できた事例が多くあります。2021年10月に徳島県のつるぎ町立半田病院はランサムウェアに感染しましたが、VPN装置のFortiGate 60Eの既知の脆弱性が主な原因で、メーカーのFortiGateは2019年4〜5月にファームウェアを公表していたにもかかわらず、同病院はおよそ3年間ファームウェア更新の対応をしていませんでした。さらに、VPN装置を納入・構築したベンダーとは保守契約を結んでおらず、病院のIT担当は1名のみでセキュリティ対策を考える余裕もないなど、杜撰さが表れています。最終的に、感染後のシステムの復旧に1億円、新システム構築に2億円の合計3億円のコストが発生しています。

近年では、ランサムウェアグループINCのように、SonicWall SMA1000シリーズのゼロデイ脆弱性チェーンを悪用し、認証情報を持たない状態から機器のroot権限を奪取したうえで侵入する事例も確認されています。詳細はINCランサムウェア、SonicWall SMA 1000のゼロデイ脆弱性チェーンを悪用 Resecurityが攻撃の全容を報告で解説しています。

サプライチェーン攻撃

標的の海外拠点や、標的と取引のある下請け企業や顧客経由で標的に攻撃します。特に製造業で行われる攻撃手法で、中小企業は情報セキュリティ対策がされていない場合も多く、サイバー攻撃者側からは非常にコストパフォーマンスのよい手法となっています。

ランサムウェアの感染経路

警察庁が発表したデータによると、VPN機器からの侵入が全体の多くを占め、リモートデスクトップからの侵入もこれに次ぐ割合となっています。境界に設置されたVPN・リモートアクセス機器の脆弱性管理とパッチ適用が、ランサムウェア対策の基本かつ最重要の対策であることがうかがえます。

ランサムウェアの被害事例

近年発生したランサムウェアの被害の一部を紹介します。より幅広い事例は、ランサムウェア被害の事例のカテゴリーページでも継続的に更新していますので、あわせてご覧ください。

ニチレイ

食品メーカーのニチレイは2026年7月、不正アクセスによるシステム障害を公表し、冷蔵倉庫の入出庫や冷凍食品の出荷業務に影響が生じました。ランサムウェアグループRansomHouseが犯行を主張し、8月には窃取したとするデータをダークウェブ上で公開しています。詳細はランサムウェアグループRansomHouse(ランサムハウス)がニチレイへのサイバー攻撃を主張で解説しています。

美濃工業

製造業の美濃工業は2025年10月、ランサムウェアグループSafePayによる攻撃を受け、Active Directoryのドメインコントローラーや仮想化基盤（ESXi）を含む主要な業務系サーバーが暗号化されました。侵入経路は、一時利用目的で作成されたまま削除されずに残っていた、強度の低いVPNアカウントの悪用でした。詳細は美濃工業へのサイバー攻撃の情報 漏洩「極小」から「相当量」-ランサムウェアグループSafePayが犯行声明で解説しています。

HOYA

光学レンズメーカーのHOYAは2024年4月にサイバー攻撃を受け、システム障害が発生しレンズ出荷に影響が発生しました。

関連記事：HOYA、システム障害はサイバー攻撃が起因している事を公表、ランサムウェアグループ Hunters International （ハンターズ インターナショナル）とは？

有名なランサムウェア（グループ）

以下に有名なランサムウェアを記載していきます。

ランサムウェアの起源とされるAIDS

1989年、ハーバード大学で博士号を取得した進化生物学者であるジョセフ・ポップ博士が開発したAIDS（エイズ）Aids Info Disk、PC Cyborg Trojanと呼ばれるマルウェア（トロイの木馬）がランサムウェアの起源となります。フロッピーディスクへ混入され、プログラムをインストールするとエイズに関する質問が行われて、感染する危険性の診断が行われます。その後90回パソコンを起動すると殆どのファイルが暗号化され、データを取り戻すために189ドルまたは378ドルをパナマの私書箱に送ることを要求しました。開発したジョセフ・ポップ博士は、ケニアでエイズに関する会議を主催したWHOのコンサルタントでもあり、後に逮捕された際に「送金されたお金はエイズの研究に利用した」と主張しています。

ワナクライ（WannaCry）

2017年頃に観測されたワーム型ランサムウェアで、Windowsの既知の脆弱性を突く攻撃を行い世界で20万人以上の感染者を出しました。

関連記事：ワームとは トロイの木馬との違いを解説

ロックビット（LockBit）

ロックビット（LockBit）はランサムウェア攻撃グループLockBitが利用したランサムウェアで、2019年から観測されました。リークサイトで脆弱性情報を買い取ったり、攻撃と交渉を分業化するなど組織的な活動で注目されましたが、2024年に国際的な摘発（オペレーション・クロノス）によりインフラが押収されています。

BlackSuit（ブラックスーツ）

ランサムウェア攻撃グループBlackSuitは大手から中小企業まで幅広くサイバー攻撃を行う集団で、日本でもKADOKAWAグループやニコニコ動画へのサイバー攻撃とランサムウェア攻撃で知られています。

関連記事：ランサムウェア BlackSuit （ブラックスーツ）とは 概要や事例、国などを解説

SafePay

SafePayは2024年9月ごろに登場した比較的新しいランサムウェアグループです。多くのグループが採用するRaaS方式を取らず、開発・侵入・交渉のすべてを自グループ内で完結させる中央集権型の運用体制を特徴とし、登場から2年足らずで世界的に最も活発なグループの一角を占めるまでに急成長しました。国内でも47CLUBや美濃工業への攻撃で犯行声明が確認されています。

関連記事：ランサムウェアグループSafePayとは 非RaaS型で急成長した二重恐喝集団の手口と国内被害事例

INC

INCは、企業ネットワークへのリモートアクセスを提供するSonicWall SMA1000シリーズのゼロデイ脆弱性チェーンを積極的に悪用し、2026年に入ってから急速に活動を拡大しているランサムウェアグループです。米CISAも同脆弱性についてランサムウェアグループによる悪用を確認しています。

関連記事：INCランサムウェア、SonicWall SMA 1000のゼロデイ脆弱性チェーンを悪用 Resecurityが攻撃の全容を報告

ランサムウェアの対策

ランサムウェアは一般的に既知の脆弱性を突いた攻撃を行いますので、一般的な対策は以下になります。

サーバ/端末のアップデート

UTMやルーター、サーバ、PCは定期的に脆弱性が発見されており、パッチがリリースされています。そのため、利用している各種機器のソフトウェアのバージョンは最新の状態にする必要があります。実際、徳島県のつるぎ町立半田病院はランサムウェアに感染しましたが、VPN装置の既知の脆弱性が主な原因で、メーカーが公表していたファームウェア更新を約3年間対応していませんでした。

EDR/UTMの導入

各端末を防御するEDRとネットワーク全体を守るUTMの導入も必要最低限の対策になります。もちろん両方導入したからと言って必ず防御できるわけではありませんが、既知のサイバー攻撃は防御できます。EDRとUTMの導入については補助金も利用できるので併せてご確認ください。

定期的な情報セキュリティ教育

ランサムウェアはメールの添付ファイルやフィッシングサイト経由でも感染します。組織全体の情報セキュリティに関するリテラシーを上げれば、ゼロデイ攻撃などにも早急に気付けます。標的型攻撃メール訓練を単発の教育イベントではなく、継続的なセキュリティ対策として位置づける重要性については、標的型攻撃メール訓練は「教育」ではない――Eラーニングと同じ予算枠で考えると失敗する理由で詳しく解説しています。

出典

2025年の国内セキュリティインシデントを振り返る——トレンドマイクロ

2025年 法人組織のサイバーリスクを総括——トレンドマイクロ