ランサムウェア（ransomware）
データを暗号化して使えなくし、元に戻すことと引きかえに金銭を要求するマルウェア。
もう少し詳しい説明
ランサムウェアは、データを暗号化して使えなくし、元に戻すことと引きかえに金銭を要求するマルウェア（持ち主の意に反して害をなすソフトの総称）です。
ransom は「身代金」です。人ではなくデータを人質に取る、という形になります。
ほかのマルウェアと何が違うのか
| 目的 | |
|---|---|
| スパイウェア | こっそり情報を盗む |
| ボット | こっそり機器を乗っ取り、踏み台にする |
| ランサムウェア | 気づかせる。使えなくして、金銭を要求する |
ランサムウェアだけは、隠れません。 画面に要求を表示します。気づかれないと目的を果たせないからです。
二重の脅迫
近年は、暗号化だけで終わらない形が増えました。
「二重」は、脅しが2つあるという意味です。攻撃の手順が2段という意味ではありません。
| 何と言ってくるか | 人質になっているもの | |
|---|---|---|
| 1つ目の脅し | 「元に戻してほしければ払え」 | 暗号化されて、使えなくなったデータ |
| 2つ目の脅し | 「払わなければ世間に公開する」 | 先にコピーして持ち出したデータ |
この2つを同時に突きつけるやり方を、二重の脅迫（ダブルエクストーション）と呼びます。
攻撃する側は、次の順で進めます。暗号化の前に、持ち出しが入るのが以前との違いです。
| 順番 | 何をするか |
|---|---|
| 1 | データを持ち出す（コピーする） |
| 2 | データを暗号化する |
| 3 | 上の2つの脅しを同時に突きつけて、金銭を要求する |
やっかいなのは、バックアップがあっても解決しないことです。復旧はできますが、持ち出されたデータは戻せません。
入ってくる経路
| 経路 | 中身 |
|---|---|
| メールの添付・リンク | 請求書や配送通知を装う |
| VPN装置（社外から社内へ安全につなぐ機器）やサーバ（要求を受け取って、応えを返す側の機械）の脆弱性（攻撃に使われてしまう、作りの弱いところ） | 公開されている入口を突く |
| リモートデスクトップ | 弱いパスワードを破る |
| 取引先経由 | つながっている相手から入ってくる |
近年の大きな被害は、メールよりも装置の脆弱性から入るものが目立ちます。 外向きに公開している機器の更新が遅れていると、そこが入口になります。
対策
起きる前と起きたあとで分けて考えます。
起きる前
| 対策 | 要点 |
|---|---|
| バックアップ | 切り離して保管する |
| 更新を当てる | 特に外向きの機器 |
| 権限を絞る | 1人が全部のファイルに書けない状態にする |
| ネットワークを分ける | 1か所から全部へ広がらないようにする |
| 多要素認証（本人かどうかの確かめ方を、2つ以上組み合わせること） | パスワードだけで入れないようにする |
バックアップがいちばん効きます。 ただし条件があります。
つながったままのバックアップは、一緒に暗号化されます。
ランサムウェアは、その機器から書き込める場所を片端から暗号化します。共有フォルダに置いたバックアップは、まとめてやられます。
そこで、3-2-1ルールという目安が使われます。
| 中身 | |
|---|---|
| 3 | 写しを3つ持つ |
| 2 | 2種類の媒体に |
| 1 | 1つは離れた場所に |
WORMのように、一度書いたら書き換えられない形で保管するのも有効な手です。暗号化しようとしても、上書きできません。
起きたあと
| 順 | やること |
|---|---|
| 1 | ネットワークから切り離す（広がりを止める） |
| 2 | 影響の範囲を確かめる |
| 3 | 関係先・監督官庁へ連絡する |
| 4 | バックアップから復旧する |
電源を切るかどうかは、慎重に判断します。 切ると、メモリ（電源を切ると消える、作業中のデータを置く記憶装置）上にしかない情報（鍵が残っていることもあります）が消え、調査の手がかりを失うことがあります。
支払うべきか
推奨されていません。 理由は3つです。
| 理由 |
|---|
| 払っても戻る保証がない |
| 払う相手が次の攻撃の資金を得る |
| 「払う組織」として、再び狙われる |
とはいえ、事業が止まるときの判断は簡単ではありません。試験では「支払わない」が答えになります。
試験ではこう出る
ITパスポートと科目A（旧・午前）では、ランサムウェアの説明がそのまま出ます。「データを暗号化し、復元と引きかえに金銭を要求する」です。
対策としてのバックアップも頻出で、切り離して保管するところまでが答えになります。「ネットワーク上の共有フォルダに保存する」と書いてあれば誤りです。
二重の脅迫も、近年の出題で扱われます。バックアップだけでは情報漏えいを防げない、という点です。
応用情報では、発生後の対応の順番が出ます。まず切り離して広がりを止める、が最初です。
関連する用語
- WORM
- 一度書いたら書き換えられない記録方式。バックアップを守る手として効く
- インシデント管理
- 起きたあとに、まず何をするか
- リスクマネジメント
- 起きる前に、どこまで減らすかを決める
- 共通鍵暗号方式
- 暗号化そのものは正規の技術。使い方が攻撃になっている
ミニクイズ
ランサムウェアの被害に備える対策として、最も有効なものはどれか。
正解は 3番：バックアップを取り、ネットワークから切り離して保管する
ランサムウェアはデータを暗号化して使えなくする攻撃なので、別に写しがあれば復旧できます。ただし、つながったままのバックアップは一緒に暗号化されるため、ネットワークから切り離して保管することが要点です。利用者ごとの暗号化は、攻撃者がさらにその上から暗号化できるため防げません。定義ファイルの更新は必要な対策ですが、週に一度では新しい検体に間に合わず、また未知のものは検知できません。支払いは、復旧が保証されず攻撃を助長するため、推奨されていません。
この分野をまとめて解く → セキュリティのミニテスト（全47問）
最終更新：2026-10-20