ランサムウェアとは：仕組みと攻撃の段階、対策
ランサムウェアとは、組織のデータを暗号化し、復号鍵と引き換えに身代金を要求するマルウェアです。現在の攻撃の多くは二重脅迫の手口を使います。まずデータを持ち出し、次に暗号化し、公開すると脅します。ランサムウェアは一瞬で起きる出来事ではありません。攻撃者は暗号化の前に、数日から数週間にわたってネットワーク内にとどまります（初期侵入、横展開、データの持ち出し）。この時間こそが、攻撃を止められる機会です。
一瞬の出来事ではなく、段階を踏むプロセス
ランサムウェアは落雷のようなものだと思われがちです。さっきまで正常に動いていたものが、次の瞬間にはすべて暗号化されている、というイメージです。実際は違います。攻撃者は暗号化の前に、数日から数週間にわたってネットワーク内にとどまっています。初期侵入、偵察、横展開、データの持ち出しと進み、暗号化は最後の段階にすぎません。勝敗が決まるのは、その前の段階です。
二重脅迫（さらには三重脅迫）
現在の攻撃グループは、暗号化の前にデータを持ち出します。そのため、バックアップが完全であっても、公開をちらつかせて脅迫できます。警察庁によると、2025年に報告されたランサムウェア被害のうち、手口が判明したものの約9割が二重脅迫でした。さらにDDoS攻撃を加えたり、取引先や顧客に直接圧力をかけたりする攻撃グループもあります。バックアップは不可欠ですが、それだけでは十分ではない理由がここにあります。
防御：暗号化の前に止める
効果的な防御は、暗号化前の時間帯に機能します。横展開やデータの持ち出しを捉える継続的な検知と対応、保護されたアイデンティティ、隔離されたバックアップ、そしてすぐに実行できるインシデント対応の計画です。すでに攻撃が進行している場合は、緊急時の手順をランサムウェア攻撃を受けたときの対応でご確認ください。
ランサムウェア攻撃の段階
| 段階 | 何が起きるか | どこで対処するか |
|---|---|---|
| 初期侵入 | フィッシング、公開されたVPN・RDP、境界機器の脆弱性悪用 | 早期検知、ITDR |
| 横展開 | 権限昇格、偵察、永続化 | MDR：ここで止める |
| データの持ち出し | データを外部へコピー | 封じ込め、C2通信の遮断 |
| 暗号化 | ランサムウェアの実行、身代金の要求 | 手遅れ：復旧の段階 |
Operation Storming Tideでは、Fortgaleのチームが暗号化前の段階（Matanbuchus 3.0 → Astarion → SystemBC）で攻撃者を発見し、封じ込めによってデータの持ち出しとランサムウェアを阻止しました。
分析を読む（英語） →よくある質問
身代金は支払うべきですか？
ほとんどの場合、支払うべきではありません。支払っても復旧や持ち出されたデータの削除は保証されず、犯罪の資金源となり、法令に抵触するおそれもあります。緊急時の手順はランサムウェア攻撃を受けたときの対応をご確認ください。
ランサムウェアはどのように企業へ侵入しますか？
主な侵入経路は、フィッシングと認証情報の窃取、公開されたサービス（VPN、RDP）、境界機器（ファイアウォール、VPNゲートウェイ）の脆弱性悪用、そして初期アクセスブローカー（IAB）が販売するアクセス権です。警察庁によると、2025年にランサムウェア被害を受けた組織へのアンケートでは、侵入経路の6割超がVPN機器でした。
二重脅迫によって何が変わりますか？
攻撃者は暗号化の前にデータを持ち出し、公開すると脅します。バックアップが完全であっても、情報が公開されるリスクは残ります。だからこそ、復元できる体制を整えるだけでなく、データの持ち出しが起きる前に攻撃を止めることが重要です。
ランサムウェアにはどう対策すればよいですか？
検証済みで隔離されたバックアップ、アイデンティティとアクセスの強化、暗号化前の段階で攻撃者を捉える継続的な検知と対応（MDR）、そしてすぐに実行できるインシデント対応計画です。
理論から実際の運用へ
ここで解説した内容を、Fortgaleは2017年からミラノで運用する24時間365日体制のSOCで毎日実践しています。287の脅威アクターを継続的に追跡し、封じ込めまで30分未満で対応します。サービスの詳細：Fortgaleのランサムウェア対策
関連リソース： ランサムウェア攻撃を受けたときの対応（緊急時） · MDRとは · ランサムウェア対策 · 追跡中のランサムウェアグループ（技術プロファイル）
売り込みではなく、技術的な対話を
ご連絡先をお送りください。欧州のアナリストが1営業日以内にご連絡します。24時間365日体制のSOCと、独自の脅威インテリジェンスに基づいてお答えします。