RESOURCE

ランサムウェアとは？企業が知るべき攻撃の手口と今すぐできる7つの対策｜ハチマルヤ合同会社（808）

2025.12.03

ランサムウェアとは、データを人質に身代金を要求するサイバー攻撃です。アスクル・アサヒグループの事例をもとに、二重恐喝の手口・RaaSの実態・企業が今すぐ取るべき7つの対策を、ハチマルヤ合同会社（808）が徹底解説します。

2025年秋、アスクルやアサヒグループといった日本の大企業が相次いでランサムウェア攻撃の被害を受けました。「大手企業の話」と受け止めている方も少なくないかもしれませんが、実際にはランサムウェア被害の多くが中小企業に集中しています。

「うちは大きくないから大丈夫」「うちの業界は狙われない」——こうした認識こそが、攻撃者にとって最大の”入り口”となります。

この記事では、ランサムウェアの基本的な仕組みから最新の攻撃手口、2社の事例で明らかになった教訓、そして企業が今すぐ取るべき7つの対策を、ハチマルヤ合同会社（808）のコンサルタントが解説します。

ランサムウェアとは何か

ランサムウェアとは、「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた言葉で、データを人質に取り、身代金を得ることを目的とした悪質なプログラムのことです。

顧客データや財務情報、設計図などのファイルが強制的に暗号化されてアクセスできなくなり、攻撃者から「元に戻してほしければ身代金を払え」という脅迫メッセージが届きます。

手口の進化：「二重恐喝」

かつてのランサムウェアは「データを暗号化するだけ」でした。そのため、バックアップがあれば身代金を払わずにデータを復旧できるとされていました。

現在の攻撃者はより悪質な手口を使います。それが「二重恐喝」です。

データを暗号化する（第1の脅迫）：業務を停止させ、身代金を要求します。
暗号化前にデータを盗み出す（第2の脅迫）：「バックアップから復旧する」と強気に出れば、「盗んだ顧客情報や機密情報をネットで公開する」と追い打ちをかけます。

企業は「業務停止」と「情報漏洩」という2つの最悪事態を天秤にかける判断を迫られます。

攻撃の「ビジネス化」：RaaS（Ransomware-as-a-Service）

攻撃が産業化していることも見過ごせません。「RaaS（ランサムウェア・アズ・ア・サービス）」は、攻撃ツール一式を月額課金制で貸し出す闇ビジネスです。

技術力がなくても、サービス利用料を払えば誰でも攻撃を実行できる環境が整っています。攻撃の参入障壁は大幅に下がっており、被害件数の増加と直結しています。

アスクル事件（2025年10月）

多くの企業の物流インフラでもあったアスクルを直撃したランサムウェア攻撃は、社会に広範な影響をもたらしました。

攻撃の時系列

10月19日（土）午前：システムの異常を検知。対策本部を設置し、システムをネットワークから切り離し。同日夜に公表。
影響：法人向け「ASKUL」・個人向け「LOHACO」の注文・出荷が全面停止。
10月29日（発覚から10日後）：FAX注文による手作業で出荷を一部再開。対象はコピー用紙など37品目、2拠点のみ。
11月12日（発覚から24日後）：出荷能力は通常の1〜2割程度にとどまる。
12月上旬以降：WebサイトからのWeb注文を本格再開（発覚から約1ヶ月半後）。

業界最先端のEC・物流システムが「FAXと手作業」に逆戻りせざるを得なかったという事実は、ランサムウェアの破壊力を端的に示しています。

被害の規模

直接損失：1日あたり約1.4億円の営業利益が失われる計算。それが1ヶ月半継続した。
取引先への波及：無印良品・ロフト・西武そごうなど複数企業のネット通販が出荷・配送停止に。自社に非はなくても、取引先の被害が自社の業務を止める「サプライチェーンリスク」が現実となった。
復旧コスト：システム復旧費用だけで数億円以上、失った売上や補償を含めると数十億円規模との見方もある。

攻撃グループと手法

攻撃者は「RansomHouse（ランサムハウス）」を名乗るグループ。約1.1テラバイトのデータを盗んだとダークウェブで主張しました。侵入経路はVPN機器の脆弱性とみられており、攻撃の10月16日頃から数日間潜伏したあと、攻撃を実行したと推定されています。

アサヒグループ事件（2025年9月）

アスクルの1ヶ月前、アサヒグループは「生産・出荷」という製造業にとって最も重要な機能を停止させられました。

攻撃の時系列

9月29日（日）午前7時頃：システム障害を発見。
10月3日（発覚から4日後）：ランサムウェア攻撃であると確認。情報漏洩の可能性も公表。
10月14日（発覚から15日後）：経理データにアクセスできないため、第3四半期の決算発表を延期。
11月上旬時点（発覚から1ヶ月以上）：一部FAX等の手作業で対応を継続。

「決算発表の延期」は、企業経営そのものが人質に取られた状態を意味します。財務状況すら把握できない事態は、経営リスクとして極めて深刻です。

被害の規模

製造・物流への影響：ビール工場6箇所を含む約30の工場で生産・出荷がストップ。
販売機会の損失：10月発売予定の新商品が発売延期。
推定損失額：市場では最大90億円規模の損失と報じられた。

攻撃グループと手法

攻撃者は「Qilin（キリン）」を名乗るグループ。約9,300ファイル・合計27ギガバイトのデータを盗んだと主張。アスクルと同様に二重恐喝型の手口で、VPN機器の脆弱性が侵入経路とみられています。RaaS（サイバー攻撃のサブスク）の提供者でもあることが知られています。

2つの事件から学ぶ、共通の教訓

2社の事件には共通のパターンがあります。

侵入経路がVPN機器の脆弱性：「いつ設定したかわからない」「動いているから問題ない」と放置されたVPN機器が攻撃の入り口となった。
手口が二重恐喝型：業務停止と情報公開という二重の圧力で、経営陣に極めて困難な判断を迫る。
被害がサプライチェーン全体に波及：自社が止まることで、顧客・取引先の業務にも影響が出た。
復旧に1ヶ月以上を要した：「バックアップがあればすぐ復旧できる」という期待は通用しない。システム全体のクリーニングには多大な時間がかかる。
損失が数十億円規模に達した：失った売上・復旧費用・調査費用・信用損失を合算すると、企業存続を揺るがす金額になる。

企業が今すぐ取るべき7つの対策

1. VPN・ネットワーク機器の棚卸しと最新化

社内で使用しているVPN・ファイアウォール等のネットワーク機器をリストアップし、最新のファームウェアやセキュリティパッチが適用されているか確認します。メーカーのサポートが終了した機器を使い続けることは、施錠されていない玄関を放置するのと同義です。

2. 多要素認証（MFA）の全面導入

パスワードだけのログインは、漏洩した時点でアクセスを許してしまいます。MFAを導入するだけで、不正アクセスリスクが大幅に低減します。Microsoft 365やGoogle Workspaceなど既存のクラウドサービスでは、追加費用なしで設定できるケースがほとんどです。VPN・クラウドサービス・社内システムのすべてに例外なく適用することが重要です。

3. ネットワークのセグメント分離

ネットワークを区分けしておくことで、万が一侵入されても被害の拡大を防ぐことができます。特にIT（情報系）とOT（工場・制御系）のネットワークは必ず分離します。

4. オフラインバックアップの確保と定期的な復元テスト

バックアップサーバーごと暗号化されるケースも多数報告されています。バックアップは必ずオフライン（ネットワークから切り離した場所）、またはイミュータブル（変更・削除不可能）なストレージに保管し、定期的に復元できるかテストします。

5. インシデント対応計画（BCP）の策定と訓練

攻撃を受けた後に連絡先を探すのでは手遅れです。「誰が・どこに連絡するか」「システムをどの順番で停止するか」「経営陣や外部専門家への報告ルートは何か」を事前に定め、年に一度は実際の訓練を実施します。

6. サプライチェーン全体のセキュリティ管理

取引先・委託先のセキュリティの脆弱性が自社への攻撃経路となるケースが増加しています。取引先のセキュリティ体制の確認と、自社システムへのアクセス権限を「必要最小限」にする管理が不可欠です。

7. 外部専門家との平時からの連携

攻撃の予兆を自社だけで100%検知するのは困難です。定期的な脆弱性診断（ペネトレーションテストを含む）で自社の弱点を客観的に把握し、有事に即座に連絡できる専門家との関係を平時から構築しておくことが被害を最小化するカギとなります。

中小企業こそ優先ターゲット

「大企業が狙われるのであって、中小企業は関係ない」という認識は誤りです。

警察庁のデータによると、2025年上半期のランサムウェア被害において、中小企業が大企業の倍以上の件数を占めています。[※1] セキュリティ投資が手薄で侵入しやすい中小企業は、攻撃者にとって効率的なターゲットです。

IPAの調査では、ランサムウェア被害を受けた中小企業の平均被害額は73万円、最大で1億円に達したケースも報告されています。また復旧にかかった平均日数は5.8日ですが、最長では360日（約1年）に及ぶ事例も存在します。[※2] さらに、被害を受けた中小企業の約70%で取引先にも何らかの影響が生じています。[※2]

大企業であれば何とか持ちこたえられる場合でも、中小企業にとって一度のランサムウェア攻撃は、事業継続そのものを脅かす経営リスクとなります。