大手企業のランサムウェア被害に学ぶ｜KADOKAWA・アサヒ・アスクルの経緯と中小の備え

朝いちばんに事務所のパソコンを開くと、共有フォルダのファイル名が見慣れない文字列に変わっていて、どれも開けません。徳島県の半田病院では2021年10月、院内の複数のプリンタが一斉に犯行声明を印字して被害が分かりました。ランサムウェアは、業務のデータを使えない状態にして、元に戻す対価を求めてくる攻撃です。いまは暗号化の前にデータを盗み出し、払わなければ公開すると二重に脅す型が大半を占めています。

KADOKAWA、アサヒグループ、アスクル、名古屋港、関通といった国内の大きな被害を公表資料で並べると、共通する点がはっきりします。攻撃者が入ってきたのは、保守や拠点のためのVPN機器などの外部との接続口と、盗まれたり多要素認証が付いていなかったりしたアカウントでした。止まったのは受注・出荷・診療といった業務そのもので、戻るまでの日数を左右したのは、攻撃者の手が届かない場所にあった控えと、システムなしで業務を回す手順があったかどうかです。

中小企業がやることも、この順番に沿います。外とつながる口を数えて更新し、アカウントに例外なく多要素認証を付け、管理者の権限を日常の作業から外し、ネットワークから切り離した控えを作って戻す練習をします。控えの一つとして、一度書いた部分を書き換えられないDVD-R・BD-Rをドライブから出して保管する方法も使えますが、焼く前に中身を確かめることと、置き場所の決まりが前提です。事例と数字は、2026年10月時点で公表資料と報道で確かめられた範囲で書いています。

報告は半期で過去最多｜2026年10月時点の数字で見る全体像

警察庁が2026年3月に公表した令和7年（2025年）の統計では、ランサムウェアの被害として警察に報告されたのは226件でした。最も多かった令和4年の230件に次ぐ水準で、うち中小企業が143件（63.3%）を占めます。大企業は64件、団体などは19件です。業種では製造業が91件と約4割で、卸売・小売業34件、サービス業24件、情報通信業24件、建設業18件と続きます。

2026年9月に公表された令和8年上半期の報告は123件で、統計を取り始めた2020年下半期以降、半期として最も多くなりました。中小企業の割合は64.2%と、ここでも6割を超えています。年ごとの件数を並べると、令和3年（2021年）の146件のあと、令和4年からは200件を超える年が多く、高い水準が続いていることが分かります。

手口が分かったもののうち、データを暗号化するだけでなく盗み出して「公開する」と脅す二重恐喝は、令和7年で153件中136件（88.9%）でした。暗号化されたデータを戻せても、盗まれた情報は戻りません。復旧の備えと、漏えいしたときの連絡や報告の備えは、別々に用意しておく必要があります。

費用の重さも数字に出ています。調査と復旧にかかった費用を答えた89件のうち、46件（51.7%）が1,000万円以上でした。復旧にかかった期間は、1か月未満で終えた組織が5割強にとどまり、回答の時点でまだ復旧中という組織も107件中25件ありました。2か月以上かかった組織は、すべて費用が1,000万円以上だったことも、同じ資料の図に示されています。

IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」でも、組織編の1位は「ランサム攻撃による被害」で、11年連続の選出です。2位は「サプライチェーンや委託先を狙った攻撃」で、この記事で読む事例にも、委託先や拠点を経由した被害がいくつも含まれます。前の年に社会的な影響が大きかった脅威を選んだ一覧なので、2025年の出来事の重さの順として読みます。家庭と小さな職場に置き換えた読み方は情報セキュリティ10大脅威2026を家庭と小さな職場で読むで脅威ごとに表にしています。

警察庁の件数は「報告された件数」

226件や123件は、警察庁に報告された件数です。国内で起きたすべての被害の数ではなく、報告されなかったものは入っていません。また、復旧の期間・費用・バックアップの状況は、被害に遭った組織へのアンケートの結果で、項目ごとに答えた組織の数が違います。この記事で割合を書くときは、何件のうちの何件かを添えます。

半期の数字には回答が30〜50件ほどの項目もあり、一度の増減で急に増えた、減ったと読むのは早すぎます。それでも、令和3年から令和7年までの5年間で報告は146件から230件の間にあり、毎年半数以上が中小企業という形は変わっていません。大きな事件として報じられるのは一部で、件数の多くは名前の出ない中小の被害です。

公表資料、報道、攻撃者の主張を分けて読む

事例を読むときは、情報の出どころを分けておきます。被害に遭った会社や病院が自ら出した公表文や調査報告書、官公庁の資料がいちばん確かで、次が大手の報道です。攻撃者がリークサイトに書く「何テラバイト盗んだ」といった言い分は、被害組織が認めていないことが多いので、ここでは件数や事実として扱いません。

件数にも「漏えいを確認した」と「漏えいのおそれがある」の二つがあり、調査が進むと数字が変わります。以下では両方を書き分け、報道によって数字が揺れているものは「〜と報じられた」と添えます。身代金を払ったかどうかも、本人が公表していないものは書きません。被害に遭った組織を責める読み方はせず、同じ条件が自分の職場にもないかを探しながら読みます。

KADOKAWA（2024年6月）｜従業員のアカウントが起点と推測された約2か月の停止

2024年6月8日、KADOKAWAグループの複数のサーバーで障害が起き、ランサムウェアを含む大規模な攻撃だと報じられました。グループのドワンゴが運営する動画サービス「ニコニコ」などが止まり、利用者の目にも見える形で影響が出ました。会社が漏えいの調査結果をまとめて公表したのは、約2か月後の8月5日です。

侵入口について、KADOKAWAは2024年8月5日に公表した調査結果で、フィッシングなどの攻撃によって従業員のアカウント情報が盗まれたことが根本原因と推測しつつ、具体的な経路や方法はその時点で分かっていないとしました。ほかの多くの事例ではVPN機器などの機器が名指しされますが、ここでは人のアカウントが起点と見られています。

漏えいが確認された個人情報は254,241人分で、ドワンゴの取引先や従業員、グループが運営する通信制の学校の在校生・卒業生・保護者の一部などが含まれていました。取引先との契約書や法務関連の社内文書も外に出ています。ニコニコは同じ8月5日に新しいバージョンで再開し、停止はおよそ2か月に及びました。

この事例からは、従業員一人のアカウントから会社の広い範囲のサーバーまで届いてしまうことがあると分かります。パスワードだけで守っているアカウントは、盗まれた時点で本人と見分けがつきません。メールやメッセージのリンクから開いたページでIDとパスワードを入れないこと、ログインに多要素認証を付けること、管理用のアカウントとふだん使うアカウントを分けることが、ここから導ける対策です。

数人の事務所に置き換えると、経理担当のメールアカウントが一つ乗っ取られただけで、取引先とのやりとり、請求書、顧客の名簿まで見られる状態になります。KADOKAWAは再発防止として、社外の大手セキュリティ専門企業の助言とチェックを受けながら対策を進めるとしました。自社に専門の担当者がいない会社ほど、外の専門家や公的な相談窓口を早めに頼る手順を決めておくと動きやすくなります。

アサヒグループ（2025年9月）は、拠点の機器から入られ、受注の再開まで約2か月かかった

2025年9月29日午前7時ごろ、アサヒグループホールディングスは国内のシステム障害を検知し、その日のうちにネットワークを遮断してデータセンターを隔離しました。ビールなどの受注・出荷が止まり、10月3日にランサムウェアによる攻撃だと公表しました。2026年2月18日には、調査結果と再発防止策を公表しています。

調査結果によると、具体的な日時は特定できないものの、障害が起きる約10日前に、外部の攻撃者がグループ内の拠点にあるネットワーク機器を経由して侵入しました。攻撃者は主要なデータセンターに入り込み、パスワードの弱さを突いて管理者権限を奪い、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返したうえで、9月29日にランサムウェアを一斉に実行しています。複数のサーバーと一部のパソコンのデータが暗号化され、従業員のパソコンの一部のデータも外に出ました。

夜や休日は、誰も画面を見ていない時間です。数人の事業所に置き換えるなら、管理者のアカウントにサインインがあったときや、新しい端末からログインがあったときに通知が届く設定を、使えるサービスではオンにしておきましょう。夜中に届く見慣れない通知は、気づくための数少ない手がかりです。通知がどこに届くのか、誰が見るのかも、あわせて決めておきましょう。

個人情報については、2025年11月の時点で最大で約191万件の漏えいのおそれがあると公表し、2026年2月の時点で漏えいを確認したのは115,513件（従業員5,117件、取引先の役員・従業員など110,396件）でした。クレジットカードの情報は含まれていません。「おそれ」の件数と「確認」の件数は意味が違うので、比べるときは同じ種類どうしで比べます。

受注の再開は、アサヒグループ食品が2025年12月2日、アサヒビールとアサヒ飲料が12月3日で、物流業務全体は2026年2月までに正常に戻りました。一部の終売品を除く全商品の出荷再開は2026年4月7日と報じられています。2025年12月期の決算発表も約5か月遅れ、2026年7月8日になったと報じられました。身代金については、2025年11月の会見で社長が「攻撃者と接触はしていない」として支払っていないと説明したと報じられています。

バックアップの仕組みを一時止めて守った判断

アサヒの公表で目を引くのは、封じ込めの段階で、バックアップデータの健全性を保つためにバックアップシステムを一時停止したことです。自動で動くバックアップは、感染した後のデータで古い控えを上書きしてしまうことがあります。JPCERT/CC（JPCERTコーディネーションセンター）も、被害を免れたバックアップは安全が確認できるまで切り離しや退避を検討し、自動バックアップで有効な控えが上書きされるおそれに注意するよう呼びかけています。

復旧は「安全性の確認されたバックアップデータ」から行い、健全性を確かめられたシステムから段階的に再開しました。それでも受注の再開まで約2か月、全商品の出荷まで約半年かかっています。バックアップがあれば無傷で済むわけではなく、控えが安全かを確かめる手間と、止まっている間の業務をどう回すかという問題が別に残ります。

再発防止策には、リモートアクセスVPN装置の全面廃止、全システムのパスワード変更と認証・権限管理の強化、全パソコンのEDR（端末の不審な動きを見張る仕組み）の設定強化、バックアップの強化と復旧訓練、独立したセキュリティ組織と専任の担当役員の設置が並びます。中小企業がそのまま真似できる規模ではありませんが、「外から入れる機器を減らす」「パスワードと権限を見直す」「戻す練習をする」の三つは、数人の事務所でも同じ順に置き換えられます。

アスクル（2025年10月）｜例外だった1つのアカウントと、4か月の潜伏

2025年10月19日、事務用品などの通販を手がけるアスクルは、ランサムウェアの感染によるシステム障害で、法人向けの「ASKUL」と個人向けの「LOHACO」の受注・出荷を止めました。被害はアスクル一社にとどまらず、物流子会社に配送を委託していた無印良品のネットストアがその日の21時に受注・出荷を止め、ロフトやそごう・西武の通販も一部が止まりました。配送を任せていた先の被害が、そのまま自社の通販の停止になった例です。

2025年12月12日に公表された調査結果の内容として報じられたところでは、侵入に使われたのは業務委託先が使う管理者アカウントの認証情報で、盗まれて不正に使われた可能性があるとされました。このアカウントには、例外的に多要素認証が適用されていませんでした。攻撃者は2025年6月5日に最初に侵入し、偵察を重ね、端末の不審な動きを見張る仕組み（EDR）などを無効にしながらサーバーの間を移り、10月19日に複数のサーバーへランサムウェアを展開しています。ログの一部が消されていたため、最初の侵入の詳細は完全には特定できなかったとされます。

攻撃者はファイルを暗号化するとともに、バックアップを削除しました。侵害されたサーバーには、ランサムウェア攻撃を想定したバックアップの環境が用意されていなかったと報じられています。漏えいは、事業所向けの顧客約59万件、個人向けの顧客約13万2,000件、取引先約1万5,000件、役員・社員約2,700件で、およそ74万件にのぼります。漏えいのおそれを含む件数として報じられた数字で、人数ではありません。クレジットカードの情報は含まれていないとされ、2025年6〜11月期の売上高は12.3%減ったと報じられました。

復旧は段階を踏んで進みました。11月12日にWeb注文を法人向けから再開し、12月15日に無印良品ネットストアが全商品の受注・出荷を再開、12月25日に仙台・福岡の物流センターで出荷を再開、2026年1月20〜21日にLOHACOが全商品の注文・出荷を再開しています。1月28日の決算説明では、横浜の物流センターを除いて正常化したと説明されました。最初の侵入から数えると、7か月以上にわたる出来事です。

侵入から暗号化まで4か月あったことの意味

この事例でいちばん考えさせられるのは、6月の侵入から10月の暗号化まで約4か月あったことです。IPAが2026年9月に公開した「ランサムウェア被害から学ぶ教訓集」は、攻撃者が時間をかけて内部を探り、バックアップの場所を突き止め、データを持ち出したあとの最終段階で暗号化を始めると説明しています。汚染された可能性のあるバックアップは復旧に使えないので、侵入が始まった時期より前の控えなら安全と判断できる、とも書いています。

毎晩上書きされる控えや、30日前までしか戻せないクラウドの履歴だけでは、侵入より前の時点に届かないことがあります。戻せる期間はサービスとプランで決まり、たとえばOneDriveのごみ箱から戻せるのは、個人用のアカウントで削除から30日以内です。月に一度、あるいは決算や棚卸しの節目ごとに、その時点の控えを別に作って長く置いておけば、「4か月前の状態」に戻る手段が残ります。作った時点のまま中身が変わらない追記型のディスクが役に立つのは、こういう場面です。

もう一つは「例外」の怖さです。多要素認証を全員に付けていても、保守業者のため、古いシステムのためといった理由で外したアカウントが一つあれば、そこから入られます。中小企業にも、複合機の設定用、会計ソフトのサポート用、ホームページの更新業者用など、ふだんは意識しないアカウントがいくつもあります。誰のためのアカウントか、いつ使うのか、多要素認証が付いているかを一覧にしておくと、例外が目に見えるようになります。

アスクルは再発防止策として、多要素認証の徹底、24時間365日の監視体制の高度化、クラウドのサービスのログの監視、ITと物流設備をまたいだリスクの管理、ランサムウェアを踏まえた事業継続計画（BCP）の見直し、外部の機関による定期的な評価を掲げています。事務のシステムと物流の現場の設備を、まとめて一つのリスクとして扱う方針です。

名古屋港の丸2日半｜手作業で荷役を続けたコンテナターミナル

2023年7月4日の朝、名古屋港運協会の職員が出勤すると、コンテナの搬入・搬出を管理する「名古屋港統一ターミナルシステム」に不具合が出ていました。協会は翌5日にランサムウェアの感染を公表しています。コンテナの搬入・搬出は約3日止まり、自動車の部品を梱包する工場が一時稼働を止めるなど、港の外の製造業にも影響が広がったと報じられました。

国土交通省の検討委員会が2023年10月ごろにまとめた中間取りまとめは、保守用のVPNを通じてサーバーに侵入され、サーバーの情報が暗号化されたと考えられるとしつつ、VPN以外から入られた可能性も精査すべきだとしました。報道では、保守用のVPNにはIDとパスワードはあったものの接続元のIPアドレスの制限がなく、機器とサーバーの脆弱性が未対応で、VPN機器でアクセスの記録を取っていなかったと伝えられています。

同じ取りまとめは、事案の発生から丸2日半という短い期間で復旧したこと、システムを使わずに手作業で船との荷役を続けたことを、評価する点に挙げました。一方で、主な問題点として「バックアップの取得対象と保存期間が不十分であった」ことを指摘しています。業務を止めないための手作業の段取りと、システムを戻すための控えの両方が、一つの事例の中で試されたことになります。

戻したサーバーからウイルスが見つかった

委員会の資料を引いた報道によると、バックアップからシステム単体の復元はできたものの、ほかのシステムとの連携で障害が起き、復元した仮想サーバーからウイルスが検知されたと記録されています。控えがあっても、その控えの中に攻撃の痕跡が入っていれば、戻した先でまた同じことが起きかねません。JPCERT/CCも、ネットワークに戻す前に、攻撃者が残したマルウェアや不正な設定が取り除かれたかを確かめるよう求めています。

再発防止策として示されたのは、外部接続の設定の見直し、セキュリティソフトの導入と更新、システムのログを含むバックアップの取得と、取得の頻度・保存期間・保存場所の設定、インシデント対応の手順と訓練、システム障害を想定したBCPです。中小企業に置き換えるなら、「何を」「どのくらいの間隔で」「何世代」「どこに」残すかを紙一枚に書き出すところから始められます。保存期間が短すぎると、汚染される前の控えがもう手元に無い、ということが起こります。

物流が約50日止まった関通は、在庫データを棚卸しで作り直した

兵庫県尼崎市に本社を置く物流会社の関通では、2024年9月12日の夕方、全サーバーが被害を受けたという一報が社内に入りました（社長の講演での説明）。会社は9月13日にシステムの停止を公表し、9月30日の調査結果で、外部のネットワークとの接続口から複数のサーバーに侵入され暗号化されたと説明しています。10月18日には、情報の漏えいの事実は確認されていないと報告したと、物流の専門紙などが伝えています。

入出庫に関わるシステムが止まったため、荷主の出荷が止まったり遅れたりしました。物流の事業が止まったのは約50日と報じられ、社長は講演で、在庫データの作り直しに約1か月半かかり、10月末に「復活宣言」をしたと語っています。被害を受けたシステムは調べずに捨てると決め、30人の開発部隊でゼロから組み直し、在庫は全社員で棚卸しをして数え直しました。

最終的な損失について、社長は講演で約17億円（ITの資産の損失約7億円、賠償約10億円）だったと語ったと報じられています。決算では特別損失を計上し、最終赤字になったとも報じられました。多くの荷主の荷物を預かる会社では、自社のシステムが止まることが、そのまま取引先への賠償につながります。

社長が講演で挙げた再発防止策は、インシデント対応のマニュアルを整えて実地で確かめること、システムが使えないときの代わりの手段（プランB）を前もって用意すること、役員会でサイバーセキュリティを経営の課題として話し合うこと、取引先を含めたサプライチェーン全体の知識の底上げでした。全社員で棚卸しをした経緯を見ると、「何が、いくつ、どこにあるか」をシステムの外でも確かめられる記録があるかどうかで、復旧の速さが変わることが分かります。

小さな会社に置き換えると、在庫や預かり品を扱う店や事務所なら、月末の在庫表や預かり品の一覧を印刷するか、ファイルにして控えの盤に入れておく方法があります。システムが戻るまでの間も「何をいくつ預かっているか」を確かめられ、全員で数え直すことになっても、前の月末の表と照らしながら数えられます。紙の表は日付を入れて保管し、新しい表ができたら古いものを処分しましょう。

病院・委託先・NASの事例は、何を付け足すか

大手企業の事例に、病院、業務の委託先、NASの事例を重ねると、侵入口と控えの話がもう一段具体的になります。どれも中小企業や家庭と無縁の話ではありません。保守業者の回線、外に仕事を出したときのデータ、事務所の共有の置き場は、規模を問わずどこの職場にもあるからです。ここでは大事な点だけを書き、詳しい経緯と対策はそれぞれの記事に譲ります。

病院｜外部の保守回線と、遠隔地に置いたテープ

半田病院（徳島県つるぎ町）は2021年10月31日に被害を受け、電子カルテなどのデータが暗号化されました。2022年6月に公開された有識者会議の報告書は、リモート保守用のVPN装置の脆弱性を使って侵入したと「思われる」としています。救急と新規患者の受け入れを止め、通常診療の再開は2022年1月4日でした。暗号化された機器にはバックアップサーバーと部門のNASも含まれていましたが、2018年までにオフラインで保管していた控えは影響を受けず、復旧に使えました。病院が身代金を払っていないことは報告書に明記されています。

大阪急性期・総合医療センター（大阪市）は2022年10月31日に被害を受けました。2023年3月に公表された報告書によると、給食を委託していた事業者のシステムに保守用のVPN機器から入られ、常時つながっていたリモートデスクトップを経て病院のサーバーに広がりました。院内に置いたテープのバックアップ装置は暗号化されましたが、遠隔地に保管していたテープは正常に読み出せ、電子カルテを参照する環境づくりに使えました。それでも基幹システムの再稼働に43日、全体の復旧に73日かかっています。報告書の読み解きは病院のランサムウェアで何が止まったか｜半田病院・大阪急性期の報告書から読むに詳しく書いています。

委託先｜預けたデータが、仕事の後も残っていた

印刷・発送を請け負うイセトーは2024年5月に被害を受け、VPNからの不正アクセスで社内に侵入されたと報じられました。委託元の自治体や金融機関の情報が漏えいし、たとえば和歌山市の住民税の通知書の課税情報など151,421件、伊予銀行の約25万件などが報じられています。同社は、本来その情報を扱ってはいけないサーバーに作業の都合で置き、業務の終了後に消すべきデータを消していなかったと説明したと伝えられました。2026年8月の両毛システムズの被害でも、委託先の側に残っていた過去のファイルについて、委託元のガス会社の顧客情報などに漏えいのおそれが出ています。

データを預ける側にできるのは、渡すデータを必要な分に絞ること、作業が終わったら消したことを確かめること、そして自分の手元にも控えを置いておくことです。給食の委託先から病院へ入られた大阪急性期の例のように、委託先のシステムが自社への経路になることもあります。委託先の事例と、預ける側の決め事は委託先から漏れる・止まるで、契約と運用の両面から扱っています。

NAS｜事務所の中の機器でも、ネットから届く

家庭や小さな事務所でファイルの置き場にするNAS（ネットワークにつなぐ記憶装置）も、直接狙われます。2022年から広がったNASを狙うランサムウェアの一つは、インターネットから直接アクセスできる設定の機器だけを狙い、オランダの警察は世界で2万台を超える機器が暗号化されたと説明しました。国内でも2026年9月、佐賀大学の事務部門のNASでファイルが暗号化され、端末の利用を止めたうえで9月28日に通常の業務に戻ったと報じられています。

NASは事務所の中にあるので安全だと考えがちですが、外から使える設定、古いファームウェア、弱いパスワードのままだと、NASそのものが暗号化されます。いつもつながっているNASはバックアップの置き場ではあっても、攻撃者から切り離された控えにはなりません。NASと外付けHDDの守り方はNASや外付けHDDごと暗号化されるランサムウェアで、家庭と数人の事務所に分けて書いています。

2026年に公表された事例

2026年に入ってからも、規模や業種の違う被害が続いています。日本医科大学武蔵小杉病院（川崎市）では2月9日の未明、病棟のナースコールの端末が動かなくなり、ナースコールを管理するサーバーがランサムウェアに感染していたことが分かりました。侵入口は医療機器の保守用のVPN装置と報じられ、当初は患者約1万人分としていた漏えいを、2月末の続報で約13万人分の患者情報などに修正しています。電子カルテのような基幹のシステムでなくても、保守のために外とつながった機器があれば、そこが侵入の経路になることがあります。

店舗・物流・鉄道グループまで

7月にはニチレイがサイバー攻撃を受けてシステムを遮断し、冷蔵倉庫の入出庫と冷凍食品の出荷に影響が出ました。ハッカー集団が犯行を主張しているサイバー攻撃で、7月24日までに全拠点で通常の稼働に戻り、9月の続報で個人情報53,866件の漏えいを確認しています。8月には、RIZAPグループのREXTのネットワークでランサムウェアの被害が確認され、WonderGOOや新星堂などの一部の店舗が臨時休業や部分営業になりました。一部の決済が使えず、支払いを原則現金だけにした店舗もあり、全店舗が営業を再開したのは8月16日です。

9月26日には京王グループが、グループの使うサーバーへのランサムウェア攻撃を確認してネットワークを遮断しました。鉄道の運行は別の系統で影響はなく、京王ストアで現金以外の決済やポイントに影響が出たほか、ホテルの一部で新規予約の受付が止まりました。10月11日の時点で、侵入口や復旧の時期は公表されていません。同じ9月には、8月12日にVPNのアカウントを悪用されて侵入された両毛システムズの被害が、ランサムウェアによるものと正式に確認されています。

両毛システムズの件では、委託元の本番のシステムへの侵害は確認されていないものの、同社の側に保管されていたデータが対象になりました。ガス会社の過去の顧客ファイル約12万4,000件や、伊勢崎市の児童生徒のアカウント情報3,789件などに、漏えいのおそれが出ています（いずれも「おそれ」の段階です）。学校や自治体のデータも、委託先の側に残っていれば同じ形で巻き込まれます。

主と副を離して置いていた県のシステム

鳥取県では9月2日、環境放射線を見張るシステムのうち、県庁内にある主監視局のサーバーのファイルが暗号化され、主監視局が止まりました。それでも遠隔地にある副監視局は被害を受けず、放射線の監視は続けられました。システムは県の行政ネットワークと分けた専用のネットワークで動かしていて、ほかの県庁のシステムへの影響もなかったとされます。侵入口や復旧の経緯は公表されていませんが、同じ働きをする仕組みを離れた場所にもう一つ持っていたことで、止めてはいけない監視が続きました。

武蔵野大学は6月、法人が管理するサーバーへの攻撃と感染を確認し、バックアップから復旧して運営に支障は出なかったと公表しました。金銭の支払いもしていません。ところが9月の続報で、共有フォルダの複数のファイルが外に出て、一部に氏名や住所が含まれていたと報じられました。バックアップで業務は戻せても、盗まれた情報は戻りません。二重恐喝が大半を占めるいまは、この二つを分けて備える必要があります。

侵入口を並べると、外部との接続口とアカウントに行き着く

ここまでの事例を、侵入口・止まった業務・戻るまでの期間で並べてみます。名指しされた機器はVPN機器やリモートデスクトップ、拠点のネットワーク機器で、そうでない事例でも、盗まれたアカウントや多要素認証の付いていないアカウントが起点になっています。止まったものは、どの事例でも「サーバー」より先に「受注」「出荷」「診療」といった仕事の名前で語られています。

警察庁の統計も同じ形を示しています。令和7年の被害で侵入経路を答えた92件のうち、VPN機器が61件（66.3%）、リモートデスクトップが19件（20.7%）で、合わせて約87%でした。不審なメールやその添付ファイルは2件だけです。侵入口とされた機器では、答えた71件のうち40件（56.3%）に、適用されていないセキュリティの更新がありました。

ただし「VPN機器」という分類には、機器の欠陥だけでなく、漏れた認証情報や弱いパスワード、設定の不備を使われた場合も含まれます。攻撃者は修正されていない脆弱性、漏えいした認証情報、簡単なパスワード、設定の不備を使って侵入する、というのが警察庁の説明です。機器を新しくするだけでは足りず、アカウントの管理と設定の見直しが一緒に要ります。

海外の大きな事例も同じ形をしている

2021年5月に米国の燃料パイプラインの操業を約6日止めたColonial Pipelineの事件では、使われていなかったVPNのアカウントのパスワードが流出していて、多要素認証が設定されていなかったと、同社のCEOが米議会で説明したと報じられています。2024年2月に米国の医療費の請求・決済の処理を広く止めたChange Healthcareの事件でも、親会社のCEOが、盗まれた認証情報でリモートアクセス用のポータルに侵入され、そのポータルには多要素認証が使われていなかったと証言しました。

2025年4月に英国の小売大手Marks & Spencerがオンラインの衣料品注文を46日止めた事件では、委託先の従業員がだまされたことが侵入のきっかけと報じられました。国も業種も違いますが、外からつながる口、人のアカウント、委託先という三つの経路は、国内の事例と重なります。どの事例でも、使われなくなったアカウントや多要素認証の付いていない接続、人をだます手口といった、ふだんの管理から漏れた部分が使われています。

メールの添付が少なくても、フィッシングへの備えは外せない

警察庁の統計でメールの添付が2件しかないのは、攻撃の形が変わったためです。以前は不特定多数の利用者にメールを送る手口が一般的だったが、いまはVPN機器などインターネットに露出した箇所から遠隔で侵入する手口が多くを占める、と警察庁は書いています。とはいえ、KADOKAWAの事例のように、フィッシングで盗まれたアカウントの情報がその後の侵入に使われることがあります。VPN機器から入られた場合も、そこで使われたIDとパスワードがどこで盗まれたかまでは、調査で突き止められないことがあります。

そのため、偽のメールの見分け方を覚えるより先に、盗まれても使われにくい設定を入れておきましょう。多要素認証やパスキー（指紋や顔、端末のロック解除でログインする方式）が使えるサービスでは設定し、管理者のアカウントにはとくに例外を作らないようにします。メールのリンクから開いたページでIDとパスワードを求められたら入れずに閉じ、ブックマークや公式のアプリから開き直す習慣も、盗まれる機会を減らします。

システムが止まった日、業務はどう回ったか

事例で止まったものを並べると、どれも仕事の名前です。アサヒでは受注と出荷、アスクルでは通販の注文と物流センターの出荷、名古屋港ではコンテナの搬入・搬出、関通では荷主の荷物の入出庫、病院では救急と新規患者の受け入れ、REXTでは店舗の決済でした。統計でも、業務への影響を答えた117件（令和7年）のうち、全業務が止まったのは9件で、97件は一部の業務への影響でした。すべてが止まるより、一部が止まって残りをどう回すかという場面のほうが多いということです。

回し方にも事例があります。名古屋港は手作業で船との荷役を続け、大阪急性期・総合医療センターは遠隔地のテープから電子カルテの参照用の端末を用意し、救急の受け入れの再開につなげました。REXTでは支払いを原則現金だけにした店舗がありました。関通は在庫を全社員で数え直しています。どれも、システムの外にある紙や人の手、別の場所にある控えで仕事をつないだ例です。

サイバー攻撃を想定したBCP（業務継続計画）を作っていた被害組織は、111件中20件（18.0%）にとどまります。地震や水害のBCPはあっても、データが暗号化されて使えない場面を想定した計画は少ないということです。建物も人も無事なのに、顧客の名簿も、今日の注文も、請求のデータも開けないという状態は、事前に考えておかないと最初の数時間で手が止まります。

小さな事業所なら、システムが止まった日に必要になる最低限の情報を、紙や別の媒体に控えておくことから始められます。取引先と顧客の連絡先、今月の受注と納期の一覧、従業員の緊急連絡先、契約している保守業者・プロバイダー・保険会社の窓口、取引銀行の連絡先などです。月に一度印刷して鍵のかかる場所に置き、古いものは決まった手順で処分します。印刷した紙そのものが持ち出せる情報になるので、置き場所と処分の手順も一緒に決めておきましょう。

手作業に切り替えたときの手順も、システムの外に置いておきましょう。伝票を手で書く手順、在庫を数える手順、電話で注文を受ける手順などを、紙の手順書と、実際にやって見せる短い動画で残しておくと、ふだんその作業をしていない人でも動けます。動画は、パソコンが使えない日でも見られる形、たとえばテレビにつないだプレーヤーで再生できるディスクにしておくと、職場の誰でも確かめられます。記録映像の残し方は後の節でまとめます。

バックアップの明暗｜取っていても7〜8割が戻せない理由

警察庁の令和7年の統計では、被害に遭った組織のうちバックアップを取っていたのは、答えた116件中105件（90.5%）でした。ところが、バックアップからの復元を試みて結果を答えた99件のうち、被害の直前の水準まで戻せたのは20件で、79件（79.8%）は戻せませんでした。戻せなかった理由を答えた72件では「バックアップも暗号化された」が48件で最も多く、「運用の不備」が19件です。二つの割合は答えた組織の数が違うので掛け合わせては読めませんが、「取っていたのに戻せない」組織が多い状態は、令和3年からの5年間ずっと続いています。

警察庁の設問は「被害の直前の水準まで戻せたか」を尋ねているので、「戻せなかった」には一部だけ戻せた場合も含まれえます。バックアップがまったく役に立たなかったという意味ではありません。事例ごとに、控えに何が起き、どう戻ったかを並べると、明暗はもっと具体的に見えてきます。

事例：半田病院（2021年）
控えに起きたこと：バックアップサーバーと部門のNASも暗号化。2018年までのオフラインの控えは無事
どう戻ったか：無事な控えを復旧に使い、通常診療の再開まで約2か月

事例：大阪急性期（2022年）
控えに起きたこと：院内のテープ装置は暗号化。遠隔地のテープは無事。重症系はオンラインの控えだけで使えず
どう戻ったか：遠隔地のテープで参照の環境を作る。全体の復旧に73日

事例：名古屋港（2023年）
控えに起きたこと：取得対象と保存期間が不十分。戻した仮想サーバーからウイルスを検知（報道）
どう戻ったか：丸2日半で復旧（国土交通省の評価）

事例：アスクル（2025年）
控えに起きたこと：攻撃者がバックアップを削除。攻撃を想定した控えの環境が無かった（報道）
どう戻ったか：個人向け通販の全商品再開まで約3か月

事例：アサヒ（2025年）
控えに起きたこと：封じ込めの段階でバックアップの仕組みを一時停止して守った
どう戻ったか：安全を確かめた控えから復旧。受注再開まで約2か月

事例：鳥取県（2026年）
控えに起きたこと：主監視局が暗号化。遠隔地の副監視局は無事
どう戻ったか：放射線の監視は止まらなかった

事例：武蔵野大学（2026年）
控えに起きたこと：詳しい状況は公表されていない
どう戻ったか：バックアップで復旧。後に一部のファイルの流出が判明

半田病院、大阪急性期、鳥取県は、離れた場所か切り離した状態にあった控えが残った例です。アスクルと名古屋港は、控えそのものが消されたり足りなかったりした例で、アサヒは、つながっている控えを止めることで守りました。武蔵野大学の例は、控えで業務を戻せても、盗まれた情報は戻らないことを示しています。

戻せなかった控えに共通すること

戻せなかった控えは、三つの型に分けられます。一つ目は、元のデータと同じネットワークにつながっていて、一緒に暗号化されたり消されたりした控えです。攻撃者が内部を探索してバックアップを探し、元のデータと一緒に暗号化することが多いと警察庁は説明し、総務省も同じネットワークにバックアップをつなぐと共倒れになるおそれを挙げています。いつもつながっているNASやバックアップサーバー、挿しっぱなしの外付けHDDがこの型に入ります。

二つ目は、取ってはいたものの、戻す段になって足りなかった控えです。対象から漏れていたシステムがある、保存期間が短くて安全な時点が残っていない、戻すための機器や手順が無い、そもそも正しく取れていなかった、といった運用の不備です。オフラインバックアップの確実な取得に加えて、戻して参照するためのサーバーや外部の媒体を読む装置の確保、正常に取れているかの定期的な確認を、大阪急性期の報告書が提言しているのは、この型への答えです。

三つ目は、汚染された後の時点しか残っていない控えです。侵入から暗号化まで数か月ある場合、その間に取った控えには、攻撃者が仕込んだものが入っているかもしれません。名古屋港で復元したサーバーからウイルスが見つかったのは、この型の怖さを示しています。控えが「ある」ことと、その控えで「安全に戻せる」ことの間には、思っている以上に大きな差があります。

安全な時点は「侵入が始まる前」

IPAの教訓集は、バックアップを安全に使うには侵入が始まった時期を特定することが大切で、それより前の時点の控えなら安全と判断できると説明しています。そのためにログを残しておくこと、取得の日時と頻度を考えておくこと、一度書いたら書き換えられない（WORM）機能などでバックアップ自体を改ざんされにくくすること、復旧の訓練をすることを挙げています。古い時点に戻すと、巻き戻った分の業務データを手作業で補正する負担が大きくなった組織があったとも書いています。

中小企業に置き換えると、「毎日の控え」と「節目の控え」を分けて持つのが現実的です。毎日の控えは外付けHDDやクラウドで自動に取り、直近の誤操作や故障に備えます。節目の控えは月末や決算の時点で別に作り、ネットワークから切り離して何か月分も残します。節目の控えから戻した後に足りない分は、紙の伝票やメールの記録から補うことになるので、どの時点まで戻せば何を手で直すことになるかも、見当をつけておきましょう。オフラインの控えの具体的な作り方はランサムウェア対策のオフラインバックアップに、学校や家庭の場合も含めて書いています。

中小企業がやる順番

事例と統計から逆にたどると、中小企業が手をつける順番は決まってきます。攻撃者が入ってくる口を減らし、入られても広がりにくくし、暗号化されても戻せる控えを持ち、止まっても業務を回せるようにする、の順です。IPAが2026年3月に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版も、基本の「情報セキュリティ5か条」に「バックアップを取ろう！」を加えて6か条にしました。自社のいまの状態は、同じガイドラインの付録の「5分でできる！情報セキュリティ自社診断」の25問に答えると、100点満点の点数で分かります。

6か条は、OSやソフトウェアを常に最新の状態にする、ウイルス対策ソフトを導入する、パスワードを強化する、共有設定を見直す、バックアップを取る、脅威や攻撃の手口を知る、の六つです。どれも当たり前に見えますが、事例の侵入口と照らすと、更新の遅れとパスワードの弱さがそのまま侵入に使われていたことが分かります。ここでは、事例で実際に使われた侵入口から順に、四つの段階に分けて具体的に書きます。

外とつながる口を数えて、更新し、要らないものを止める

最初にやるのは、会社のネットワークに外からつながる口を書き出すことです。VPN機器、リモートデスクトップ、外から使える設定のNAS、複合機やネットワークカメラの管理画面、保守業者がつなぐための回線などです。自社で契約した覚えのない、保守業者が置いた機器も含めます。半田病院、大阪急性期、名古屋港、武蔵小杉病院は、いずれも保守のための接続が侵入の経路になったか、その可能性が指摘されています。

書き出したら、一つずつ三つを確かめます。ファームウェアやソフトが最新か（メーカーの更新情報と照らす）、いまも使っているか、誰がどこからつなげる設定か。使っていない接続は止め、使うものは更新を当て、できれば接続元のIPアドレスを限ります。保守業者の接続は、使うときだけ開ける運用にできないかを業者と話し合います。VPN機器の更新ファイルやセキュリティパッチが公開されたら速やかに適用するよう、警察庁も求めています。侵入口とされた機器の半数以上に未適用の更新があった、という統計もあります。

機器の管理画面を自分で見られないときは、保守業者やネットワークを組んだ業者に、外からつながる口の一覧と、それぞれのファームウェアの版、最後に更新した日を出してもらいます。「どの機器に、どこから、どのアカウントで入れるかを表にしてほしい」と頼めば足ります。業者の側でも把握していなかった機器が見つかることがあり、その一枚の表が、次に何かあったときの調査の手がかりにもなります。

アカウントは例外なく多要素認証にする

次はアカウントです。メール、クラウドのファイル置き場、会計や受発注のクラウドサービス、VPN、リモートデスクトップ、機器の管理画面と、ログインできるものすべてについて、多要素認証が付いているかを確かめます。アスクルの侵入口は例外的に多要素認証の付いていなかった委託先の管理者アカウントで、海外のColonial PipelineとChange Healthcareでも多要素認証の無い入り方が使われました。全員に付けたつもりでも、保守業者用や共用のアカウントが外れていないかを見ます。

Microsoft 365を使っている事業所なら、管理者がMicrosoft Entra管理センターで「セキュリティの既定値群」が有効になっているかを確かめます。有効にすると、全員に多要素認証への登録を求め、管理者のサインインには多要素認証を求め、古い認証方式をブロックします。2019年10月22日以降に作った環境では最初から有効になっている場合があるものの、途中で無効にしたままの場合があります。ほかのクラウドサービスでも、管理者が全員に2段階認証を求める設定があるものが多いので、管理画面で確かめます。

パスワードは、使い回さない、推測されにくい長さにする、初期パスワードのまま使わない、の三つを守ります。初期パスワードや「password」「12345678」のような簡単な文字列を避け、ほかのサービスで使っていないものに設定し直すことは、警察庁の対策のページにも書かれています。退職した人や契約が終わった業者のアカウントを消すのも、この段階の仕事です。Colonial Pipelineの例のように、使われていないアカウントは誰も気にかけないので、盗まれても気づかれにくくなります。

管理者の権限とパスワードを、ふだんの作業から切り離す

入られた後に広がるかどうかは、権限の持たせ方で変わります。岡山県精神科医療センターの報告書（2025年2月公表）の概要では、全コンピューターの管理者のIDとパスワードが同じで、一般の利用者にも管理者権限を与えていたため、ウイルス対策ソフトを止められたことなどが、被害が広がった理由に挙げられています。共通のパスワードで基幹システムのサーバーへ広がった点は、大阪急性期も同じです。

対策は、ふだん使うアカウントを標準ユーザーにし、ソフトを入れるときや設定を変えるときだけ別の管理者アカウントを使うことです。パソコンごとの管理者のパスワードは、全台で同じにしないようにします。Windowsでは「設定」の「アカウント」の画面で、自分の名前の下に「管理者」と出ているかどうかで、いまのアカウントの種類を確かめられます（表記は版で変わります）。経理や総務の担当者のアカウントほど、管理者権限を外しておく意味があります。

Windowsには「フォルダー アクセスの制御」（コントロールされたフォルダー アクセス）という、許可していないアプリが文書や写真のフォルダーを書き換えるのを止める機能もあります。Windows セキュリティの「ウイルスと脅威の防止」の画面から、ランサムウェアの防止の項目（表記は版によって違います）を開いて、オンにします。初めの設定ではオフで、オンにすると、ふだん使う正規のアプリが止められて許可の設定が要ることがあるので、まず1台で試してから広げます。会社で一括して管理しているパソコンでは、切り替えが灰色で操作できないこともあります。

切り離した控えを世代で持ち、戻す練習をする

四つ目の段階が控えです。IPAの自社診断のバックアップの設問（No.5）は、対策の例として、重要な情報を定期的にバックアップする、バックアップに使う装置や媒体はバックアップのときだけパソコンにつなぐ、安全な場所に保管する、戻せるかを定期的に確かめる、などを挙げています。ガイドラインの実践編も、本番の環境から物理的に分けた場所に置く「物理的隔離」と、複数の時点の控えを残す「世代管理」を図で説明し、対象と頻度を決めて、遠隔地を含めた保管の方法とリストア（復元）の手順書を整えるよう求めています。

米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）が中小企業向けのページで紹介する「3-2-1」は、データのコピーを3つ持ち、2種類の媒体に分け、1つは社外に置くという経験則です。法律や公的な基準で決まったルールではありませんが、控えの組み方を考える目安になります。同じページは、少なくとも7日前まで戻せるようにしておくことや、定期的な復旧の試験も勧めています。クラウドとディスクを組み合わせた組み方は写真・動画の長期保存はクラウドとDVDのどっち？で具体的に書いています。

そして、戻す練習です。年に一度でよいので、控えから1台のパソコンや1つのフォルダを実際に戻し、何時間かかったか、何が足りなかったかを書き留めます。控えのファイルが開けるか、件数が合っているかを確かめるだけでも、運用の不備の多くは見つかります。戻す練習のときに、前の節で書いた連絡先の一覧と手作業の手順書も一緒に読み合わせておくと、止まった日の最初の1時間に何をするかが職場の中でそろいます。

気づくための記録を残す｜対策ソフトが見逃した7割とログ

令和7年の統計では、被害に遭った組織の多くがウイルス対策ソフトなどを入れていました（答えた119件中105件）。ところが、そのソフトでランサムウェアなどを検出したかを答えた89件のうち、64件（71.9%）は「検出なし」でした。アスクルの事例でも、攻撃者は端末の監視の仕組みを無効にしながら内部を移っています。対策ソフトは入れておくべきものですが、それだけで侵入を止められるとは限らない、という前提で備えましょう。

気づくための手がかりになるのが、ログ（機器やシステムの操作と通信の記録）です。同じ統計で、ログをすべて保全できていた組織は答えた102件中25件にとどまり、ログが使えなくなった理由は、犯人による削除が20件、暗号化が20件、保存期間を過ぎていたのが18件でした。名古屋港ではVPN機器でアクセスの記録を取っていなかったと報じられ、アスクルではログの一部が消されていて、最初の侵入の詳細を特定しきれませんでした。

IPAの教訓集が、侵入の始まった時期を特定するためにログを残すよう求めているのは、それが「どの時点の控えなら安全か」を決める材料になるからです。警察庁も、ログはバックアップデータと同じように適切に保管するよう勧めています。ログが無いと侵入がいつ始まったか分からず、安全な控えを選べないまま、さらに古い時点まで戻すか、汚染されているかもしれない控えで戻すかを選ぶことになります。

数人の事業所で、すべてのログを自分たちで見張るのは難しいので、まず残っているかどうかを確かめます。VPN機器やルーターがアクセスの記録を取る設定になっているか、何日分残るか、機器の外に送って残す設定にできるかを、管理画面か保守業者に確かめます。メールやファイル置き場に使っているクラウドサービスの管理画面でサインインの履歴が見られるなら、見慣れない場所や時間帯からのサインインが無いかを月に一度眺めるだけでも、異変に気づく機会が増えます。

中小企業向けには、IPAが審査した「サイバーセキュリティお助け隊サービス」のように、ネットワークや端末を見張る仕組みなど、中小企業に要るものをまとめた民間のサービスもあります。IPAが2021年春に始めた制度で、基準を満たしたサービスに「お助け隊マーク」が付きます。自社で見張れない部分は、こうした外の手を借りる方法もあります。

家庭・数人の事業所・学校や団体で、設定するところ

同じ順番を、読者の立場ごとに具体的な設定に置き換えます。家庭にはVPN機器は無くても、アカウントと控えの考え方はそのまま当てはまります。数人の事業所や店では、専任の担当者がいない前提で、月に一度の決まった作業にします。学校や園、地域の団体では、担当が替わっても続く仕組みにすることが中心になります。

家庭

パソコンとスマホの自動更新をオンにし、メールやクラウドのアカウントに2段階認証やパスキーを設定し、パソコンは家族ごとにアカウントを分けます。家庭用のNASや外付けHDDを使っているなら、ルーターやNASの設定で、外から使える機能がオンのままになっていないかを確かめます。Windows 10を使い続けているパソコンは、個人向けの拡張セキュリティ更新（ESU）が2027年10月12日までなので、買い替えや移行の段取りも考えておきます。移行の前にやることはWindows 10のまま使い続けるリスクに書いています。

家族の写真や動画は、クラウドの同期だけに頼らない置き方をします。クラウドで戻せる期間は限られていて、OneDrive全体を過去30日以内の時点に戻す機能はMicrosoft 365の契約が要り、Googleドライブのゴミ箱は30日、Dropboxの削除したファイルの復元は無料のBasicで30日です。パソコンで暗号化されたファイルがそのまま同期されると、気づいたときには期間を過ぎていることもあります。スマホの写真も、iPhoneの「最近削除した項目」とGoogleフォトのゴミ箱は30日で消えるので、ゴミ箱を控えの代わりにはできません。

年に一度、その年の写真と動画を外付けHDDに写して外し、もう1組をディスクに焼いて実家など別の場所に置くと、置き場所が三つに分かれます。Windowsの「ファイル履歴」やMacの「Time Machine」も、バックアップのときだけつなぐ使い方にすると、つなぎっぱなしより守りが固くなります。

数人の事業所・店

ルーター、NAS、複合機、レジや予約の端末、防犯カメラのレコーダーなど、ネットにつながる機器を一覧にし、管理画面のパスワードが初期のままになっていないかを確かめます。会計・受発注・予約のクラウドサービスとメールには、全員分の多要素認証を付けます。共有のファイルをNASやクラウドに置いたまま、控えも同じ場所に取っていると、一緒に暗号化されます。毎日の控えは自動にしつつ、月末に一度、外付けHDDに写して取り外すか、DVD-R・BD-Rに焼いてドライブから出し、「つながっていない控え」を作ります。担当を一人決め、作った日と中身を台帳に書いておくと、担当が休んだ月にも途切れません。

個人用のアカウントでMicrosoft 365を契約しているなら、OneDriveがランサムウェアの攻撃を検出したときに通知とメールが届き、OneDrive全体を過去30日以内の時点に戻す機能も使えます（契約が無い場合は、最初の通知と復旧が1回だけ無料と案内されています）。ただし、戻す前に端末をきれいにしないと、戻したファイルがまた暗号化されるおそれがあるとMicrosoftは注意しています。店の場合は、決済が止まったときの段取りも決めておきます。REXTの事例では現金だけで受けた店舗がありました。釣り銭の用意、手書きの領収書、予約台帳の紙の控えなどを、スタッフ全員が知っている状態にしておきましょう。

学校・園・自治会などの団体

学校や園、自治会、PTA、NPOでは、役員や担当が毎年替わるため、管理者のパスワードや控えの置き場所が引き継がれずに途切れがちです。名簿・会計・行事の写真や動画が、前の役員の個人のパソコンやクラウドにしか無い、という状態にもなりやすいものです。団体のアカウントは個人のものと分け、パスワードと2段階認証の回復の方法を、引き継ぎの書類に入れておきましょう。

年度替わりに一度、その年の名簿と会計の記録、行事の記録をディスクに焼いて、会長と事務局のように別々の場所に保管すると、感染や担当の交代でデータを失っても、少なくとも年度の区切りの状態には戻れます。個人情報を含む盤は、なくすとそのまま読まれるので、保管場所と持ち出しの決まりを作り、必要ならファイルを暗号化してから焼きます。小さな団体のパソコンが感染したときの連絡と報告は自治会・PTA・NPOのパソコンが感染したらにまとめています。

誰が止め、誰に知らせるか｜経営者が先に決めておくこと

IPAの中小企業向けガイドライン第4.0版は、経営者が認識すべき3原則として、対策は経営者のリーダーシップで進める、委託先の対策まで考慮する、関係者とは常にセキュリティについてコミュニケーションをとる、を挙げています。経営者が実行すべき重要7項目には、緊急時の対応や復旧のための体制を整えることと、委託や外部のサービスを使うときにセキュリティの責任を明確にすることが入っています。関通の社長が、役員会でサイバーセキュリティを経営の課題として話し合うことを再発防止策に挙げたのも、同じ方向の話です。

小さな会社で前もって決めておくのは、次のような役割です。ネットワークを切り離す判断をするのは誰か（不在のときは誰が代わるか）。警察と保守業者、相談窓口に連絡するのは誰か。取引先と顧客への連絡、ホームページでのお知らせを出すのは誰か。個人情報保護委員会への報告が要るかを判断するのは誰か。この四つと、それぞれの連絡先を一枚の紙に書いておけば、社長が出張中の夜に起きても、残った人が動けます。

事例の公表の仕方も参考になります。アサヒは障害の検知から4日後にランサムウェアによる攻撃だと公表し、漏えいについては「おそれ」の件数をまず出し、調査が進んでから「確認」の件数を出しました。アスクルや武蔵小杉病院も、続報を重ねて内容を更新しています。最初から全部が分かることはないので、分かったことと分かっていないことを分け、日付を付けて知らせる形を決めておくと、取引先への説明がぶれません。

委託先との関係も、経営者が決める範囲です。保守業者のリモート接続をどう許可し、誰がいつ使ったかを確かめられるようにするか。預けたデータを仕事が終わったら消してもらうか、消したことをどう確かめるか。契約で責任の分かれ目を文書にするよう、大阪急性期の報告書が提言しているのはこのためです。取り組みを外に示す方法としては、IPAの「SECURITY ACTION」で6か条に取り組むことを自ら宣言する制度があります。認定ではなく自己宣言で、2026年4月からは申し込みにGビズIDが要ります。

被害に気づいたら｜切り離す、電源は切らない、連絡する

画面に脅迫文が出た、ファイルが開けず名前が変わっている、という状態に気づいたら、最初の数分でやることは決まっています。警察庁のランサムウェアの被害防止対策のページは、被害が広がるのを防ぐために、感染したパソコンなどのLANケーブルを抜く、無線をオフにするなどしてネットワークから隔離するよう求めています。同時に、感染の原因などの調査に必要なログなどが消える場合もあるので、パソコンやネットワーク機器などの電源は落とさないように、としています。

慌てて再起動したり、怪しいファイルを消して回ったりすると、何が起きたかを調べる手がかりが失われます。脅迫文の画面は、スマホのカメラで撮っておきます。通報のときに提供を頼むものの例には、ランサムノート（身代金を要求する文書など）、通信のログ、システムの構成図などが挙がっています。気づいた時刻、最初に気づいた人、どの機器で何が起きたかを、紙に時系列で書き留めておくと、警察や専門家に説明するときにそのまま使えます。

次に、被害を免れた控えを守ります。JPCERT/CCのFAQは、被害を受けていないバックアップは安全が確認できるまで切り離しや退避を検討し、自動バックアップの仕組みによっては有効な控えが上書きされて失われるおそれがあるとしています。NASや外付けHDDへの自動バックアップが動いているなら、そのケーブルも抜きます。ドライブから出して棚にしまってあるディスクは、この時点では触らずにおきます。最初に確かめる項目を、次の一枚に並べました。

相談と報告の窓口

警察への通報・相談は、最寄りの警察署か、各都道府県警察のサイバー犯罪相談窓口です。警察庁のサイトの「サイバー事案に関する相談窓口」のページには、全国共通のオンラインの受付も案内されています。e-Govの電子申請を使い、住んでいる地域の警察本部か警察署を選ぶと、そこに内容が伝わる仕組みです。通報すると、被害の拡大を防ぐための初動の支援や、復号ツールの案内を受けられる場合があります。

通報をためらう理由として、公表を求められるのではないか、サーバーを持って行かれて復旧が遅れるのではないか、という心配がよく挙がります。これについては同じ対策のページが、警察から公表を求めることはなく被害の情報の秘密は守ること、発生直後はログの保存などだけを頼んで後から詳しく聞くなど、復旧と業務の継続に配慮しながら捜査を進めることを説明しています。軽い被害でも、犯人につながる手がかりがあるかもしれないとして情報の提供を求めています。

技術的な相談は、企業や組織ならIPAの「企業組織向けサイバーセキュリティ相談窓口」（メールで受け付け、インシデントが起きたときの初動の相談を含む）、個人ならIPAの「情報セキュリティ安心相談窓口」（電話03-5978-7509）が窓口です。JPCERT/CCもインシデントの初動対応の相談先になっています。社内に詳しい人がいなければ、ふだん付き合いのある保守業者に加えて、こうした公的な窓口を連絡先の一覧に入れておきましょう。

個人情報が入っていたとき

顧客や従業員の個人情報が入ったデータが暗号化されたり、盗まれたおそれがあったりするときは、個人情報保護委員会への報告と本人への通知が要る場合があります。報告が要るのは、要配慮個人情報が含まれる、財産的な被害が生じるおそれがある、不正の目的によるもの（第三者によるものを含む）、1,000人を超える、のいずれか（そのおそれを含む）に当たるときです。速報は知った時点から概ね3〜5日以内、確報は30日以内（不正の目的によるものは60日以内）とされています。

個人情報保護委員会のガイドラインは、ランサムウェアなどで個人データが暗号化されて戻せなくなった場合を「毀損」の例に挙げつつ、同じ内容のデータがほかに保管されていれば毀損には当たらないと整理しています。ただし、同時にデータが盗まれていれば「漏えい」にも当たるので、控えがあるから報告は要らない、とは言えません。紛失や漏えいのときの初動と期限はディスクやUSBを紛失したときの報告義務で順を追って書いています。

2026年10月1日からは、いわゆる能動的サイバー防御の法律（サイバー対処能力強化法）で、基幹インフラの事業者にランサムウェアの被害などを報告する義務が始まりました。対象は電力・ガス・鉄道・金融など15分野の258事業者で、一般の中小企業にこの報告義務がかかるわけではありません。一般の事業者に関わるのは、取引先の基幹インフラ事業者から求められる対策や、共有される注意喚起といった間接的な面です。個人情報保護法の報告とは別の制度なので、期限を混ぜないようにしましょう。

身代金の要求にどう向き合うか

払わずに済む備えをしておくのが、基本の考え方です。警察庁は、身代金を払うことについて、犯罪グループの活動資金になることが懸念されること、暗号化されたデータの復号が保証されるわけではないことを、被害者に説明しているとしています。JPCERT/CCもFAQで、身代金の支払いを選ぶべきではないと考える、とはっきり書き、その理由として、ファイルが戻る保証が無いこと、侵入の原因が残ったままであること、払った後も別の攻撃や要求を受けるおそれがあることを挙げています。

事例の中でも、半田病院と武蔵野大学は払っていないと公表し、アサヒは会見で払っていないと説明したと報じられています。払わずに戻すには、攻撃者の手の届かない控えと、システムが無くても回る手順が要ります。一部のランサムウェアについては、国際的なプロジェクト「No More Ransom」のサイトで復号ツールが公開されていることや、警察庁が開発した復号ツールがあることも、同庁のページで案内されています。すべての種類に使えるわけではないので、暗号化されたファイルは消さずに残し、警察や専門家に相談しましょう。

戻す前に、入られた口を塞ぐ

控えが無事でも、すぐには戻しません。JPCERT/CCは、復旧の前に侵入経路として考えられる原因をすべて対処し、切り離した機器をネットワークに戻す前に、攻撃者が残したマルウェアやバックドア（後から入るための裏口）、不正な設定が取り除かれていることを確かめるよう求めています。同じ経路で再び入られないよう、未適用の更新を当て、攻撃者がアクセスした可能性のある機器のパスワードを速やかに変えることも、警察庁の対策のページに書かれています。

事例では、被害を受けた機器を初期化して入れ直す対応がとられています。全サーバー・端末をクリーンインストールした大阪急性期の例があり、関通は被害を受けたシステムを捨ててゼロから組み直しました。IPAの教訓集も、暗号化された場合に備えて、まっさらな状態からシステムを組み直す手順を平時に用意しておくことを挙げています。どの控えを、どの順番で、どの機器に戻すかを書いた手順書があれば、この段階で迷いません。

書き換えできないオフラインの控えを、ディスクで作る

ここまでの事例と公的機関の勧めを重ねると、攻撃者から守れる控えの条件は三つにまとまります。ネットワークから切り離されていること、後から書き換えられないこと、侵入より前の時点のものが残っていることです。警察庁は暗号化への備えとしてオフラインのバックアップを挙げ、IPAは教訓集でWORMのような改ざんされにくい仕組みを、CISAはオフラインのバックアップと定期的な復元の試験を勧めています。どの機関も、特定の媒体を名指しして勧めてはいません。

追記型のDVD-R・BD-Rは、この条件に当てはまる手段の一つです。記録した部分を物理的に書き換えたり消したりできないので、後からパソコンが感染しても、焼いた時点の中身は変わりません。ドライブから出して棚や金庫に置いた盤は、どのネットワークからも届きません。書き込んだ時点の状態がそのまま残るのであとで原本と比べられ、薄くて軽いので別の場所に置くのも簡単です。総務省の従業員向けの解説も、DVD-R・BD-Rが1回だけ書き込める媒体であることと、媒体を鍵のかかる場所に保管することに触れています。

一方で、ディスクだけで守れるわけではありません。オフラインかどうかは媒体の種類で決まらず、つながっているかどうかで決まります。外付けHDDもバックアップのときだけつないで外せばオフラインの控えになり、ディスクもドライブに入れたままならオフラインではありません。控えの置き場所ごとの性質を、確かめられる範囲で並べると次のようになります。

置き場所：外付けHDD
後から書き換えられるか：書き換えられる
つながったままになりやすいか：なりやすい（挿したまま自動の控えにしがち）
気をつけること：控えのときだけつなぐ。持ち運べるぶん紛失に注意

置き場所：NAS・ファイルサーバー
後から書き換えられるか：書き換えられる
つながったままになりやすいか：つながっているのが前提
気をつけること：一緒に暗号化されうる。切り離した控えにはならない

置き場所：クラウド（同期型）
後から書き換えられるか：書き換えられる（履歴とゴミ箱は期間限定）
つながったままになりやすいか：つながっているのが前提
気をつけること：戻せる期間はプランで違う。アカウントの守りが要る

置き場所：追記型のディスク（DVD-R・BD-R）
後から書き換えられるか：記録した部分は書き換えられない
つながったままになりやすいか：取り出して保管すれば切り離される
気をつけること：焼く前の中身の確認、閉じる処理、読むドライブ、保管場所

置き場所：書き換え型のディスク（RW・RE）
後から書き換えられるか：書き換えられる
つながったままになりやすいか：取り出せば切り離される
気をつけること：消して使い直せるので、書き換えられない控えにはならない

ディスクは、毎日の控えには向きません。容量はDVD-Rの1層で4.7GB（パソコンの表示では約4.38GB）、BD-Rの1層で25GB（同じく約23.3GB）で、実際に入る量は管理の領域の分さらに減ります。月末や決算、年度の区切りといった節目に、その時点の大事なデータを書き換えられない形で残す役を受け持たせると、外付けHDDやクラウドと役割が重なりません。改ざんを防ぎたい記録でのWORMや追記型の使い分けは改ざん防止が求められる記録の保存に詳しく書いています。

焼く前に、元のファイルが正しいかを確かめる

盤は、焼いたものをそのまま残します。いちばん大切な注意は、感染したり暗号化されたりした後のファイルを焼けば、その状態のまま盤に残ることです。焼く前に、焼くファイルをいくつか実際に開いて中身が正しいか、ファイル名や拡張子が見慣れないものに変わっていないかを確かめます。ウイルス対策ソフトで検査してから焼き、あとで読み出すときにも検査を通します。

焼いたものが焼いたときから変わっていないことは、ハッシュ値（ファイルの中身から計算する値で、中身が1文字でも変われば変わる）で確かめられます。WindowsならPowerShellで「Get-FileHash」に続けてファイル名を入れると、何も指定しなければSHA-256の値が出ます。Macのターミナルの「shasum」は何も付けないとSHA-1になるので、「shasum -a 256」と256を指定します。

焼く前に全ファイルの値の一覧を作り、一覧も盤に入れ、別の場所にも控えておきます。点検のときは盤のファイルの値をもう一度計算し、一覧と照らし合わせます。Macの「shasum」には、記録しておいた一覧と一度に照らし合わせる使い方もあります。値が一致するのは焼いたときから変わっていないことの確認で、ウイルスが無いことの証明にはなりません。一覧そのものも書き換えられることがあるので、盤の中だけに置かないようにします。手順は復元テストとハッシュで破損を見つける方法に書いています。

月末の控えに何を入れるか

節目の控えに入れるのは、業務が止まったときに最初に要るものと、作り直しが難しいものです。会計ソフトや販売管理のデータは、ソフトの書き出し機能でCSVなどの一般的な形式にしたものも一緒に入れておくと、ソフトが使えない状態でも中身を読めます。顧客と取引先の台帳、契約書や見積書のPDF、従業員の名簿、機器とアカウントの一覧、ネットワーク機器の設定の書き出し、復旧の手順書も入れます。ハッシュ値の一覧と、何を入れたかの目録も同じ盤に入れます。

盤の容量に収まらない大きなデータや、毎日変わるデータベースそのものは、外付けHDDやクラウドの側の控えに任せます。DVD-Rの1層で足りなければBD-Rを使い、それでも収まらないものは、何を盤に入れて何を入れなかったかを目録に書いておきます。個人情報を含むファイルは暗号化してから焼きます。パスワードを忘れると自分でも開けなくなるので、パスワードの保管の方法も、盤とは別に手順書に書いておきます。

閉じて、取り出して、離れた場所へ

追記型の盤でも、ファイナライズ（盤を閉じて、それ以上書き足せなくする処理）をしていない盤をドライブに入れたままにすると、追記によってファイルを「削除」したり置き換えたりした状態にできてしまいます。元の記録は物理的には残りますが、中を見る側からは書き換えられたように見えます。Windowsの標準の書き込みで「USB フラッシュ ドライブと同じように使用する」を選ぶと、後からファイルを足したり消したりできる形になるので、控えにする盤は「CD/DVD プレーヤーで使用する」（表記は版で変わります）の方式で一度に書き込み、必要ならファイナライズします。消して使い直せるRW・REは、この目的には使いません。

書き込んだら、すぐにドライブから出します。ファイナライズした盤でも、ドライブに入っていれば読み出しはできるので、入られたパソコンから中身を持ち出されるおそれがあります。盤には作った日と内容が分かる題を書き、ケースに入れて、1枚は事務所とは別の場所に置きます。IPAのガイドラインも、物理的に分けた保管先の例として、可能な限り遠隔地、銀行の貸金庫、信頼できる取引先や関連会社などを挙げています。運び方と置き場所の決め方は遠隔地保管の実務にまとめています。

ディスクの限界も知っておく

盤そのものが割れたり傷ついたりすることも、盤をなくすこともあります。個人情報を含む盤をなくせば、拾った人にそのまま読まれます。光ディスクには暗号化の機能が組み込まれていないので、顧客情報などを焼くなら暗号化したファイルを焼き、パスワードは盤とは別に管理します。持ち出しと保管の記録を台帳に残し、使わなくなった盤は読めないように壊してから処分します。

寿命と保存の環境にも限りがあります。カナダ保存研究所（CCI）の目安では、一般的な銀合金の反射層のDVD-Rで10〜20年、BD-Rで5〜10年で、これは温度と湿度の影響だけをもとにした目安です。国立国会図書館の報告書（令和2年2月）は、JIS Z 6017などで長期保存に適した環境を温度10〜25℃、湿度40〜60%としています。数年ごとに読めるかを確かめ、新しい盤に移し替える前提で使います。

読むためのドライブも要ります。国内では記録型の盤はいまも量販店で買えますが、メーカーの撤退や販売終了が続き、ドライブは選択肢が減って値上がりしています。控えを読めるドライブを手元に残し、予備も考えておきましょう。ディスクはあくまで控えの一つで、外付けHDDやクラウドと組み合わせてはじめて、どれか一つが使えなくなっても残る形になります。

記録映像はどこに置いてあるか｜防犯カメラ・会議・作業手順

業務のデータというと帳簿や顧客の名簿を思い浮かべますが、職場には映像の記録もたくさんあります。防犯カメラの録画、会議や説明会の録画、新人研修や作業手順の動画、工事や点検の記録、行事の記録などです。これらはNASやファイルサーバー、カメラのレコーダー、クラウドにまとめて置かれることが多く、共有の置き場が暗号化されれば、映像も一緒に開けなくなります。2026年には、日本ご当地キャラクター協会や佐賀大学のように、NASそのものが暗号化された例も公表されています。

映像は容量が大きく、毎日の控えから外されていることもあります。どの映像がどこにあり、何年残す決まりか、控えはあるかを、帳簿と同じ表に書き出しておきます。防犯カメラの録画はレコーダーの中で古いものから上書きされていくので、残す必要のある場面は早めに書き出して別の媒体に移します。書き出しと提出の手順は防犯カメラの映像を保存・提出するにはに、カメラやレコーダーそのものを乗っ取られないための設定は防犯カメラ・見守りカメラの乗っ取り対策にまとめています。

止まった日に見る、手作業の手順の動画

システムが止まった日に役立つ映像もあります。前の節で書いたように、手書きの伝票の書き方、在庫の数え方、電話での注文の受け方といった手作業の手順は、紙だけでなく、実際にやって見せる動画にしておくと伝わりやすくなります。ただ、その動画が共有の置き場にしか無ければ、肝心の日に見られません。パソコンが使えなくても再生できるよう、テレビにつないだDVDプレーヤーやブルーレイの機器で見られるディスクにしておくと、事務所の誰でも確かめられます。

手順の動画はふだんの新人教育にも使うものなので、内容を新しくしたときに焼き直し、作った日と版を盤面に入れておきます。古い盤は内容が古くなった時点で処分し、新しい盤と取り違えないようにします。会議や説明会の録画も、議事録と一緒に年度ごとに1枚にまとめておくと、共有の置き場が使えない期間にも、決めたことの経緯を確かめられます。

映像ディスクとデータディスク、役割の違い

映像を盤に残す方法は二つあります。一つは、テレビにつないだプレーヤーで再生できる形に組み立てた映像ディスク（DVDビデオ・ブルーレイ）です。DVDは720×480の形に作り直すので元のファイルより画質は下がりますが、パソコンが無くても見られます。もう一つは、動画のファイルをそのまま焼くデータディスクで、元の画質とファイルの情報が残る代わりに、プレーヤーでは再生できないことがあり、見るにはパソコンが要ります。

証拠として残す録画や、編集し直す可能性のある原本は、データディスクにファイルのまま、ハッシュ値の一覧と一緒に焼いておきます。ファイルのまま焼く盤は、自分のパソコンで焼く前提で考えます。誰でも再生できることを優先する手順の動画や、配る記録は映像ディスクに、と使い分けると、それぞれの盤の役目がはっきりします。ただし、盤に残したからといって証拠として認められるとは限らないので、証拠としての扱いは提出先や弁護士に確かめてください。

ディスクメーカーにできること

当社は、完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを作る書き込み代行の店です（大阪・梅田）。1枚から注文でき、防犯カメラから書き出した映像、会議や説明会の録画、研修や作業手順の動画、工事の記録、行事の記録のように、手元のデータとは別に、パソコンが無くても再生できる控えを持っておきたい映像に使えます。お引き受けできるのは、撮った本人か権利者の許可がある動画です。

料金は基本料金（DVD・1枚あたり）が1,500円（税抜）です。ブルーレイでも作れ、長い記録は、1層のディスクに収まる時間の目安（DVD約1.5〜2時間、ブルーレイ約2時間）を超えるときに2層ディスクか2枚に分けます。同じ内容の2枚目からは追加コピー（同一内容の焼き増し・1枚あたり）の1,000円で、控えを2枚以上作って、事務所と別の場所に1枚ずつ置けます。

どの盤が何の記録かを見分けやすくするには、盤面レーベル印刷（1枚あたり）の+1,000円で、題名や日付を入れた画像を入稿してもらい、その画像を盤に印刷します。当社でデザインや文字入れはしないので、題名と日付も画像の中に入れてください。長い会議や研修の録画には、チャプター分け（1枚あたり）の+1,500円で、議題や章ごとに頭出しできるようにできます（最大50チャプター。位置は注文ページで開く欄に時刻で指定します）。作った盤は、実際のプレーヤーで再生を確かめてからお渡しします。

入稿は、動画の共有URLを注文フォームに貼る形です。ギガファイル便を使うときは、保持期限をアップロードの前に選び（後から変えたり延ばしたりはできません）、ダウンロードパスワード（半角英数1〜4文字）を付けておくと、注文フォームにURLを貼ったときに開く欄で、パスワードが合っているかをその場で確かめる作りになっています。共有URLは送る相手と期限を決めて作り、盤を受け取ったら共有を止めておきましょう。個人情報が映る動画を預けるときの扱いなど、気になる点は注文の前に相談・問い合わせフォームで確かめてください。ファイルのまま焼くデータディスクを頼めるかも、同じフォームで確かめられます。

発送は追跡番号のあるクリックポストで、急ぐときは平日12時までの注文・入稿で受け取れる当日店舗お渡しも選べます。注文はDVDの注文ページから入れます。控えの盤を作るときも、入稿する前に動画が最後まで再生できるかを確かめることと、受け取った後の保管場所と持ち出しの決まりは、自分で焼く場合と変わりません。

今月のうちに、ここまで進める

事例を読んで終わりにせず、今月のうちに手を動かせる範囲を決めましょう。1週目は、外からつながる口とアカウントの一覧を作り、多要素認証の付いていないものに印を付けます。2週目は、その印の付いたものに多要素認証を設定し、使っていない接続とアカウントを止め、機器の更新を当てます。業者に頼む分は、この週に依頼を出しておきます。

3週目は、管理者のパスワードをパソコンごとに分け、ふだんのアカウントを標準ユーザーにし、月末の控えを1組、ネットワークから切り離した形で作ります。4週目は、その控えから一つのフォルダを実際に戻してみて、連絡先の一覧と手作業の手順書を紙で用意します。被害に気づいたときの手順（切り離す、電源は切らない、警察と相談窓口に連絡する）を、職場の全員が見える場所に貼っておくと、最初の1時間で迷いません。

大手の事例の多くは、規模が大きく、つながっているシステムが多いぶん、戻るまでに長い時間がかかりました。小さな職場はつながりが少ないので、一覧も控えも短い時間で作れます。月末の控えをディスクに焼くなら、焼く前に中身を確かめ、閉じて取り出し、離れた場所に置きましょう。その一枚が、侵入より前の状態に戻るための手段の一つになります。

よくある質問

Q. 中小企業でもランサムウェアに狙われるのですか

A. 警察庁が2026年3月に公表した令和7年の統計では、報告された226件のうち143件（63.3%）が中小企業でした。侵入経路の多くはVPN機器やリモートデスクトップで、会社の大きさより、外からつながる口に弱いところがあるかどうかで狙われます。報道されるのは大手の一部で、件数の多くは名前の出ない中小の被害です。

Q. バックアップを取っていれば安心してよいですか

A. 取っているだけでは足りません。令和7年の警察庁の統計では、被害組織の9割がバックアップを取っていましたが、復元を試みた99件のうち79件は被害直前の水準まで戻せず、最も多い理由はバックアップも暗号化されたことでした。ネットワークから切り離した控えを世代で持ち、戻す練習をしておくことが要ります。

Q. 大手企業はどこから侵入されたのですか

A. 公表資料などでは、アサヒはグループの拠点のネットワーク機器、アスクルは委託先が使う多要素認証の無い管理者アカウント、名古屋港は保守用のVPNと考えられる経路、KADOKAWAはフィッシングなどで盗まれた従業員のアカウントと推測されています。どれも外部との接続口かアカウントで、メールの添付は少数です。

Q. 被害に気づいたらパソコンの電源を切るべきですか

A. 警察庁は、LANケーブルを抜く、無線をオフにするなどしてネットワークから隔離し、調査に必要なログが消える場合があるので電源は切らないよう案内しています。脅迫文の画面はスマホで撮り、気づいた時刻と機器を紙に書いてから、警察署やサイバー犯罪相談窓口に連絡します。

Q. ランサムウェアの被害はどこに相談すればよいですか

A. 最寄りの警察署か、都道府県警察のサイバー犯罪相談窓口に通報・相談します。警察庁のサイトにはオンラインの受付もあります。技術的な相談は、企業ならIPAの企業組織向けサイバーセキュリティ相談窓口（メール）、個人ならIPAの情報セキュリティ安心相談窓口です。個人情報が関わるときは、個人情報保護委員会への報告も確かめます。

Q. 身代金を払えばデータは戻ってきますか

A. 戻る保証はありません。警察庁は、支払いが犯罪グループの活動資金になる懸念と、復号が保証されないことを被害者に説明しています。JPCERT/CCも支払いを選ぶべきではないとし、侵入の原因が残ることや、払った後も別の要求を受けるおそれを理由に挙げています。払わずに戻すための控えを、前もって用意しておきましょう。

Q. DVD-RやBD-Rに焼いた控えは攻撃に強いですか

A. 追記型の盤は記録した部分を書き換えられず、ドライブから出して保管すればネットワークから届かないので、切り離した控えの一つになります。ただし、感染や暗号化の後のファイルを焼けばそのまま残り、ファイナライズせずドライブに入れたままでは守りが弱くなります。焼く前に中身を確かめ、取り出して離れた場所に置きます。

Q. 外付けHDDとディスクはどちらを控えに使うべきですか

A. どちらか一つに決めず、役割を分けます。外付けHDDは容量が大きく毎日の自動の控えに向きますが、つないだままだと一緒に暗号化されうるので、控えのときだけつないで外します。追記型のディスクは容量が小さい代わりに後から書き換えられないので、月末や年度末など節目の控えを長く残す役に向きます。

Q. クラウドのごみ箱や履歴から戻すことはできないのですか

A. 戻せる場合もありますが、期間とプランに限りがあります。OneDrive全体を過去30日以内に戻す機能はMicrosoft 365の契約が要り、Googleドライブのゴミ箱は30日、Dropboxの削除の復元は無料のBasicで30日です。侵入から暗号化まで数か月あった事例もあるので、クラウドとは別の場所に節目の控えを持っておきましょう。

Q. 個人情報が暗号化されたら報告が必要ですか

A. 要配慮個人情報を含む、財産的被害のおそれがある、不正の目的によるもの、1,000人を超える、のいずれか（おそれを含む）に当たれば、個人情報保護委員会への報告が要ります。速報は概ね3〜5日以内、確報は30日以内（不正の目的は60日以内）です。同じデータがほかにあれば毀損には当たらないとされますが、盗まれていれば漏えいに当たります。

Q. 10月から全ての会社に攻撃の報告義務ができたのですか

A. いいえ。2026年10月1日に報告義務などが始まったサイバー対処能力強化法の対象は、電力・ガス・鉄道・金融など15分野の基幹インフラ事業者258事業者です。一般の中小企業にこの報告義務はかかりません。個人情報の漏えい等の報告は個人情報保護法の別の制度で、条件に当たれば中小企業にも義務があります。

Q. 防犯カメラや会議の録画にも控えは必要ですか

A. 必要です。NASやレコーダー、クラウドにまとめて置いた録画は、共有の置き場が暗号化されれば一緒に開けなくなります。防犯カメラは古い録画から上書きされるので、残す場面は早めに書き出して別の媒体に移します。手作業の手順の動画は、パソコンが無くても見られる映像ディスクにしておくと、システムが止まった日にも確かめられます。

Q. ディスクメーカーに控えのディスクを頼めますか

A. 当社は、完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを1枚から作ります。同じ内容の焼き増しで控えを2枚以上作り、別々の場所に置けます。入稿は共有URLを注文フォームに貼る形です。ファイルのまま焼くデータディスクを頼めるかや、個人情報が映る動画の扱いは、注文の前に相談・問い合わせフォームで確かめてください。