コラム

2026-09-01

標的型ランサムウェア攻撃とは？被害事例と最新防御策を徹底解説

標的型ランサムウェアは、特定の企業や組織を狙って侵入し、データの暗号化と情報公開の両面で金銭を要求する攻撃です。無差別にばらまく従来型と違い、事前調査と手作業での侵入が特徴です。この記事では、次のポイントを整理してお伝えします。

標的型と無差別型の違い、侵入型ランサムウェア攻撃の仕組み
サービスとして提供されるランサムウェアであるRaaS（Ransomware as a Service）や二重恐喝、ノーウェアランサムなど被害拡大の背景
VPN・リモートデスクトップ・サプライチェーンを狙う侵入手口
名古屋港やKADOKAWAなど国内外の被害事例と、初動対応と防御策

標的型ランサムウェア攻撃の基礎知識

ランサムウェアの定義と仕組み

ランサムウェアとは、感染した端末などに保存されているデータを暗号化し、データを復号する対価として金銭または暗号資産を要求する不正プログラムです。警察庁の資料によると、近年は、データを窃取したうえで対価を支払わなければ公開すると脅す二重恐喝の被害も多くみられます^[※1]。海外の当局の説明でも、システムやデータへのアクセスを拒否し、またはデータを外部へ持ち出すマルウェアとして位置づけられています^[※2]。

つまり、ランサムウェアは「使えなくする」「盗んで公開すると脅す」の2つの圧力で金銭を求める仕組みだと理解できます。単なるウィルス感染ではなく、業務停止と情報漏えいの両方を同時に招く点が特徴です。

標的型攻撃と無差別型攻撃の違い

標的型攻撃は、相手を絞り込んで事前調査のうえ侵入する点が無差別型と異なります。IPAによると、標的型攻撃を、特定の組織を狙う攻撃であり、機密情報などの窃取や業務妨害を目的とするものと定義しています。特定の企業や官公庁、団体などに狙いを定め、組織内部へ潜入する手口が確認されています^[※3]。無差別型がメールやサイトを通じて広く感染を狙うのに対し、標的型は相手を絞り込み、事前の調査と準備を経て侵入する点が異なります。

標的型ランサムウェアは、この標的型攻撃の考え方をランサムウェアに組み合わせたものだと整理できます。攻撃者は狙った組織の弱点を探し、侵入後は時間をかけて権限を広げ、業務の中心となるサーバーやバックアップまで狙います。無差別型より一件当たりの被害が大きくなりやすい点に注意が必要です。

侵入型ランサムウェア攻撃の特徴

侵入型ランサムウェア攻撃は、社内の複数システムに被害が広がりやすい点が特徴です。JPCERT/CCの解説では、こうした攻撃をほかのランサムウェアを用いた攻撃と区別し、侵入型ランサムウェア攻撃と呼んでいます。ネットワーク内部の複数のシステムでファイルの拡張子が変わり開封できなくなった、自組織から窃取されたとみられるファイルを暴露する投稿が行われた、または攻撃者から通知が届いたなどの状況を確認している場合、この攻撃の被害を受けている可能性があるとされています^[※4]。

この説明からは、被害の兆候が1台のPCにとどまらず、社内の複数システムに広がる点が読み取れます。攻撃者は侵入後に手作業で範囲を広げるため、発見が遅れるほど被害は深く広くなります。

被害拡大の背景とRaaSの脅威

RaaSによる攻撃者裾野の拡大

RaaSとは、ランサムウェアの開発者が攻撃用のツールや運用環境を犯罪者に提供する仕組みです。RaaSにより、高度な技術を持たない攻撃者でも攻撃に加わりやすくなっています。警察庁によると、令和7年上半期におけるランサムウェアの被害報告件数は116件と、令和4年下半期と並び最多となっています。この背景として、ランサムウェアの開発・運営を行う者が攻撃の実行者にランサムウェアなどを提供し、身代金の一部を受け取るRaaSを中心とした攻撃者の裾野の広がりが指摘されています。組織規模別では中小企業が77件で約3分の2を占め、件数・割合ともに過去最多となりました^[※5]。別の政府資料でも、ランサムウェア被害の6割超が中小企業であるとしています^[※6]。

RaaSにより、高度な技術を持たない攻撃者でも攻撃に加われるようになりました。狙われる側は大企業だけではなく、取引先も含めた広い範囲に広がっていると読み取れます。

二重恐喝とノーウェアランサム

金銭要求の手口は、暗号化に加えて情報公開の脅しにも広がっています。IPAによると、近年ではRaaSによる攻撃によって取得した情報の暗号化を行わず、窃取した機密情報を公開すると脅迫して金銭を要求するノーウェアランサムによる攻撃も確認されています^[※3]。2023年だけで1,500件以上のランサムウェア関連の事案が把握され、11億ドルを超える支払いが発生したとされ、2024年上半期の世界のランサムウェア攻撃の51%が米国の被害者に対するものだと報告されています^[※7]。

これらから、攻撃の目的は「使えなくする」だけではなく、「情報公開の脅し」だけでも成立するようになっているとわかります。バックアップだけでは守り切れない領域が広がっている点がポイントです。

標的型ランサムウェアの侵入経路と攻撃手口

VPN・リモートデスクトップからの侵入

VPNやリモートデスクトップ用の機器は、主要な侵入経路になっています。警察庁の行ったアンケート結果ではVPNやリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割以上を占めています。ランサムウェアグループは日々策を講じており、土日が休業日の企業を狙う場合には、金曜日の営業終了後にシステムに侵入し、月曜日の朝までに暗号化を実行する動きも確認されています^[※5]。また、攻撃者は外部から接続するためのリモートアクセスの出入口を調査し、総当たり攻撃や不正に販売されている認証情報を用いて認証を突破することがあります。外部から接続可能なサーバーやシステムで残存する脆弱性を悪用する場合もあり、例としてSSL-VPN製品の脆弱性を悪用して認証情報を窃取し、その情報で認証を突破する流れが挙げられています^[※4]。

休業日を狙う手口を踏まえると、平時からVPN機器の状態を把握し、休暇前の点検や監視体制を強めることがポイントです。認証情報の使い回しや古いままの機器は、そのまま入口を差し出しているのと同じ状態になります。

標的型メール・水飲み場型攻撃

標的型メールや水飲み場型攻撃も、正規に見える経路を使って侵入します。水飲み場型攻撃では、攻撃者は標的組織が頻繁に利用するWebサイトを調査して改ざんし、従業員や職員がそのサイトにアクセスすると偽装されたマルウェアがインストールされてPCが感染します^[※3]。別のIPA資料では、標的型メールの過去事例として、攻撃者が対象企業に侵入するために取引先をまず攻略し、取引先の従業員になりすまして悪意あるサイトへのリンクを含むメールを送付した例が示されています。メールを受け取った従業員がリンクをクリックし、バックドアを生成するトロイの木馬をダウンロードして感染に至りました^[※8]。

標的型メールや水飲み場型攻撃のどちらも、標的組織の内情を調査したうえで、正規に見えるサイトや取引先を装う点が共通しています。表面的な差出人やサイトの見た目だけで判断しないこと、送信元の確認手順を業務に組み込むことがポイントです。

サプライチェーンを狙った侵入

委託先や再委託先を経由する侵入にも注意が必要です。金融庁によると、再委託先が提供するクラウドサービスのサーバーに対して、VPN機器の脆弱性を悪用したと考えられる不正アクセスにより、再委託先がランサムウェアに感染した事例が示されています。この影響で、金融機関の利用者がサーバーにアクセスできなくなり、外部向けファイル転送システムが利用不可となりました^[※9]。

自社の対策だけでは防ぎ切れない領域があることが分かります。契約先や再委託先のセキュリティ状況を把握し、共有するデータの範囲や接続方法を見直すことが求められます。

国内外の主要被害事例

名古屋港へのLockBit攻撃

名古屋港の事例は、保守用VPNが侵入口になり得ることを示しています。2023年7月4日、名古屋港のシステムがランサムウェア攻撃を受け、約3日間にわたりコンテナの搬入・搬出作業が停止しました。ロシア系ハッカー集団LockBitによる攻撃とされ、港湾の物流に大きな影響を与えました。名古屋港統一コンテナターミナルシステムの保守用VPNには緊急時に即対応するためIPアドレスに制限がかけられておらず、IDとパスワードさえ合致すればインターネット上で誰からでもアクセス可能な状態にありました^[※10]。

保守用の接続口が広く開いている点は、多くの現場に共通する課題です。緊急時対応と安全性の両立をどう設計するかを、平時から検討しておく必要があります。

KADOKAWAへの大規模攻撃

KADOKAWAの事例は、ウェブサービスと事業運営の両方に被害が及ぶことを示しています。2024年6月、KADOKAWAはランサムウェア攻撃を含む大規模なサイバー攻撃を受けたと公表し、複数のサービスが停止したとしています^[※3]。警察庁の資料では、この攻撃により書籍の流通などの事業に影響が発生したほか、25万人分を超える個人情報や企業情報が漏えいしたことが確認されたこと、同年度決算において調査・復旧費用などとして20億円を超える損失を計上する見込みであることが発表されたとしています^[※1]。

ウェブサービスと物流の双方に影響が及んだ点から、情報系と業務系が広くつながる企業ほど、被害の波及範囲が大きくなることが読み取れます。

アサヒグループホールディングスへの攻撃

アサヒグループホールディングスの事例は、ネットワーク機器を経由した侵入が、全国規模の商品供給の停止にまでつながることを示しています。2025年9月29日、同社のシステムで障害が発生し、調査の中で暗号化されたファイルが確認されました。

同社の公表によると、システム障害発生の約10日前に、外部の攻撃者がグループ内の拠点にあるネットワーク機器を経由してネットワークに侵入していたことが判明しています。攻撃者はパスワードの脆弱性をついて管理者権限を奪取した後、奪取したアカウントを不正利用して、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返し、9月29日にランサムウェアが一斉に実行された結果、複数のサーバーや一部のパソコン端末のデータが暗号化されました^[※11]。

事業への影響も長期に及びました。受注・出荷に関するシステムは停止を余儀なくされ、手作業による対応が続き、電子受発注システムによる受注の再開は2025年12月上旬、配送を含む物流業務全体の正常化は2026年2月までかかっています。

2025年10月から12月の累計売上金額は、グループの主要事業会社で前年の7割から9割程度にとどまりました。個人情報については、2026年2月18日時点で従業員5,117件、取引先の役員・従業員等110,396件の漏えいが確認されたほか、お客様相談室に問い合わせをした方の情報152.5万件を含む個人情報に漏えいのおそれがあるとされています^[※11]。

侵入からランサムウェアの実行までの約10日間、攻撃者は検知されないまま内部の偵察を続けていました。同社は再発防止策として、リモートアクセスVPN装置の全面廃止、ゼロトラストモデルに対応したパソコン端末への完全移行、EDR（エンドポイント検知・対応）の設定強化などを掲げています。管理者権限の保護と、侵入後の内部での動きをいかに早く検知するかが、被害の規模を左右することを示す事例です。

Norsk Hydro・コロニアルパイプライン事例

海外の事例でも、長期停止と大きな損失が発生しています。2019年3月にノルウェーに本社を置く世界有数のアルミニウム生産企業、Norsk Hydroがランサムウェア「LockerGoga」の被害を受け、数か月の長期間にわたり生産量が低下したとしています。40か国160の拠点で23,000台のPCのうち11,000台が感染し、2,700台が暗号化されました。3,000台のサーバのうち1,100台が感染し、500台が暗号化されています。2019年のQ1とQ2合計の損失は65〜77億円と見積もられています^[※8]。また、2021年5月7日、米国東海岸の45%の燃料輸送を担う石油パイプライン企業（コロニアルパイプライン社）は、ロシアに拠点を置くハッカー集団DarkSideによるランサムウェア攻撃を受け、5日間の操業停止に追い込まれ、5億円相当の身代金を支払う事態が発生しました。VPNは多要素認証が導入済みであったものの、一部無効にされていたアカウントが悪用されました^[※10]。

生産現場や社会インフラでも、標的型ランサムウェアが長期の稼働停止と巨額の損失を引き起こすことがわかります。多要素認証を導入していても、例外的に無効化されたアカウントが弱点になり得る点は、運用面での重要な教訓です。

被害を受けた際の初動対応

被害拡大を防ぐ切り離しと保全

初動では、ネットワークから外しつつ状態を変えないことが要点です。内閣サイバーセキュリティセンターは、感染端末および感染が疑われる端末からLANケーブルを抜くとともに、無線LANを無効にすることを求めています。感染端末などの再起動や電源オフをしないこと、すでに感染端末などの電源がオフの場合はオンにしないこと、ウィルス対策ソフトによるフルスキャンをしないこと、ネットワーク機器の再起動や電源オフをしないこと、ファームウェアやOSのアップデートをしないことも挙げています^[※12]。

「ネットワークから外す」「状態を変えない」の2点が要点だと読み取れます。良かれと思って行う再起動や更新が、証拠を消し、原因調査を難しくするおそれがあります。被害に遭った際の連絡先と対応手順を紙でも保管しておくと、いざというときに動けます。

身代金支払いを避けるべき理由

身代金を支払っても、復旧や被害終息は保証されません。JPCERT/CCは、次に挙げる3つの理由から身代金の支払いを選択するべきではないと考えるとしています^[※4]。

暗号化されたファイルが復元される保証がないこと
被害原因や侵害による他の被害は未解消のままであること
支払い後に別の攻撃の被害や支払い要求を受ける恐れがあること

警察庁の資料によると、警察としては、暗号化されたデータを復号するための対価として要求される金銭などの支払いに関し、犯罪グループなどの活動資金となることが懸念されること、暗号化されたデータの復号が保証されるわけではないことを被害者に説明しているほか、支払いの有無を含む情報提供と捜査への協力を求めています^[※5]。

支払っても復旧するとは限らず、根本原因も残ります。支払いの是非を被害発生後にゼロから考えるのではなく、平時から社内の方針として整理しておくことがポイントです。

標的型ランサムウェアの防御策

認証強化と攻撃対象の最小化

多要素認証と権限の最小化は、基本となる防御策です。IPAの資料では、組織向けの対策として次の項目を挙げています。

多要素認証の設定を有効にする
提供元が不明なソフトウェアを実行しない
サーバーやPC、ネットワークに適切なセキュリティ対策を行う
共有サーバーなどへのアクセス権の最小化と管理の強化
公開サーバーへの不正アクセス対策
適切なバックアップ運用を行う

これらを組み合わせて対策することが求められています^[※3]。

多要素認証と権限の最小化は、標的型ランサムウェアで多用されるVPN経由の侵入や横展開への基本的な備えです。公開しているサーバーやリモート接続の入口を洗い出し、必要なものだけに絞る作業から始めるとよいでしょう。

オフラインバックアップとログ管理

オフラインバックアップとログ保管は、復旧と原因追跡の両方に関わります。警察庁によると、特にログについては、侵入の実態調査や復旧対応を行う際に必要となり、これが保存されていない場合、適切な対策を講じることができず、再被害に遭う可能性があるとしています。そのうえで、日頃からのログの取得・保管やバックアップのオフライン環境での保管といった対策が求められるとしています^[※1]。金融庁の資料では、ランサムウェア攻撃のリスクを考慮してバックアップの期間や頻度を検討することを求めています。同一ネットワーク内のバックアップファイルを探索して削除するランサムウェアがあることを踏まえ、改ざん耐性バックアップシステムの利用、組織内ネットワークから切り離した複数の環境での保管、媒体などへのバックアップを実施することも示されています^[※13]。

バックアップが同じネットワークにあれば、暗号化の対象にされます。オフラインや改ざん耐性のある領域を持ち、ログを継続的に残す設計が復旧力を大きく左右します。

サードパーティリスク管理

委託先の管理水準は、被害規模に直結します。金融庁によると、委託先においてVPN接続における多要素認証などのセキュリティ対策不足、パスワードポリシーの脆弱さ、特権アカウントの管理不備など、サイバー攻撃への対策が十分でなかったことが被害の背景にあったと示しています^[※9]。国内の事例集では、2024年にVPN経由の不正アクセスで受託業務データが漏えいし、一部顧客情報が公開された事案では149万件以上、管理者アカウントが不正取得され社内データが暗号化のうえ攻撃者サイトに公開された事案では40万2,530件が影響を受けたと記録されています^[※14]。

委託先の管理水準が、そのまま自社の被害規模につながります。契約時のセキュリティ要件と、運用中の点検を組み合わせて確認したいところです。

おわりに

標的型ランサムウェアは、特定の組織を狙って侵入し、暗号化と情報公開の脅しの両面から金銭を要求する攻撃です。RaaSにより攻撃者の裾野は広がり、中小企業や委託先を含む幅広い組織が対象になっています。VPNやリモートデスクトップの入口、標的型メール、サプライチェーンなど、狙われやすい経路もはっきりしています。

名古屋港やKADOKAWA、アサヒグループホールディングス、Norsk Hydro、コロニアルパイプラインの各事例は、業務停止や損失の大きさを物語っています。多要素認証と権限の最小化、オフラインバックアップとログの保全、委託先を含む点検を、平時から積み重ねることがポイントです。