ランサムウェア
データを暗号化するなどして使えなくし、元に戻すことと引き換えに支払いを求める
マルウェアです（英語では ransomware。ransom は身代金）。
定義
NIST IR 8374 Rev. 1（2026年6月）は、ランサムウェアを「攻撃者が組織のデータを暗号化し、アクセスを戻すことと引き換えに支払いを求める、悪意のある攻撃の一種」としています。攻撃者が組織の情報を盗み、当局・競合他社・世間に明かさないことと引き換えに、追加の支払いを求めることもある、としています。
二重の脅迫
米国の CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）などがまとめた共同の指針（#StopRansomware Guide、2023年10月）は、攻撃者が、暗号化に加えて被害者のデータを持ち出し、公開すると脅して支払いを迫る手口を「二重の脅迫」（double extortion）と呼んでいます。ランサムウェアを使わず、データを持ち出して公開すると脅すだけの場合もあるとしています。
つまり、
バックアップから戻せても、持ち出された情報の問題は残ります。ランサムウェアの被害は、
可用性の問題であると同時に、
機密性の問題（情報の漏えい）でもあります。
入り込む経路
同じ指針は、侵入の入口（initial access vector）として、インターネットに出ている機器の脆弱性と設定の誤り、盗まれた認証情報、
フィッシング、先に入り込んだ別の
マルウェア、高度な
ソーシャルエンジニアリング、第三者（取引先やサービスの提供者）を挙げています。また、多くの攻撃者は、届くところにあるバックアップを探して消したり暗号化したりする、としています。
守る手段（同じ指針より）
| 手段 |
内容 |
| バックアップ |
重要なデータのバックアップを、オフラインで、暗号化して持つ。使えるかと正しいかを、災害からの復旧の想定で定期的に試す。攻撃者の多くは、届くバックアップを探して消したり暗号化したりするため、オフラインが要る |
| 入口をふさぐ |
インターネットに出ている機器の脆弱性を修正する。すべてのサービス、特にメール、VPN、重要なシステムにアクセスするアカウントに、フィッシングに強い多要素認証を使う（多要素認証） |
| 遠隔管理ツールの管理 |
ネットワーク上の遠隔アクセス・遠隔管理のツールを洗い出し、許可したものを把握する。実行の記録を調べ、異常な使い方を見つける |
| 広がりを抑える |
ネットワークを分け、権限を絞る（ネットワークセグメンテーション、最小権限の原則） |
| 対応の計画 |
ランサムウェア、データの脅迫、データの漏えいへの対応と、通知の手順を含む計画と連絡の計画を作り、定期的に演習する。計画は紙とオフラインでも持つ |
起きたときの初動（同じ指針より）
指針は、最初の3つの手順をこの順に進めるよう求めています。
- 影響を受けたシステムを特定し、すぐにネットワークから切り離す。多くのシステムが影響を受けていれば、スイッチの単位でネットワークを止める。攻撃者が組織の通信を見ている可能性があるので、切り離しは調整して行い、電話など普段とは別の連絡手段を使う
- ネットワークから切り離せない場合に限り、機器の電源を切る。電源を切ると、メモリの中の証拠が失われる
- 復旧のために、影響を受けたシステムの優先順位を決める
クラウドの資源については、手順1の中で、後の調査のためにボリュームの写し（スナップショット）を取るよう求めています。端末のディスクとメモリの写しを取ることは、初期の対策がとれそうにない場合の手順として、後の段階（手順9）に挙げられています。
指針の作成者たちは、身代金を払うことを勧めていません。払っても、データが復号されるとは限らず、再び侵害されないとも、データが漏れないとも限らないからです。
日本の法令
個人情報保護法 第26条第1項は、個人情報取扱事業者に対し、個人データの漏えい、滅失、毀損など（漏えい等）のうち、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときに、個人情報保護委員会への報告を求めています（委託を受けた事業者が委託元に通知した場合の例外があります）。規則の第7条第3号は、その一つとして、不正の目的をもって行われたおそれがある行為による漏えい等（発生したおそれを含む）を挙げており、本人の数の条件はありません。ただし、高度な暗号化などの措置を講じた個人データは除かれます（同条第1号の括弧書き）。条文の読み方として、ランサムウェアによる暗号化（毀損）や持ち出しは、これに当たりうると考えられます。報告の対象になる場合は、原則として本人への通知も求められます（法第26条第2項。通知が困難で、代わりの措置をとる場合などの例外があります）。2026年10月時点の条文に基づきます。詳しくは
CISSPドメイン1 セキュリティとリスク管理を参照してください。
関連するページ
出典
確認日：2026年10月16日
最終更新：2026年10月17日 08:01
