ランサムウェア対策 中小企業｜VPN更新と保守契約から決める優先順位

中小企業のランサムウェア対策は、入口（VPN機器などインターネットに露出した機器）、権限、バックアップ、初動の順に固めるのが、警察庁の最新の統計から見て筋の通った優先順位だとHVLは考えています。警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和８年９月）では、被害組織へのアンケート結果によると侵入経路はVPN機器が約５割を占め、被害企業の約６割が中小企業でした。

もう一つ、見落とされやすいのが「VPN機器やサーバーの更新を誰が担当しているか」です。社内に担当者がいない会社では、機器やシステムを入れた会社・保守会社に任せたつもりでいて、契約上は誰の担当にもなっていないことがあるとHVLは見ています。

この記事では、システム開発・保守を受託する立場から、対策の順番に加えて保守契約で決めておく項目も整理します。統計と公的資料の内容は、2026年10月30日時点の公開情報です。

ランサムウェアとは

ランサムウェアとは、端末等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭又は暗号資産）を要求する不正プログラムです（警察庁「ランサムウェア被害防止対策」）。

暗号化に加えてデータの窃取も起きている

いまの被害は、データが使えなくなるだけでは終わりません。警察庁の説明では、データを盗んだうえで公開すると脅して対価を求める二重恐喝が、被害の多くを占めています。

暗号化をせずにデータを盗んで対価を求める「ノーウェアランサム」という手口の被害も確認されています。バックアップから戻せても、情報が流出する問題は残るということです。

攻撃者の裾野を広げるRaaS

RaaS（Ransomware as a Service）とは、ランサムウェアの開発・運営を行うグループが、攻撃の実行者に攻撃に必要な環境を提供する仕組みです。この分業によって、高度な技術的専門知識を持たない者でも攻撃を実行できるようになり、攻撃者の裾野が広がっているとされています。

2026年上半期の被害の実態（警察庁 令和８年上半期）

令和８年上半期のランサムウェア被害報告は123件で、統計を取り始めた令和２年下半期以降、半期の件数として最多でした。主な記載は次の表のとおりです。

出典：警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和８年９月、警察庁サイバー警察局）

HVLは、この表から二つのことを読み取っています。一つは、会社の規模が小さいことは対策を後回しにする理由にならないことです。もう一つは、被害に遭うと費用と期間の両面で事業に響くため、侵入を防ぐ対策と戻す備えの両方が要ることです。

攻撃者はどこから入り、何をするのか

警察庁によると、近年の主な手口は、インターネットに露出した箇所から遠隔操作で社内ネットワークへ入るものです。標的型攻撃メール等の添付ファイルによる感染は少なくなっているとされています。

侵入の足がかりになるのは、未修正のぜい弱性や漏えいした認証情報等です。侵入後は次の流れで攻撃が進みます。

1. 管理者権限の奪取やセキュリティ無効化を試みる。
2. 内部を探索し、重要データやバックアップを物色する。
3. データを窃取した後に暗号化を実行する。

この流れを見ると、入口だけでなく、権限、検知、バックアップのそれぞれに攻撃を止める機会があると分かります。

数値を読むときの注意

侵入経路の割合は、被害に遭った組織へのアンケートの結果です。調査の対象や期間が違う資料では、侵入経路の割合が異なる数字で示されることがあります。他の資料と比べるときは、対象と時点を確かめてください。

なお、IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）でも、組織編の1位は「ランサム攻撃による被害」で、11年連続11回目の選出です。他の脅威も含めて全体を見たい場合は、情報セキュリティ10大脅威 2026を中小企業の対策に落とし込む記事が参考になります。

中小企業のランサムウェア対策の優先順位（HVLの考え）

HVLは、侵入の主要な経路から順に塞ぎ、そのうえで被害を広げない備えと戻す備えを整える順番を勧めます。

1. 入口：VPN機器・リモート接続の機器・公開しているサーバーを一覧にし、更新を適用する。
2. 認証：初期パスワードや簡易なパスワードをやめ、多要素認証とアクセス制限を組み合わせる。
3. 権限：管理者権限を持つアカウントを絞る。
4. バックアップ：暗号化されないように保管し、復元できるか確かめる。
5. 検知：ウイルス対策ソフトやEDR製品、ネットワーク監視製品などで侵入の兆候に気づけるようにする。
6. 初動：感染を疑ったときの手順と連絡先を決め、訓練する。

どこから手を付けるかの判断基準

すべてを同時に進められない場合は、次の問いに上から答え、最初に「いいえ」となった項目から始めることをHVLは勧めます。

• 社外から社内に入る機器と経路を、一覧で説明できるか。いいえなら、一覧づくりから始める。
• それらの更新を誰が適用するか、契約や社内の担当として決まっているか。いいえなら、保守契約の確認に進む。
• 多要素認証やアクセス制限を設定しているか。いいえなら、入口の認証を固める。
• 管理者権限を持つアカウントを説明できるか。いいえなら、棚卸しをする。
• バックアップから実際に戻したことがあるか。いいえなら、復元を試す。
• 感染を疑ったときに連絡する相手が決まっているか。いいえなら、手順と連絡先を決める。

メール対策と社員教育の位置づけ

入口を優先するのは、メール対策や社員教育が不要という意味ではありません。警察庁のページも、不審なメールへの警戒と、全ての従業員へのセキュリティ教育を対策に挙げています。不審メールの対応訓練やインシデント訓練も有効だとしています。

HVLは、機器の更新と並行して、添付ファイルやリンクを開く前に送信元へ確かめる習慣を社内に広げることを勧めます。生成AIなどを業務で使っている会社は、AIをめぐる攻撃・防御と社内AIの守り方を整理した記事もあわせて確認してください。

入口の対策：VPN機器と公開機器

入口の対策の要点は、社外から社内に入る経路をすべて把握し、更新と認証を固めることです。VPN（Virtual Private Network）機器とは、社外から社内ネットワークへ接続するために使う機器で、インターネットに露出しているため攻撃の入口になりやすいものです。

更新：パッチが出たら速やかに適用する

警察庁は、主要な侵入経路であるVPN機器には速やかな対応が必要だとしています（警察庁「ランサムウェア被害防止対策」）。VPN機器やOS等の更新ファイルやセキュリティパッチが公開されたら、速やかに適用してぜい弱性を残さないことが基本です。

認証：パスワードと多要素認証

認証情報については、次の点を見直します。多要素認証とは、パスワードに加えて別の要素でも本人を確かめる認証の方法です。

• 初期パスワードや簡易な文字列を避け、文字数が多く推測されにくいものにする。
• 他のサービス等で使っていないものを設定し直す。
• 多要素認証等の強固な認証手段を導入する。
• IPアドレス等によるアクセス制限と組み合わせる。

入口のチェックリスト

• 社外から社内に入る仕組み（VPN機器、リモートデスクトップ、保守用の接続）を全部書き出したか
• それぞれの機器の型番とソフトウェアのバージョンを把握しているか
• 更新が出たことを誰が知り、誰が適用するか決まっているか
• 使っていない接続や、退職者・過去の委託先のアカウントが残っていないか
• 多要素認証やアクセス制限を設定しているか

機器とシステムの更新を誰が担当するか：保守契約で決める項目

HVLはシステム開発・保守を受託する立場から、機器とシステムの更新の担当を保守契約で決めておくことを勧めます。チェックリストの「誰が適用するか」に答えられない会社は、まず次の項目を確認してください。

委託先の体制まで確かめたい場合は、委託先のセキュリティ対策チェック項目を開発・保守の段階別にまとめた記事も使えます。

つまずきやすい点と対処

HVLが開発・保守の立場からつまずきやすいと考えている点と、その対処は次のとおりです。

• 機器を導入した会社と、システムを保守している会社が別で、VPN機器の更新がどちらの範囲にも入っていない。対処：両社に担当範囲を書面で確かめ、空いている機器の担当を決めて契約に入れる。
• 保守会社が替わったときに、機器の管理者パスワードや構成の資料が引き継がれていない。対処：引き継ぎの項目に管理者アカウントと構成の資料を入れ、交代後に管理者パスワードを変更する。
• 仕様書や構成の資料がなく、どの機器がどこにつながっているか誰も説明できない。対処：現状の調査から始め、機器の一覧と接続関係を資料に残す。システム側の進め方は仕様書がないシステムの保守・引き継ぎと解析の進め方で扱っています。

権限と検知：被害を広げず、早く気づく

入口を破られた場合に備えて、権限を絞って被害の広がりを抑え、侵入の兆候に気づける状態を作ります。

権限：管理者アカウントを絞る

警察庁のページは、権限とアクセス範囲を必要最小限にすることが、アカウント侵害時の被害拡大防止に繋がるとしています。特に管理者権限は、付与する対象を絞って厳格に管理する必要があります。

インターネットに公開しているサーバや機器についても、乗っ取られた場合に備えてアクセス可能な範囲を限定することが求められています。

• 管理者権限を持つアカウントを一覧にし、持つ理由を説明できないものは外す。
• 社員と保守会社のアカウントを分け、共用をやめる。
• 公開サーバーから社内の重要なデータへ届く経路がないか確かめる。

検知：製品より先に、通知を見て動く人を決める

警察庁は、侵入やその前兆の検知と対処には、ウイルス対策ソフトやEDR製品、ネットワーク監視製品等の導入が有効だとしています。EDR（Endpoint Detection and Response）製品とは、端末の不審な挙動を検知して対処するための製品の種類です。いずれも導入するだけでなく、最新の状態に保ち適切に運用することが重要とされています。

HVLは、製品を入れても、通知を誰が見るのかが決まっていなければ働かないと考えています。製品を選ぶ前に、通知を受けて動く人と手順を決めることが先です。

あわせて、ネットワーク機器や端末のログを日頃から取得しておくことも警察庁は推奨しています。ログは、被害に遭ったときに侵入経路や侵害範囲を調べる手がかりになるためです。

バックアップ：6か条のNo5

バックアップは、取っているだけでは足りず、暗号化されない場所に保管し、実際に戻せることまで確かめて初めて備えになります。

IPAのガイドラインの3段階

IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月27日公開）は、情報セキュリティ6か条に「バックアップを取ろう！」を加えました。ガイドラインのコラムは、バックアップを次の3段階で整理しています。

• 取得する：対象を選定する／取得方法や取得日時、間隔を検討する
• 保管する：保管場所を検討する／世代管理を行う／保管期間を決める
• 復旧する：復旧計画を立てる／正しく復旧できることを確認する

6か条の全体と進め方は、IPA第4.0版の6か条をもとに何から始めるかを解説した記事にまとめています。

バックアップも狙われる

警察庁のページによると、バックアップデータまで暗号化される事例が多数確認されています。そのため、なるべくこまめに取得し、ネットワークから切り離してオフラインで保存するなど、データの重要性に応じた備えが推奨されています。日頃の運用面の課題で、バックアップからの復旧がうまくいかない事例も発生しています。

バックアップのチェックリスト

• 何を（業務システムのデータ、ファイルサーバー、会計データ等）バックアップしているか一覧にした
• 少なくとも一部をネットワークから切り離して保管している
• 世代管理をしている
• 実際に復元を試し、かかる時間を把握している
• 外部に任せているシステムのバックアップの担当と保管場所を知っている

感染を疑ったときの初動と相談先

感染を疑ったら、ネットワークから隔離し、電源は落とさず、警察に通報・相談します。次の手順は警察庁のページに沿った初動です。

1. 感染したパソコン等のLANケーブルを抜く・無線をオフにするなどして、ネットワークから隔離する。
2. 調査に必要なログ等が消失する場合があるため、パソコンやネットワーク機器等の電源は落とさない。
3. 最寄りの警察署又はサイバー犯罪相談窓口に通報・相談する。被害拡大防止のための初動対応支援や復号ツールの案内が可能な場合があります。
4. 攻撃者からアクセスされた可能性がある機器のパスワードを変更し、侵入経路や侵害範囲を調べる。未適用の更新があれば適用する。

HVLは、これに加えて、開発・保守を委託している会社と取引先へ連絡することも手順に入れておくことを勧めます。連絡先は、社内のシステムが使えなくても確認できる形で残しておきます。

身代金の支払いについて

金銭の支払いについて、警察は「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」旨を被害者に説明しています。支払いを検討する前に、まず警察に通報・相談してください。

通報をためらうときに知っておきたいこと

通報に不安がある場合に備えて、警察庁のページのよくある質問から要点をまとめます。

• 警察から被害の公表を求めることはないとしています。
• 捜査は被害組織の復旧作業や業務継続に配慮して進めるとされ、要望があれば伝えることができます。
• 提供を求める情報の例として、ランサムノート、通信ログ、システム構成図等が挙げられています。
• 軽微な事案でも、手掛かりがあるかもしれないため情報提供が呼びかけられています。

復号ツールの注意点

一部のランサムウェアについては「No More Ransom」プロジェクトのウェブサイトで復号ツールが公開されていますが、対応していないランサムウェアやバージョンがあり、全てのファイルを復号できるとは限りません。警察庁が開発した復号ツールもあるため、被害時に警察へ相談する際に確かめてください。

相談先と事前の準備

• 通報・相談：警察庁「サイバー事案に関する相談窓口」から、オンラインの受付窓口や都道府県警察の連絡先を確認できます。
• 技術的な相談：同じページで案内されているIPAの情報セキュリティ安心相談窓口で受け付けています。
• 事前の準備：IPAのガイドラインの付録8「中小企業のためのセキュリティインシデント対応の手引き」が使えます。

警察庁は、サイバー攻撃を想定した業務継続計画（BCP）を事前に準備し、対処の流れや警察等の連絡先を整理しておくことを推奨しています。BCPとは、被害を受けても重要な業務を続けるための計画です。

計画は作るだけでは動きません。HVLは、誰に知らせるのか、どこへ通報するのか、バックアップから実際に戻せるのかを、年に1回は実際に試しておくことを勧めます。

専任担当者がいない会社の進め方

情報システムの専任担当者がいない会社でも、社内の窓口役を決めれば、技術的な作業は保守会社と分担して進められるとHVLは考えています。進める順番の例は次のとおりです。

1. 経営者が社内の窓口役を決め、対策の優先順位を共有する。
2. 導入した会社や保守会社に聞きながら、社外から入る経路と機器を一覧にする。
3. 保守契約を読み返し、この記事の表と照らして、決まっていない項目を洗い出す。
4. 決まっていない項目の担当と費用を保守会社と話し合い、契約に反映する。
5. 未適用の更新を適用し、不要なアカウントを削除し、多要素認証を設定する。
6. 管理者権限を見直し、通知を受けて動く人を決める。
7. バックアップの保管場所を見直し、復元を試す。
8. 初動の手順と連絡先をまとめ、年に1回は実際に試す。

窓口役に技術の知識は必須ではありません。大切なのは、機器の一覧と契約の内容を社内で把握し、更新が止まっていないかを保守会社に尋ねられる状態にしておくことです。

よくある質問

中小企業のランサムウェア対策は何から始めればよいですか？

警察庁の令和８年上半期の統計では、被害組織へのアンケート結果によると侵入経路はVPN機器が約５割です。そのため、VPN機器などインターネットに露出した機器の一覧化と更新から始めることをHVLは勧めます。

中小企業もランサムウェアに狙われますか？

警察庁の令和８年上半期の統計では、被害企業の約６割が中小企業でした。会社の規模にかかわらず、対策が必要です。

バックアップがあれば大丈夫ですか？

バックアップも暗号化される事例が多数確認されており、それだけでは十分ではありません。ネットワークから切り離して保管し、復元できるか確かめておく必要があります。

身代金は払うべきですか？

警察は、犯罪グループ等の活動資金となることが懸念されること、復号が保証されるわけではないことを被害者に説明しています。まず警察に通報・相談してください。

VPN機器の更新は誰がすればよいですか？

機器を導入した会社や保守会社に任せている場合は、更新の判断と適用を誰が行うかを保守契約で決めておくことが必要です。決まっていなければ、担当をはっきりさせることから始めてください。

まとめ：入口の更新と保守契約の確認から始める

警察庁の令和８年上半期の統計では、ランサムウェアの被害報告は123件と半期で最多で、侵入経路はVPN機器が約５割、被害企業の約６割が中小企業でした。

HVLは、中小企業のランサムウェア対策を、入口の機器の一覧化と更新、認証と権限、オフラインのバックアップと復元確認、初動の手順の順に固めることを勧めます。そのうえで、機器とシステムの更新を誰が担当するかを保守契約で決めておくことが、開発・保守の現場で大切だとHVLは考えています。

VPN機器やサーバー、業務システムの更新・バックアップを誰が担当するか、保守契約の範囲を整理したい場合は、HVLのシステム開発・保守（システムインテグレーション）にご相談ください。開発・保守の進め方をまとめた資料の請求や、お問い合わせも受け付けています。