ランサムウェア（身代金要求型ウイルス）はもはや「PCが暗号化される事故」ではなく、事業そのものを止める経営リスクになりました。国内調査では被害後の事業停滞が長期化し、「止まらない業務」をどう設計するかが問われています。さらに攻撃側はAIエージェント（自律的に動くAI）を取り入れ始め、偵察から侵入・脅迫までの多くを人手を介さず進める段階に入りつつあります。本稿では、襲われたときの初動、予防、そして早期復旧の準備について、国内と米国それぞれの公的機関の一次情報をもとに、現場で使える形に整理します。
前提が変わった：AI自律型攻撃と「業務を止めない」設計
2026年のセキュリティ環境で最大の変化は、攻撃が「人間の速度」を超え始めたことです。エージェント型AIが偵察・侵入・データ分析・脅迫の大部分を自動でこなすようになり、防御側は「攻撃が人間より速く展開される」ことを前提に対策を組む必要があります。
トレンドマイクロの2026年脅威予測は、攻撃の重点が単純なデータ暗号化から、窃取データの悪用と情報に基づく恐喝へ移りつつあると指摘しています。画像や音声、動画といった非テキスト媒体をAIで分析し、被害組織にとって最も痛い資産を狙い撃ちする——そんな圧力のかけ方が現実になりつつあるという見立てです。
実際に確認された自律型攻撃の一例
公的な脅威解説では、国家支援型とされるアクターがAIコーディング支援ツールを悪用し、偵察から認証情報の取得、データ分析までの一連の工程の8〜9割を自動で進めた事例が報告されています。「高度な攻撃を人手で回す」時代から、「自動化された攻撃を大量にさばく」時代への移行が始まっています。
この変化が意味するのは、端末を固めるだけでは足りないということです。侵入される前提で、いかに早く気づき、いかに被害範囲を絞り、いかに早く事業を戻すか。「事業継続」を軸にした設計が、PCの強化以上に優先されるべき局面に来ています。
襲われたら：初動対応【国内編】
国内では、ＪＰＣＥＲＴ／ＣＣ（一般社団法人JPCERTコーディネーションセンター）が公開する「侵入型ランサムウェア攻撃を受けたら読むFAQ」が初動対応の定番です。ここでいう侵入型とは、攻撃者が内部ネットワークに入り込んだ後にデータの窃取や暗号化を行うタイプを指します。FAQは初動に焦点を絞り、3つの方針を示しています。
JPCERT/CCが示す初動対応「3つの方針」
やってはいけない初動ミス
ＪＰＣＥＲＴ／ＣＣ（は、慌ててシステム全体を停止することでかえって被害が拡大したり、再発防止をしないまま業務を再開して再び侵入されたりするケースに注意を促しています。「正しく恐れる」ことが、混乱の中で判断を誤らないための出発点です。
相談先を先に押さえておく
迷ったら自社だけで抱えず、外部の専門窓口に早い段階で相談するのが定石です。主な窓口を分けて挙げます。
- インシデント対応の初動を相談したいとき：ＪＰＣＥＲＴ／ＣＣ（ のインシデント対応相談窓口
- 一般的な相談や被害の届け出：情報処理推進機構（IPA）の情報セキュリティ安心相談窓口
- 犯罪としての通報：警察庁が案内する各都道府県警察のサイバー犯罪相談窓口
- 緊急対応を外部委託したいとき：日本ネットワークセキュリティ協会（JNSA）が公開する緊急対応企業の一覧
身代金は「払わない」が公的な基本方針
国内でも、経済産業省をはじめ公的な立場では身代金の支払いは推奨されていません。支払っても復旧の保証はなく、次の攻撃を助長する原因にもなり得るためです。国内調査でも、身代金を払った企業のうち復旧に成功したのは一部にとどまっています。
襲われたら：初動対応【米国編】
米国では、ＣＩＳＡ（サイバーセキュリティ・インフラ庁）が中心となってまとめた「#StopRansomware」が事実上の標準になっています。後半に実務的な「対応チェックリスト」が収録されているのが特徴です。
このガイドは、FBI（連邦捜査局）や国家安全保障局（NSA）の運用知見も反映して作られています。
さらに、州・地方の情報共有を担うＭＳ－ＩＳＡＣ の知見も取り込まれており、幅広い組織が実務で使える内容になっています。
CISAの対応チェックリスト：最初の3ステップは順番どおりに
ガイドは、検知から封じ込め、根絶までを段階的に進める形で、特に最初の3ステップを順番に踏むよう求めています。
「電源を落とす」は最後の手段
ＣＩＳＡのチェックリストは、まずネットワークからの切断を優先し、それが無理なときに限って電源断を選ぶよう順序づけています。電源を落とすと、後の調査に必要な揮発性の証拠（メモリー上の痕跡）が失われるためです。また攻撃者が組織の動きを監視している可能性を踏まえ、連絡手段の扱いにも注意を促しています。
通報とタイムライン
米国では、法執行機関への通報を24〜48時間以内に行うことが推奨されます。FBIが運営する通報サイト（IC3）や地域の窓口を通じて報告すると、攻撃グループに関する情報提供や復旧支援につながることがあります。加えて、規制に応じた開示義務のタイムラインも走り出します。
- 上場企業では、重要インシデントについて4営業日以内の開示が求められる場面があります。
- 個人データが関わる場合、欧州の枠組みでは72時間以内の通知が問われることがあります。
- 医療関連の枠組みでは、より長い猶予（おおむね60日）が設定されている場合があります。
払わない理由は明確
FBIとCISAは、身代金を払っても復旧の保証はなく、むしろ攻撃者を勢いづかせ、他の犯罪者による拡散を助長し、違法な活動の資金源になり得ると明言しています。暗号化解除後にさらに「公開しないこと」を条件に二重の要求をしてくる手口も報告されています。
予防策【国内編】：基本の徹底が最大の防御
情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」で、ランサムウェア攻撃は組織向け脅威の1位を11年連続で占めています。裏を返せば、対策の勘所は大きく変わっておらず、「当たり前を確実に」続けることが被害の最小化につながる、というのが公的機関の一致した見方です。
今日から優先すべき順番
とりわけ社外から社内へ入る接続経路（リモート接続機器）は狙われやすく、古い認証情報が闇市場で取引される実態も報じられています。入口の多要素認証と機器の更新は、費用対効果が高い基本対策です。
バックアップは「切り離して」保管する
政府広報でも、データの定期バックアップに加えて、ネットワークから切り離して保管することが繰り返し呼びかけられています。常時つながったバックアップは、暗号化の巻き添えを受けるためです。中小企業でも、まずはオフラインの復旧手段を1つ持つことが出発点になります。
予防策【米国編】：初期侵入経路を潰す
ＣＩＳＡのガイドは前半（Part 1）を予防にあて、「よくある初期侵入経路」ごとに対策を整理しているのが特徴です。どこから入られるかを類型化し、それぞれの入口を塞ぐという発想で、ゼロトラスト（何も信用せず都度検証する設計）やクラウドバックアップの考え方も取り込まれています。
入口別に塞ぐ、という考え方
- 窃取された認証情報からの侵入を想定し、多要素認証と最小権限（必要な人に必要な範囲だけ）を徹底する。
- 巧妙化する誘導（ソーシャルエンジニアリング）を前提に、メール経由の初期侵入を減らす仕組みを置く。
- 既知の脆弱性（弱点）の悪用を優先的に修正し、外部公開機器を放置しない。
これらの推奨は、ＣＩＳＡとＮＳＴ（米国立標準技術研究所）が示す性能目標に沿った形で整理されており、「すべての組織が最低限そろえるべき実践」として位置づけられています。完璧を目指すより、入口の穴を優先度順に塞ぐ——現実的で真似しやすい枠組みです。
自動化には自動化で対抗する
AIエージェントによる攻撃は、侵入の兆候を検知した瞬間に隔離やブロックまで自動で走る体制がないと、人手が追いつきません。端末での検知と対応（EDR）や、異常検知からの自動対応を組み合わせ、「人間の速度」に依存しない防御へ寄せていく必要があります。
早期復旧の準備と手法【国内編】
ＪＰＣＥＲＴ／ＣＣ（は、早期の業務復旧のためにオフラインでのバックアップが重要であり、こまめなバックアップこそが早期復旧につながると明言しています。復旧の成否は、事故が起きてからではなく「事前の備え」でほぼ決まる、というのが実務の感覚に近いところです。
復旧を早めるための事前準備
復号ツールが使える場合もある
警察庁は一部のランサムウェアに対する復号ツールを開発しており、届け出を通じて提供される場合があります。また国際プロジェクト「No More Ransom」やセキュリティ企業が公開する復号ツールで、暗号化されたファイルを戻せるケースもあります。まずは種類を特定し、使える手段がないか確認する価値があります。
なお、個人データが漏えいした「おそれ」がある場合、法令にもとづく報告義務が発生することがあります。発覚から数日以内に、詳細が固まっていなくても速報を行うのが基本です。復旧作業と並行して、報告のタイムラインも意識しておきましょう。
早期復旧の準備と手法【米国編】：3-2-1-1-0ルール
米国側で復旧設計の土台になっているのが、古くからの「3-2-1ルール」をランサムウェア時代に拡張した「3-2-1-1-0ルール」です。CISAのガイドも、身代金の支払いに頼らない復旧手段として、変更できないバックアップを明確に推奨しています。
3-2-1-1-0ルールの中身
- 3：データの複製を3つ持つ（本番データと、2つのバックアップ）
- 2：異なる2種類の媒体に保存する（ディスクとテープなど）
- 1：1つは別の場所（オフサイト）に置く
- 1：さらに1つは変更不可（イミュータブル）またはエアギャップ（ネットワークから切り離し）にする。
- 0：復元テストで「エラー0」を確認する。試していないバックアップは復旧手段とは呼べない。
いまのランサムウェアはバックアップを狙う
近年の攻撃は、暗号化の前にバックアップやスナップショット（時点コピー）を探して消しにきます。ネットワークから届くバックアップは破壊され得るため、変更不可または物理的に切り離したコピーが決定打になります。重い被害を受けた端末は「その場で駆除」ではなく、信頼できる正常なイメージから作り直すのが安全です。
復旧の順番も決めておく
復旧目標を数値で決めておくことも有効です。どれだけ止められるか（ＲＩＯ：目標復旧時間）と、どこまでのデータ喪失を許すか（RPO：目標復旧時点）をシステムの重要度ごとに定めておくと、いざというときの判断が速くなります。公的な指針でも、少なくとも数日分の業務データを戻せるかを定期的に検証するよう促されています。
国内と米国：ガイダンスの要点を並べて見る
国内と米国で言葉づかいは違っても、示している方向はほぼ一致しています。要点を対比してみます。
| 観点 | 国内（公的機関） | 米国（公的機関） |
| 初動の主指針 | 侵入型攻撃向けFAQの「3つの方針」 | #StopRansomware の対応チェックリスト |
| 隔離の考え方 | 慌てた全停止を戒め、被害範囲の把握を優先 | まず隔離、無理なときのみ電源断 |
| 身代金 | 支払いは非推奨（払っても復旧保証なし） | 支払いは非推奨（攻撃を助長） |
| 復旧の要 | オフラインバックアップとこまめな取得 | 3-2-1-1-0と変更不可コピー |
| 通報・報告 | 専門窓口と警察、届け出制度 | 法執行機関への通報と規制上の開示 |
| 復号手段 | 公的機関や国際枠組みの復号ツール | クリーンイメージからの再構築を重視 |
ファクトチェック：数字の出どころを確認する
見出しに出てくる数字は、出典と定義を確認しておくと誤解を避けられます。本稿で参照した主な調査を整理します。
- 国内の民間調査では、ランサムウェアの被害総額が平均で数億円規模に達し、事業停滞が長期化しているとの結果が報告されています（決裁権者を対象とした国内調査）。
- 別の国内動向調査では、ランサムウェアの感染を経験した企業の割合はおよそ半数弱で、身代金を払っても復旧できた割合は一部にとどまるとされています。
- 「業務停止」の割合や日数は、調査主体・対象・定義によって数字が異なります。単一の数字を鵜呑みにせず、出典に当たることをおすすめします。
本稿の一次情報について
対応・予防・復旧の各手法は、国内では情報処理推進機構（IPA）とJPCERT/CCの公開情報を主な出典としています。米国側は、公的機関が取りまとめたガイダンスにもとづいています。数値は各調査レポートの公表値によりますが、最新の状況は各機関の原典で確認してください。
IT小僧コラム：止める前提で、戻す力を鍛える
現役でシステムを触っていると、「防ぐ」より「戻す」ほうが地味だが確実に効く、と痛感する。金融系の設計で叩き込まれる考え方に、障害の切り分け（フォールト・アイソレーション）と最小権限、そして監査ログの保全がある。これはそのままランサムウェア対策に転用できる。ネットワークを区切っておけば被害はそこで止まり、権限を絞っておけば横展開されにくく、ログを残しておけば「何が起きたか」を後から追える。
AIエージェントが攻撃を回す時代に、人間が手作業で追いかける発想はもう無理がある。だが慌てなくていい。やることの本質は昔から変わっていない。切り離せるバックアップを、こまめに、テストしながら持つ。入口には多要素認証を置く。機器は更新する。この3つを「今日」やるだけで、生存確率はかなり上がる。
一番こわいのは、バックアップを「取っているつもり」で一度も戻したことがない状態だ。復元テストをしていないバックアップは、正直に言えば「お守り」でしかない。止まらない仕組みではなく、止まってもすぐ戻せる仕組み——そこにこそ、投資する価値がある。
まとめ：優先順位は「事業継続」に置く
攻撃がAIで自動化・高速化しても、守り側の勘所は驚くほど普遍的です。襲われたら、慌てず被害範囲を把握して隔離し、侵入経路を塞ぎ、身代金には応じずバックアップから戻す。予防では、切り離したバックアップ・多要素認証・機器の更新という基本を確実に回す。復旧では、変更不可のコピーと復元テストで「戻せる力」を平時に鍛えておく。
PCを固めることも大切ですが、いま優先すべきは「止まっても戻せる」事業継続の設計です。国内と米国、どちらの公的ガイダンスも、最後は同じ一点——「事前の備えが、被害の大きさを決める」——に収れんしています。まずはオフラインで戻せるバックアップを1つ、今日確認するところから始めてみてください。
