中小企業のランサムウェア対策｜VPN・RDP・バックアップから見直す基本

データを暗号化して使えなくし、復旧と引き換えに金銭を要求する「ランサムウェア」。大企業だけの話ではありません。IPA「情報セキュリティ10大脅威 2026」でも、ランサム攻撃による被害は組織向け脅威の1位に挙げられ続けており、専任の担当者がいない中小企業ほど、対策が後回しになりがちです。

「何から手を付ければ？」という方のために、この記事では4つの観点で優先順位をつけて整理します。①侵入を防ぐ ②被害を広げない ③元に戻せるようにする ④起きたときの初動。それぞれで、関連する詳しい記事へのリンクも添えます。

この記事でわかること

• ランサムウェアが中小企業も狙われる理由
• 侵入を防ぐ・広げない・戻す・初動の4観点
• 中小企業が優先したい対策チェック

ランサムウェアとは・なぜ中小企業も狙われるのか

ランサムウェアは、社内のファイルやサーバーを暗号化して業務を止め、金銭を要求する不正プログラムです。近年は、データを盗んでから暗号化し「払わなければ公開する」と脅す二重恐喝の手口も見られます。

狙われるのは大企業だけではありません。警察庁「ランサムウェア被害防止対策」でも、VPN機器やリモートデスクトップのぜい弱性が悪用される事例が多数確認されていると説明されており、被害は業種・規模を問わず報告されています。取引先経由（サプライチェーン）で巻き込まれることもあります。用語の整理は用語集でも行っています。

① 侵入を防ぐ：入口を小さくする

まず、攻撃者が入ってくる経路をふさぎます。中小企業でよくある侵入口は次のとおりです。

• VPN機器の脆弱性・サポート終了（EOL）の放置 → SSL-VPNの脆弱性の記事
• リモートデスクトップ（RDP）の直接公開 → RDPを直接公開しない基本対策
• パスワードだけの認証・使い回し・共有ID
• メールの添付ファイル・偽リンク
• OS・ソフトの更新不足（既知の脆弱性の放置）

VPN機器やRDPを「インターネットに直接さらしたまま、更新も認証も弱い」状態が、もっとも狙われやすい構成です。あわせて、OS・ソフトの更新、ウイルス対策、メールの注意喚起（不審な添付・リンクを開かない）も、基本対策として確認してください。古いVPNの見直しの観点は脱VPNの記事でも扱っています。

② 被害を広げない：つながった後の範囲を絞る

入口対策をすり抜けられても、1台の侵害を社内全体に広げないことができれば、被害は小さく抑えられます。鍵になるのが「接続後に、どこまで到達できるか」です。

従来のVPNは「つながれば社内LAN全体が見える」状態になりがちで、1台の侵害が横移動で広がります。利用者ごとに必要な宛先だけを許可し、社内LAN全体を開放しない設計にすると、横移動の起点になりにくくなります。退職者・委託先の権限を止める運用も重要です（→ 権限管理の記事）。設計の考え方はセキュリティのページで解説しています。

たとえばForceLinkは、利用者ごとに必要な社内リソースだけを許可し、接続後も社内LAN全体を開放しない「社内リソース・ルート制御」を備えた一例です（現時点で多要素認証（MFA）には未対応）。なお、特定の製品だけでランサム被害を防ぎ切れるわけではなく、次の「戻せる備え」と組み合わせることが大切です。

③ 元に戻せるようにする：バックアップ

万一暗号化されても、戻せる備えがあれば事業への打撃を小さくできます。IPA「中小企業の情報セキュリティ対策ガイドライン」でも、バックアップは基本対策の一つとして重視されています。ポイントは次の3つです。

• 複数の場所に保存する（同じ社内ネットワーク上に1つだけ、にしない）
• 少なくとも1つは、普段のPC・サーバーから直接書き換えられない形にする（オフライン保管や世代管理。バックアップごと暗号化されるのを防ぐ）
• 過去の状態へ戻せる世代管理と、実際に戻せるかの復元テストを行う（取るだけで満足しない）

④ 起きたときの初動を決めておく

実際に感染が疑われたとき、最初の動きを決めておくと被害を抑えやすくなります。

• 感染が疑われる端末は、まずネットワークから切り離す（LANケーブルを抜く・Wi-Fiを切る／他の端末への拡大を防ぐため）
• むやみに初期化・再インストールをしない（証拠や復旧の手がかりを失う可能性があるため）。電源を切るか稼働を保つかは状況で判断が分かれるので、相談できる連絡先を事前に決めておく
• 連絡先を一覧化しておく（経営者・保守事業者・セキュリティ専門会社・警察・IPAの届出窓口など）

「誰が・何を・どの順で」を紙でもよいので決めておくと、いざという時に動けます。IPA「中小企業の情報セキュリティ対策ガイドライン」には、インシデント対応の手引きも付属しています。攻撃に気づいた直後の具体的な動き方はサイバー攻撃に気づいた直後の初動で詳しく解説しています。テレワーク全体の備えはテレワークのセキュリティ10項目も参考にしてください。

中小企業が優先したい対策チェック

まずは次を点検してみてください。

まとめ：押さえるべき3点

1. ランサムウェアは中小企業も標的。侵入を防ぐ・広げない・戻す・初動の4観点で考える
2. 入口（VPN・RDP・認証）を固め、接続後の到達範囲を絞って横移動を抑える
3. バックアップ（複数箇所・世代・復元テスト）と初動の段取りで、被害を小さくする

何から始めるか迷うときは、テレワークのセキュリティ10項目で全体像を、比較ページで方式を確認しつつ、あわせて料金ページとFAQで確認してください。図面・技術情報（営業秘密）を守る観点は中小製造業のテレワークも参考になります。

参考・出典

• IPA「情報セキュリティ10大脅威 2026」
• 警察庁「ランサムウェア被害防止対策」
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）