情シスのアウトソーシングなら 情シス君 ・ 情シスジャーナル ・ ランサムウェア事例と感染経路の全貌|2026年最新の対策と対応フロー
更新日:2026.06.23
情報セキュリティ

ランサムウェア事例と感染経路の全貌|2026年最新の対策と対応フロー

サイバー攻撃の中でも、企業・組織に壊滅的なダメージを与える「ランサムウェア」。

近年は医療機関・製造業・流通・教育など、あらゆる業界で被害が多発しており、もはや他人事ではありません。

本記事では、2026年時点の国内外の事例を業界別に紹介するとともに、主な感染経路・企業への影響・今すぐ実施すべき対策など、網羅的に解説します。

ランサムウェア対策をゼロから整備したい情報システム担当者・経営者の方は、ぜひ最後までお読みください。

ランサムウェアとは?

ランサムウェア(Ransomware)とは、感染した端末やサーバー上のファイルを暗号化し、復号と引き換えに身代金を要求するマルウェアの一種です。

「Ransom(身代金)」と「Software」を組み合わせた造語で、2013年頃から急速に拡大しました。

近年主流となっているのが「ダブルエクストーション二重脅迫)」と呼ばれる手口です。

従来はファイルを暗号化して身代金を要求するだけでしたが、二重脅迫では事前に機密データを窃取した上で暗号化を行い、「身代金を払わなければ盗んだデータをインターネット上で公開する」と脅迫します。

バックアップからの復旧だけでは被害を防げないため、企業のダメージは格段に大きくなっています。

さらに最近では「トリプルエクストーション(三重脅迫)」も登場し、被害企業の取引先や顧客にまで脅迫の矛先が向くケースが報告されています。

警察庁の統計でも、ランサムウェアによるサイバー被害の報告件数は増加傾向にあり、組織規模の大小を問わず対策が急務です。

関連記事:ランサムウェアとは?仕組み・種類・対策まで徹底解説

【2026年最新】国内ランサムウェア被害事例8選

以下では、業界別に国内で実際に発生したランサムウェア被害を紹介します。

各事例は一次情報源に基づき、被害規模・システム停止期間・業務への影響という客観的事実を中心に記述しています。

【出版】株式会社KADOKAWA

【エンタメ】株式会社カプコン

【食品】株式会社ニップン

  • 侵入経路 グループ子会社(ニップンビジネスシステム株式会社)において管理運用する情報ネットワークが、外部からのサイバー攻撃を受けました。
  • 事業継続への影響・被害 同時多発的に大部分のサーバーのデータが暗号化され、システム障害が発生しました。
    サーバーのボリュームや内部に格納された電子ファイルの大部分が暗号化されたため、システムの起動そのものが不可能となりました。
    被害封じ込めの対応として全サーバーの停止と社内外のネットワーク遮断を行った結果、基幹システムをはじめとする全ての社内システムや共有ファイルサーバーへのアクセスができなくなり、決算発表が遅延するなどの影響が生じました。
  • 出典

【医療】大阪急性期・総合医療センター

  • 侵入経路 外部接続の管理不備が原因となり、委託業者(給食事業者)のネットワーク経由で病院内部への侵入を許しました。
    また、院内のユーザーすべてに管理者権限を与えていた初期設定を悪用され、攻撃者によってウイルス対策ソフトをアンインストールされました。
  • 事業継続への影響・被害 基幹システムサーバーの大部分が暗号化され、電子カルテを含めた総合情報システムが利用不能となりました。
    基幹システムサーバーの再稼働に43日間、部門システムを含めた全体の診療システム復旧に73日間を要しました。
    この間、救急診療や外来診療、予定手術などの診療機能に大きな支障が生じ、紙カルテでの運用や診療制限を余儀なくされました。
  • 出典

【自動車】小島プレス工業株式会社

  • 侵入経路 同社の子会社において、外部企業との専用通信に用いていたリモート接続機器(VPN機器)の脆弱性を悪用され、親会社である小島プレス工業のネットワークへと侵入を許しました。
  • 事業継続への影響・被害 ランサムウェアによりサーバーやパソコン端末の一部でデータが暗号化されました。
    さらなる攻撃の予防措置として取引先および外部とのネットワークを遮断した結果、同社の取取引システムが利用不能となり、納品先であるトヨタ自動車の国内全14工場(28ライン)が1日の操業停止を余儀なくされるという、サプライチェーン全体を揺るがす大きな経済的影響が生じました。
  • 出典

【物流】名古屋港運協会

  • 事業継続への影響・被害 名古屋港統一ターミナルシステム(NUTS)の物理サーバー基盤および全仮想サーバー(45台)が暗号化されました。
    これにより、すべてのコンテナターミナルにおいてトレーラーによるコンテナの搬出入作業が全面的に不可能となりました。
    システム復旧と、バックアップデータから検知されたウイルスの駆除を行うため、日本一の総取扱貨物量を誇る港湾の物流が丸一日以上にわたって完全に麻痺する事態となりました。
  • 出典

【教育】学校法人横須賀学院

  • 侵入経路 同法人が管理する学内サーバーが、外部からの不正アクセスを受け、不正プログラムを実行されました。
  • 事業継続への影響・被害 職員がサーバーへ接続できない障害が発生したことで被害が発覚しました。
    調査の結果、サーバー内に保管されていた複数の写真・動画データが流出したほか、ランサムウェアグループ(Rhysida)により、複数年の特定の部活動に関連する生徒名簿、保護者の個人情報、テスト情報などの機密データがインターネット上に窃取データとして公開・暴露される二次被害が発生しました。
  • 出典

【食品】森永製菓株式会社

  • 侵入経路 同社が管理運用する複数のサーバー機器に対して、外部からの不正アクセス攻撃を受けました。
  • 事業継続への影響・被害 サーバー内データの暗号化を伴うシステム障害が発生し、通信販売事業「森永ダイレクトストア」の顧客情報(氏名、住所、電話番号等)や、グループ役職員の個人情報が外部へ流出した可能性が発生しました。
    また、社内システムのダウンに伴い製造に関するシステムが一時停止したため、工場における一時的な在庫の減少や、製造計画の変更を余儀なくされるなど、商品の供給体制へ直接的な影響が出ました。
  • 出典

【海外】ランサムウェア大規模被害の事例4選

海外では、国家規模のインフラ麻痺や巨額の損害賠償に発展した事例が多数存在します。

以下の4事例は、ランサムウェアが企業・社会に与えるリスクの深刻さを端的に示しています。

【インフラ】米国大手石油パイプライン運営会社(Colonial Pipeline)

  • 侵入経路 攻撃者グループ(DarkSide)により、流出したVPNのアカウント情報を悪用されて社内ネットワークへの侵入を許しました。
    該当するVPNアカウントには、セキュリティの基本である多要素認証(MFA)プロトコルが設定されていませんでした。
  • 事業継続への影響・被害 ランサムウェアによって約100GBのデータが窃取されたほか、会計や請求システムを含むITシステムが暗号化されました。
    同社は被害の拡大を防ぐための安全措置として、パイプラインの操業を全面的に数日間にわたり一時停止。
    これにより米国東海岸への燃料供給が滞り、ガソリンや航空燃料の不足から一部地域で緊急事態宣言が発令されるなどの深刻な社会的混乱が生じました。
    同社はシステム復旧のために、約440万ドル相当の暗号資産の身代金を支払ったことを公表しています。
  • 出典

【医療】米国大手医療データ処理企業(Change Healthcare)

  • 侵入経路 攻撃者グループ(ALPHV/BlackCat)により、窃取された従業員の認証情報を悪用され、多要素認証(MFA)が有効化されていなかったリモートアクセス用のCitrixポータルからネットワーク内部への侵入を許しました。
    攻撃者は暗号化を行う前に9日間にわたってネットワーク内を横展開(侵入拡大)していました。
  • 事業継続への影響・被害 2024年2月にランサムウェアが実行され、データの暗号化被害が発生しました。
    同社はさらなる影響を防ぐために100以上のシステムをネットワークから遮断せざるを得なくなり、コア業務が完全に停止しました。
    これにより米国内の医療決済や処方箋、保険請求手続きの広範なサプライチェーンが麻痺し、多数の病院や薬局で業務停止や患者への「払い戻し・診療報酬支払い」の遅延といった大混乱が発生しました。
    また、最大6TBにおよぶ膨大な患者情報・個人情報が窃取・流出する事態となり、親会社のUnitedHealth Groupは数十億ドル(約29億ドル)規模の壊滅的な財務的打撃を被ることとなりました。
  • 出典

【IT】ITマネジメントツール提供企業(米Kaseya)

  • 侵入経路 同社が提供するオンプレミス型のIT管理リモートモニタリングソフトウェア「Kaseya VSA」に存在していた脆弱性を悪用され、外部からの不正アクセスを受けました。
  • 事業継続への影響・被害 2021年7月、ランサムウェアグループ(REvil)による世界規模のITサプライチェーン攻撃の踏み台にされました。
    同ツールを利用していたマネージドサービスプロバイダー(MSP)を経由し、その先にいる世界中の顧客企業約1,500社に対して一斉にランサムウェアが配信され、各社のシステムが暗号化されるという連鎖的な大規模被害が発生しました。
    Kaseya社はアドバンスドな警戒措置として、自社のSaaSサーバーを強制的にオフラインにし、オンプレミス環境の顧客へ向けてVSAサーバーの即時シャットダウンを強く要請するなどの緊急対応を余儀なくされました。
  • 出典

【小売】米国大手消費財メーカー(The Clorox Company)

  • 侵入経路 同社が管理する情報技術システムの一部において、外部からの不正なアクティビティを検知し、インフラの一部が損傷する被害を受けました。
  • 事業継続への影響・被害 2023年8月に発生した攻撃の封じ込めと修復のため、特定のITシステムを予防的にオフラインにした結果、 広範囲な業務停止が発生しました。
    代替策として手動での注文受付や出荷処理を導入したものの、処理能力が大幅に低下したことで注文の遅延や深刻な製品の「製品の欠品・供給不足」を招きました。
    このシステム障害は四半期を通じて長期間にわたり業績にマイナスの影響を与え、売上高と純利益が大幅に減少しました。
    外部のフォレンジック専門家やIT復旧コンサルタントへの費用、業務停止に伴う追加コスト等を含め、最終的に総額3億5,600万ドルの財務的損失・コストを計上する事態となりました。
  • 出典

事例から分析するランサムウェアの主な感染経路

警察庁の「令和5年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェアの感染経路として最も多く報告されているのはVPN機器等の脆弱性であり、次いでリモートデスクトップ(RDP)の悪用、フィッシングメール、サプライチェーン経由と続きます。

以下に主要な感染経路を解説します。

関連記事:ランサムウェアの感染経路6選|主な侵入手口と予防策を解説

VPN機器・リモートデスクトップ(RDP)の脆弱性|感染経路の約8割

国内のランサムウェア感染経路の約8割を占めるとされるのが、VPN機器やリモートデスクトップ(RDP)の脆弱性悪用です。

テレワーク普及に伴いVPNやRDPの利用が急増しましたが、それに伴いこれらの機器を標的にした攻撃も増加しています。

放置されたファームウェアの脆弱性や、推測されやすい弱いパスワード、多要素認証(MFA)が設定されていないアカウントは、攻撃者にとって格好の侵入口となります。

VPN機器は社内ネットワークへの入口であるため、一度突破されると社内の全システムへのアクセスを許してしまうリスクがあります。

対策としては、VPN・RDPのファームウェアを常に最新状態に保ち、不要なポートを閉鎖し、MFAを必須化することが最優先です。

関連記事:脆弱性対策とは?発生原因や被害事例、対策手法を解説

標的型フィッシングメールと不審な添付ファイル

フィッシングメールはランサムウェアを配布する古典的かつ有効な手段であり、今なお多くの感染事例の入口となっています。

近年はメールの文面が巧妙に偽装されており、取引先や金融機関を装った「なりすましメール」、業務上開封しやすい請求書・見積書・契約書を装った添付ファイルなどが主流となっています。

添付されるファイルはPDFやOffice文書が多く、マクロ機能を悪用してマルウェアをダウンロード・実行させる手口が典型的です。

また、URLリンクを踏ませて偽サイトへ誘導し、ログイン情報を窃取するケースも増加しています。

フィッシング訓練メールの定期実施と、不審なメールの報告体制の構築が重要です。

サプライチェーン経由の侵入|取引先の脆弱性が入口になる

自社のセキュリティ対策が万全であっても、グループ会社・協力会社・業務委託先などのサプライチェーンを経由した侵入リスクが高まっています。

小島プレス工業の事例やKaseya事件が示すように、対策の甘い取引先が「踏み台」にされ、本丸の組織へ侵入されるケースが後を絶ちません。

特に注意が必要なのは、外部ベンダーや協力会社が社内システムへのリモートアクセス権限を持っている場合です。

取引先のセキュリティ水準を定期的に評価・確認し、アクセス権限を必要最小限に絞るとともに、契約上のセキュリティ要件を明確にすることが求められます。

ランサムウェア被害が企業にもたらす3つの深刻な影響

ランサムウェアに感染した場合、企業が被る影響は多岐にわたります。
主な3つの影響を整理します。

  • 【業務停止による直接的な損失】システムが暗号化されると、業務の全部または一部が機能不全に陥ります。

製造業では生産ラインが停止し、小売業では販売・受発注システムが停止、医療機関では診療継続が困難になるなど、停止期間中の売上損失・機会損失は甚大です。

復旧までの期間が長期化するほど、損失額は膨らみます。

  • 【調査・復旧・再発防止にかかる莫大な費用】インシデント対応には、フォレンジック調査(侵入経路・被害範囲の特定)、システム再構築・データ復旧、セキュリティ強化のための追加投資、外部専門家・弁護士への委託費用など、多額のコストが発生します。

IBMの調査では、データ侵害1件あたりの平均コストは世界平均で数百万ドル規模に達しています。

  • 【社会的信用の失墜と顧客離れ】個人情報の漏洩が発生した場合、個人情報保護委員会への報告義務・被害者への通知・メディアへの情報公開が求められます。

事故の公表によるブランドイメージの低下、顧客・取引先からの信頼喪失、株価下落、訴訟リスクなど、財務的損失以上のダメージが中長期にわたって企業を苦しめます。

企業が今すぐ実施すべきランサムウェア対策5つ

以下に、明日から取り組める具体的なセキュリティ強化策を5つ紹介します。

優先順位の高い順に実施することをお勧めします。

対策1|多要素認証(MFA)を全アカウントに適用する

多要素認証(MFA)とは、パスワードに加えてスマートフォンアプリの認証コードや生体認証などの要素を組み合わせてログインする仕組みです。

攻撃者がパスワードを入手した場合でも、MFAが設定されていれば不正ログインを防ぐことができます。

VPNやリモートデスクトップ、クラウドサービス、社内の管理者アカウントを優先的にMFA設定の対象としてください。

特権アカウントへのMFA適用は、侵入後の被害拡大を防ぐ上で最も重要な対策の一つです。

対策2|OSとソフトウェアを常に最新状態に保つ

ランサムウェアの多くは、OSやソフトウェアの既知の脆弱性を悪用して侵入します。

脆弱性は新しいものほど修正パッチが出るまでの時間が短く、パッチ適用が遅れるほど攻撃を受けるリスクが高まります。

Windows・Linux・macOSのOSアップデートはもちろん、VPN機器・ルーター等のファームウェア、業務で使用するアプリケーションも定期的に更新してください。

自動更新機能を有効化し、管理者が更新状況を一元的に把握できるパッチ管理ツールの導入も効果的です。

対策3|3-2-1ルールに基づくバックアップとネットワーク分離

ランサムウェア被害からの最終的な復旧手段はバックアップです。

しかし、バックアップ環境が本番環境と同じネットワークに接続されていると、ランサムウェアがバックアップまで暗号化してしまうケースがあります。

バックアップの原則として「3-2-1ルール」を実践してください。

これは「3つのコピーを(1つの原本+2つのバックアップ)、2種類以上の異なる媒体に保存し(例:ディスク+テープ)、そのうち1つは必ずオフサイト(別拠点)またはオフライン(ネットワーク非接続)で保管する」という原則です。

オフラインバックアップは、ランサムウェアの到達圏外に置くことで最後の砦となります。

対策4|EDR・次世代ファイアウォールで侵入後を検知する

現代のセキュリティ対策は「侵入を100%防ぐ」ことを前提とするのではなく、「侵入されることを前提に被害を最小化する」という考え方(ゼロトラスト・セキュリティ)が重要です。

EDRは、端末上の不審な挙動をリアルタイムで検知・遮断するツールです。

従来のアンチウイルスソフトが「既知のマルウェアのパターン照合」であるのに対し、EDRは振る舞い検知により未知の攻撃にも対応できます。

また、次世代ファイアウォール(NGFW)による通信の可視化・不審な通信の遮断も有効です。

これらを組み合わせることで、侵入後の横展開・データ窃取・暗号化を早期に食い止めることができます。

対策5|全従業員を対象としたセキュリティ教育を継続実施する

最新のセキュリティ技術を導入しても、従業員がフィッシングメールを開封したり、不審なUSBを接続したりすれば、その瞬間に全ての対策が無効化されます。

技術的対策と人的対策の両輪が不可欠です。

定期的なフィッシング訓練メールの配信、インシデント発生時の報告ルートの周知、テレワーク時のセキュリティルールの徹底など、継続的な教育・訓練を実施してください。

セキュリティを「情報システム部門だけの問題」とせず、全社的なリスク管理として取り組む文化の醸成が重要です。

【自社独自調査】2026年最新のランサムウェア攻撃トレンドと盲点

当社のセキュリティ対応実績およびインシデント対応事例の分析から、2026年時点で特に注視すべき最新の攻撃トレンドを以下にまとめました。

  • 【AIを活用した標的型フィッシングの高度化】生成AIの普及により、ターゲットの業界・役職・業務内容に合わせたカスタマイズされたフィッシングメールが量産されるようになっています。

文章の不自然さで不審メールを判別する従来の判断基準が通用しにくくなっており、送信元ドメインの検証(DMARC・SPF・DKIM)やURLサンドボックス解析が重要度を増しています。

  • 【クラウド・SaaSへの攻撃シフト】オンプレミスからクラウドへの移行が進む中、Microsoft 365やAWSなどのクラウド環境を直接狙う攻撃が増加しています。

クラウドの設定ミスや、SaaSのAPIトークン窃取を起点とした侵入事例が報告されています。

クラウド環境固有のセキュリティ設定(CSPM等)の導入が急務です。

  • 【ランサムウェア・アズ・ア・サービス(RaaS)の拡大】開発グループが攻撃ツールをサービスとして提供し、技術力の低い攻撃者でも高度なランサムウェア攻撃を実行できる「RaaS」のエコシステムが確立されています。

これにより攻撃者の裾野が広がり、中小企業・地方組織への無差別攻撃が急増しています。

  • 【間欠的暗号化による検知回避】一度に全ファイルを暗号化するのではなく、ファイルの一部だけを断続的に暗号化することで、挙動検知ツールへの検知を回避する手法が増加しています。

EDRの検知ロジックや行動分析ルールを定期的にアップデートし、最新の攻撃手法に対応した設定を維持することが重要です。

【有事対応】ランサムウェアに感染したときの初動対応フロー

ランサムウェアに感染した際は、パニックによる誤った行動が被害を拡大させます。

以下のステップを事前に組織全体で共有し、発生時は冷静に対応してください。

関連記事:ランサムウェア感染からの復旧方法は?正しい手順や費用相場、NG行動を解説

ステップ対応内容詳細・注意点
Step 1ネットワーク切断LANケーブルを抜く・Wi-Fiをオフにする・VPN接続を切断
Step 2社内への報告情報システム部門・経営層へ即報。事実のみを正確に伝える
Step 3証拠保全・専門家連絡ログを消去しない・警察サイバー犯罪窓口・専門ベンダーへ連絡
Step 4身代金に応じない支払いはデータ復旧を保証せず、犯罪資金の提供につながる
Step 5バックアップ復旧脆弱性修正後にオフラインバックアップからシステムを再構築

ステップ1|感染端末を即座にネットワークから切り離す

ランサムウェアは感染端末から同一ネットワーク上の他の端末・サーバーへ自動的に横展開します。

感染を確認または疑った瞬間、まず感染端末のLANケーブルを物理的に抜き、Wi-FiをオフにしてネットワークからL離してください。

この初動の速さが、二次感染の規模を左右します。

VPNでリモート接続中の場合はVPN接続も即座に切断してください。

ステップ2|経営層・社内担当者への迅速な報告と初動判断

感染を確認したら、情報システム担当者は経営層・意思決定者への報告を最優先にしてください。

「事態を隠蔽する」「まず自分で対処しようとする」行動は、初動対応を遅らせ被害を拡大させます。

組織としての対応方針(事業継続・対外発表・専門家の招集等)を迅速に決定するため、正確な事実を速やかに経営層へ集約してください。

ステップ3|証拠保全・警察および専門ベンダーへの相談

インシデントの原因究明のためには、ログデータや感染端末の状態を保全することが不可欠です。

感染端末を初期化したり電源を切ったりする前に、専門家の指示を仰いでください。

また、警察庁のサイバー犯罪相談窓口や、インシデントレスポンス専門のセキュリティベンダーへの相談を早期に行うことで、対応方針の判断材料を得られます。

ステップ4|身代金には応じない(理由と根拠)

身代金を支払っても、攻撃者がデータを復号するとは限りません。

実際に支払い後も復号ツールが機能しなかったり、再度脅迫されたりするケースが多く報告されています。

また、身代金の支払いは攻撃グループの資金源となり、次の攻撃を助長することになります。

さらに、攻撃グループが国際的な制裁対象の場合、支払い自体が法的リスクを伴う可能性があります。

日本政府・警察庁も身代金の支払いには応じないことを推奨しています。

ステップ5|バックアップ復旧とセキュリティ総点検

システムを復旧する前に、必ず侵入経路の特定と脆弱性の修正を完了させてください。

脆弱性を残したままシステムを復旧すると、再感染のリスクが高まります。

復旧にはランサムウェアに感染していないクリーンなバックアップを使用します。

復旧後はパスワードの全面変更・VPN/RDPのMFA設定・EDRの導入など、セキュリティ対策の総点検を実施してください。

ランサムウェアに関するよくある質問

ランサムウェアの身代金は支払うべきですか?

原則として、支払うべきではありません。

理由は大きく3つあります。

①支払ってもデータが復旧される保証がない(支払い後に復号ツールを提供しない、または機能しないケースが多数報告されています)

②支払いが攻撃グループの活動資金となり、さらなる犯罪を助長する

③攻撃グループが制裁対象の場合、支払い行為が法的リスクを伴う可能性がある

専門家・警察に相談の上、バックアップからの復旧を最優先に検討してください。

中小企業や地方の組織も攻撃対象になりますか?

なります。

近年はランサムウェア・アズ・ア・サービス(RaaS)の普及により、技術力の低い攻撃者でも自動化ツールを使って無差別に攻撃を行うケースが増加しています。

規模の小さい組織ほどセキュリティ投資が限られているため、むしろ狙われやすいとも言えます。

また、大企業のサプライチェーンに組み込まれている中小企業は、大手の踏み台として意図的に標的にされるリスクもあります。

感染経路で最も多いのは何ですか?

警察庁の発表によると、VPN機器やリモートデスクトップ(RDP)などのネットワーク機器に存在する脆弱性の悪用が、国内のランサムウェア感染経路の約8割を占めています。

テレワーク・リモートワークの普及に伴いVPN・RDP機器の利用が急増した結果、これらの機器を標的にした攻撃が急増しています。

VPN機器のファームウェアを常に最新状態に保ち、MFAを設定することが最も効果的な対策です。

ランサムウェア対策を自社だけで進めることに限界を感じたら

ランサムウェア対策は、ネットワーク・セキュリティ・バックアップ・従業員教育・BCP策定など、多岐にわたる専門知識と継続的な運用体制を必要とします。
「専任の情報システム担当者がいない」「兼任で対応しているがリソースが足りない」とお悩みの中小・中堅企業には、「IT顧問 情シス君」がおすすめです。

脆弱性診断・設定変更・セキュリティポリシー整備・社内教育・BCP策定まで一気通貫で支援する「セキュリティ対策パック」をはじめ、課題やフェーズに合わせた柔軟なプランをご用意しています。

「現状のセキュリティ水準が不安」「ランサムウェアへの備えを今すぐ強化したい」とお考えの方は、ぜひお気軽にご相談ください。

監修者:
デジタルハック 情シス総研
情シスリサーチアナリスト 伊藤俊介

伊藤俊介
お問い合わせをする