最近の統計では、ランサムウェア被害の6割以上が中小企業と言われています。「うちは狙われるほど有名じゃないし…」と思っている会社ほど、じつは危ないのが現状です。最新の状況と、今日からできる現実的な対策をまとめます。
中小企業を狙うランサムウェア
ランサムウェアとは、パソコンやサーバーのデータを勝手に暗号化（ロック）して、「元に戻してほしければお金を払え」と要求してくるタイプのウイルスのことです。警察庁がまとめた2025年上半期のレポートでは、企業・団体のランサムウェア被害は 116件、2024年上半期、2024年下半期、2025年上半期と、3期連続で100件以上、そして被害企業の 6割以上が中小企業！という状況が報告されています。www.trendmicro.com
さらに、2025年11月17日に公開された中小企業向けの記事では、アサヒグループホールディングスやアスクルといった大企業の被害が話題になる一方で、直近の被害の66％は中小企業という指摘もあります。ツギノジダイ+1
つまり、大企業だけの話ではなく、むしろ中小企業の方が狙われやすい、というのが今の日本の現実です。侵入経路としては、
- VPN機器（社外から社内ネットワークに入るための門）
- リモートデスクトップ（RDP）（遠隔で会社PCを操作する仕組み）
が多数を占める、という傾向も指摘されています。www.trendmicro.com テレワークや在宅勤務で便利な仕組みですが、初期設定のまま放置されていたり、古い機器を使い続けていたりすると、そこが穴になる可能性があります。
ビジネスにどんな影響を与えているか？
1. 一番怖いのは「業務停止」
ランサムウェアの被害で一番つらいのは、データが見られないことそのものです。
- 受発注のデータが開けない
- 顧客リストや見積書、納品書が読めない
- 会計データが止まり、決算に間に合わない
- 社内のファイルサーバーがすべてロックされる
といった事態になると、事業そのものが止まります。「バックアップがあるから大丈夫」と思っていても、
- バックアップ先も同じネットワーク上にあって、一緒に暗号化されてしまう
- いざという時に、復元の手順が分からない・検証していない
といった理由で、実際にはすぐに復旧できないケースも少なくありません。
2. 情報漏えい＋身代金要求の「二重脅迫」
最近は、
「データを暗号化する」＋「外に持ち出して公開すると脅す」
という二重の脅迫パターンも増えています。www.trendmicro.com
これにより、
- 顧客情報が漏れた場合の 信用の失墜
- 取引先への説明やお詫び、対応コスト
- 個人情報保護法上の報告・公表の義務への対応
など、お金では測りづらいダメージが発生します。
3. 「人」もボトルネックになる
中小企業では、
- 情報システム担当が 1人だけ
- その人も他の業務と兼務
- ベンダー任せで、何をどこまでやっているのか見えていない
というパターンがとても多いです。その結果、
- 社内に「サイバー攻撃がどういうものか」イメージできる人がほぼいない
- 経営会議で、セキュリティ投資の優先度が上がりにくい
- 「バックアップしているはず」「多分大丈夫」が、実は思い込み
という状態になりがちです。
最低限おさえておきたいと思うポイント
1. 「どこに何があるか」を1枚に書き出す
いきなり高度な対策ではなく、まずは 棚卸しからがおすすめです。
- どのPC・サーバーがあるか
- どのクラウドサービスを使っているか（例：Microsoft 365、Google Workspace、Dropboxなど）
- 重要なデータ（顧客情報、売上データ、設計書など）はどこにあるか
これをA4一枚でいいので、ざっくり書き出してみるのが良いでしょう。ポイントは、経営者・責任者もそれを一緒に見ることです。「うちは意外とクラウドに依存してるんだな」「このサーバー壊れたら終わるな」といった気づきが出てきます。
2. バックアップは「ネットワークから切り離す」
バックアップはすでにやっている会社が多いのですが、「同じネットワーク上に置きっぱなし」だと、ランサムウェアに一緒に暗号化されます。ツギノジダイ
そこで、おすすめはこんな感じ
- まずは重要データだけでも、定期的に外付けHDDなどへコピーする
- コピーしたHDDは、使わない時はケーブルを抜く or 鍵付きのキャビネなどにしまう
- 可能であれば、クラウド上のバックアップ（世代管理は必ず必要）も併用する
ここまでできるだけで、すべてのデータが人質になるようなリスクはかなり下がります。
3. 「1つの穴」をふさぐ — VPN/RDPとパスワード
警察庁のレポートでは、侵入経路の多くが VPN機器やリモートデスクトップ だと説明されています。www.trendmicro.com ここをピンポイントで強化するだけでも効果は大きいと言われています。
- もし 使っていないリモート接続 があれば、思い切って止める
- VPNやRDPにログインするアカウントには
- 長くて推測しづらいパスワード
- できれば 多要素認証（ワンタイムコードなど） を必須にする
- 古いVPN機器は、メーカーのサポート状況を確認し、サポート切れなら交換を検討
「全部は無理」でも、
“インターネットから直接触れるもの”だけはちゃんと守る
という発想が大事で、対象を絞って対策するのがおすすめです。
4. 社員教育は難しいセミナーよりも1ページの資料
フィッシングメール経由でマルウェアに感染し、その後ランサムウェアにつながるパターンも多く報告されています。ツギノジダイ+1 でも、長時間のセキュリティセミナーを毎回やるのは現実的ではありません。個人的には、
- 「怪しいメールの特徴5つ」をA4一枚にまとめる
- 社内チャットや掲示板に、「最近こんな偽メールが流行ってます」とスクショ付きで共有する
- 怪しいと思ったら すぐ聞ける窓口（社内 or 外部） を決めておく
といった、小さく・頻度高く知らせる方がｍ現場には良いと思います。
つらつらと書きましたが、ランサムウェアは、もはや大企業だけの話ではありません。まずは資産の棚卸し、ネットワークから切り離したバックアップ、VPN・リモート接続の強化。この3つだけでも、リスクは大きく下げられるはずです。100パーセントというのは難しいのかもしれませんが、できるかぎりそれに近づける努力はしていきましょう。
