ランサムウェアに備えるバックアップは「切り離し」と「戻せるか」

ランサムウェアの被害では、バックアップを取っていても戻せないことがあります。警察庁のまとめ（令和 7 年）では、バックアップを取っていたかを答えた 116 件のうち 105 件が取っていた一方、復元できたかを答えた 99 件のうち、バックアップから復元できたのは 20 件でした。戻せるバックアップにするために確かめることは、ネットワークから切り離しているか、日付の違う控え（世代）を残しているか、戻せるか試したかの 3 つです。自社のバックアップや社外からの接続がどうなっているかは、無料の質問（最大 14 問・約 5 分）で整理できます。答えは送信も保存もしません。

ランサムウェアでバックアップがあっても戻せなくなる理由

バックアップそのものが無意味なのではありません。警察庁のまとめでは、復元できなかった理由を答えた 72 件のうち、48 件が「バックアップも暗号化・消去されていた」、19 件が「バックアップの運用の不備」でした。

置き方ごとの件数は資料にありませんが、次のような置き方は、一緒に被害を受けたり、戻せなかったりするおそれがあるので確かめます。

• 社内のファイルサーバー（NAS）の中身を、NAS につなぎっぱなしの外付けディスクにコピーしている
• バックアップの保存先に、社内のパソコンや管理者のアカウントからいつでも書き込める
• 毎晩、前の日のバックアップを上書きしていて、1 日分しか残っていない
• 取ってはいるが、戻したことが一度もない

警察庁は、ランサムウェアによりバックアップも暗号化される事例が多く確認されているとして、バックアップはこまめに取り、ネットワークから切り離してオフラインで保存するなど、暗号化されないように備えることを勧めています。

ランサムウェアに備えるバックアップで確かめる 3 つ

1. 普段はつながっていない所に置く

バックアップのうち少なくとも一つは、普段は社内のネットワークから切り離した所に置きます。たとえば、取ったあとに外して保管する外付けディスクです。

これとは別の対策として、決めた期間は書き換え・削除ができない設定にできる保存先もあります。ただし、管理者の権限でも消せないか、期間はどれだけかなどの条件は製品や契約ごとに違うので、切り離しの代わりになるかは保守の業者に確かめます。どれを使うかは、データの量と、誰が毎回の作業をするかで、業者と相談して決めます。

2. 日付の違う控え（世代）を残す

最新の 1 回分だけを上書きしていると、感染に気づいたときには、感染した後の状態しか残っていないおそれがあります。取る間隔（毎日・毎週など）と、何日分（何回分）残すかを分けて決めます。何日前のデータまでなら失っても困らないかと、止まると困る業務から考えます。

3. 戻せるかを試しておく

いざというときに、誰が、どの手順で、何時間かけて戻すのかを、一度試して確かめます。戻したことがないバックアップは、戻せるかどうかがまだ分かっていない状態です。本番とは別の場所に戻して確かめる方法と費用を、保守の業者に聞いてください。

よくある置き方は、バックアップになっているか

置き方	ランサムウェアへの備えとして
OneDrive や Google ドライブで、パソコンのファイルを同期している	同期は、パソコンで変わったファイルをそのまま保存先に反映するので、同期だけではバックアップの代わりになりません。版の履歴などから戻せる場合もありますが、戻せる期間はサービスと契約ごとに違うので、管理者に聞きます
NAS のスナップショット（ある時点の状態を残す機能）を使っている	世代を残す助けになります。管理者の権限でも削除できない設定になっているか、社外から NAS の管理画面に入れないかを、保守の業者に確かめます
NAS の中身を、NAS につないだままの外付けディスクにコピーしている	普段もつながったままなので、切り離しになっていません。外して保管する運用にするか、切り離した置き場所をもう一つ足すかを業者と相談します
取ったバックアップを、外して別の場所（社外）に保管している	切り離しの条件を満たしています。あとは世代と、戻す試しを確かめます

バックアップの考え方として、「データのコピーを 3 つ持ち、2 種類の保存先に置き、そのうち 1 つは別の場所に置く」という 3-2-1 の考え方がよく紹介されます。ランサムウェアへの備えとしては、その別の場所の 1 つが、普段つながっていない・書き換えられないことが大切です。

保守の業者に聞くこと

社内に詳しい人がいなくても、次の文面をそのまま送れば確かめられます。

いつもお世話になっております。当社のバックアップについて、次の 4 点を教えてください。

1. バックアップの置き場所は、社内のネットワークにつながったままですか。普段は切り離した所にもありますか。
2. バックアップを取る間隔と、何日分（何回分）残しているかを教えてください。
3. 最後に、バックアップから戻せるかを試したのはいつですか。
4. 戻す作業は保守契約に含まれますか。含まれない場合の費用の目安を教えてください。

ホームページのバックアップは、会社のデータとは別に取っていることが多いので、ホームページのバックアップは戻せるかを確かめる記事で別に確かめます。

ランサムウェアに感染したら、すぐやること

画面に身代金を求める表示が出た、ファイルが開けなくなった、というときは、次の順で動きます。

1. 感染したパソコンなどの LAN ケーブルを抜く、無線をオフにするなどして、ネットワークから切り離す
2. パソコンやネットワーク機器の電源は落とさない（警察庁は、原因の調査に必要な記録が消えることがあるとしています）
3. 保守の業者と、最寄りの警察署かサイバー犯罪の相談窓口に連絡する
4. 個人情報が漏れたおそれがあるときは、個人情報保護委員会への報告と本人への通知が要るかを確かめる

個人情報保護委員会への報告と本人への通知が必要なのは、要配慮個人情報が含まれる、クレジットカード番号など財産的な被害のおそれがある、不正アクセスなど不正の目的によるおそれがある、本人の数が 1,000 人を超える、のどれかに当たる場合です（漏れた「おそれ」の段階を含みます）。速報は知ってからおおむね 3〜5 日以内、確報は 30 日以内（不正の目的によるものは 60 日以内）です。

慌ててバックアップを戻す前に、侵入された原因を確かめます。原因が残ったまま戻すと、同じ経路でまた暗号化されるおそれがあります。

中小企業のランサムウェア対策で、バックアップの次にやること

バックアップは、被害を受けた後に戻すための備えです。入られないための対策もあわせて進めます。警察庁のまとめでは、侵入経路を答えた 92 件のうち、61 件が VPN 機器、19 件がリモートデスクトップでした。社外から会社につなぐ仕組みの更新を誰がしているかを、保守の業者に確かめてください。企業としてのランサムウェア対策の全体の順番は、中小企業のセキュリティ対策は何から始めるかにまとめています。

やらなくていいこと

• 今の置き方を確かめないまま、新しいバックアップの製品を買う
• 毎日の作業を増やしすぎて、誰も続けられない手順にする
• 被害に遭ったときに、原因を確かめずにすぐ戻す

SECUNOA でできること

無料の質問では、バックアップを取っているか、普段つながっていない所にもあるか、社外から入る仕組みを誰が更新しているかなどに答えると、「対応が要る所」と、まずやることを表示します。

答えだけでは分からない所を確かめたい場合は、セキュリティの現状整理（29,800 円・税込）があります。バックアップの設定画面の写真や記録から、切り離されているか、最後に戻した日、誰が戻せるかを人が確かめます。写真で分かることと、実際に戻して試さないと分からないことは分けて書き、戻す試しの頼み方の文面を付けます。バックアップを戻す作業そのものは、SECUNOA では行いません。

出典

• 警察庁「令和 7 年におけるサイバー空間をめぐる脅威の情勢等について」（令和 8 年 3 月）https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
• 警察庁「ランサムウェア被害防止対策」https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」https://www.ppc.go.jp/personalinfo/legal/leakAction/