復旧不能の罠！警察庁データで判明したバックアップ隔離防衛術

「毎日自動でバックアップを取っているから、万が一ランサムウェアに感染してもデータを元に戻せば問題ない」――そう信じていた経営者が、事故直後に目の前でバックアップデータごとすべて暗号化され、事業継続不能に追い込まれる悲劇が後を絶ちません。

先日、年商約7億円規模の物流企業を経営される社長様からも切実なご相談をいただきました。基幹配送管理システムが深夜にランサムウェア攻撃を受け、翌朝出社した担当者がすぐさま復旧を試みたところ、サーバーにLANケーブルで常時接続されていたNAS（ネットワーク接続HDD）やクラウド同期フォルダ内のバックアップファイルまで完全に暗号化されていました。復旧の手がかりを失った結果、配送業務は10日間にわたり完全麻痺。外部専門業者によるフォレンジック調査とデータ再構築、荷主への緊急代替輸送の手配などで総額2,900万円を超える莫大な実損害が発生した事例でした。

攻撃者は「バックアップさえ無力化すれば身代金を払わざるを得なくなる」ことを熟知しており、侵入後にまずバックアップ設定を探索して破壊します。本稿では、警察庁などの公的統計データをもとに被害実態の内訳を客観的に分析し、高額な専用装置を買わずに明日から社内で0円で導入できるバックアップのオフライン隔離防衛術を解説します。

【公的統計エビデンスと被害額の内訳】

警察庁「サイバー空間をめぐる脅威の情勢等」の調査結果によると、ランサムウェア被害に遭った企業の7割以上が「バックアップを取得していた」にもかかわらず、そのうち約8割が「バックアップも暗号化等により復元できなかった」と回答しています。また、損保各社の事故調査実績における平均対応総額は約2,300万円〜3,000万円に達しています。
【被害費用の客観的内訳】
・侵入経路・証拠保全・影響範囲特定のためのフォレンジック調査費用：約800万〜1,400万円
・暗号化されたサーバー群および端末の再構築・手作業によるデータ復元費用：約500万〜900万円
・顧客・取引先への通知・二次被害対応に伴う弁護士相談費用：約300万〜500万円
・業務停止期間中の売上喪失および代替運用に伴う人件費・外注費：数百万円〜数千万円規模

1. なぜ起こったのか？（事件の客観的原因分析）

「バックアップを取っていたのに戻せない」最大の原因は、バックアップ媒体が「社内ネットワークに常時接続されていたこと」にあります。

多くの現場では、利便性を最優先にして外付けハードディスクや社内共有NASをサーバーに常時接続したまま運用しています。しかし、ランサムウェアに感染した端末が管理者権限を奪取された場合、ネットワーク経由で認識できるすべてのドライブや共有フォルダは即座に攻撃対象となります。さらに、クラウドストレージにリアルタイム同期する設定にしていた場合、手元の暗号化された破壊データがそのままクラウド上へ上書き同期され、クラウド側の過去履歴まで消去・破壊されてしまうケースが急増しています。

2. どうすれば防げたのか？（被害者側の0円防衛実務）

高額なイミュータブル（書き換え不能）ストレージを導入しなくても、既存の機器を「物理的・論理的に切り離す」運用に変えるだけで、復旧データの全滅は確実に防ぐことができます。

3. 明日から社内でゼロ円でできる基本防衛のステップ

1. 外付けHDDを2台用意し「交互に接続して引き抜く」
   バックアップ用の外付けハードディスクを社内にある予備を含めて2台用意します。「月・水・金」と「火・木」でバックアップ完了後にUSBケーブルを物理的に抜き、鍵のかかるキャビネットへ保管します。ネットワークから物理遮断された媒体にはいかなるウイルスも侵入できません。
2. NASのアクセス権限を「専用の別パスワード」に変更する
   社内PCと同じログインパスワードでNASやバックアップ領域に入れる設定を即時廃止します。バックアップ実行プログラム専用のアカウントを独立して作成し、一般社員のPCや通常管理者アカウントからは中身を書き換え・削除できない権限設定に改めます。
3. 半年に1度「実際にデータを別端末へ復元できるか」試す
   「バックアップソフトのログが成功になっていたが、いざ戻そうとしたらファイルが壊れていた」という事例が頻発しています。年に数回、テスト用PCへ実際にデータを書き戻し、正常に開けるかを確認する手順を社内ルール化してください。費用は一切かかりません。

4. 最後のセーフティネットとしての見極め方

どれほど厳格にオフライン隔離を徹底しても、巧妙なランサムウェアが何週間も前から潜伏し、バックアップの中にすでにウイルスが混入していた場合、復元作業自体が困難を極めることがあります。自社データを失った際の財務破綻を防ぐ最後のセーフティネットがサイバー保険です。

保険選定における客観的判断基準は、「バックアップが破壊された際のデータ復旧・手入力による再構築費用が補償されるか」、そして「事故発生時に暗号化の手がかりを残すためのフォレンジック調査費用（証拠保全）が実費担保されているか」です。感染したサーバーを不用意に初期化する前に、専門家の初動調査費用を保険でカバーできる体制を整えておくことが事業継続の生命線となります。

5. まとめ

ランサムウェア対策におけるバックアップは、「取っていること」ではなく「安全に隔離されていること」が全てです。ネットワークに繋がったままのバックアップは、攻撃者にとってはただの追加標的に過ぎません。今日から外付け機器を1本引き抜くという0円の習慣が、自社を数千万円の破滅的損害から守る最強の盾となります。