ランサムでバックアップ全滅の罠！警察庁調査で判明した盲点防衛

「毎日自動で外付けHDDにバックアップを取っていたから安心だと思っていた。しかし、出社したらバックアップ先のデータまで全て暗号化され、業務が完全に止まってしまった」

先日、年商5億円規模の製造業の経営者様からこのような切実なご相談をいただきました。数百万円を投じて最新のセキュリティ対策ソフトを導入していたにもかかわらず、なぜバックアップまで同時に暗号化されてしまったのでしょうか。

結論から申し上げますと、現在のランサムウェアは「PCを感染させた後、社内ネットワークを巡回して接続されているバックアップ装置を特定し、それを先に暗号化または消去してから本体をロックする」という手順を極めて組織的に実行します。つまり、常時ネットワークにつながっているバックアップは、もはや安全対策として機能しないのが冷徹な現場の実態です。

📊 【公的統計エビデンスと被害額の内訳】

警察庁公表の「サイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害に遭った中小企業のうち、7割以上が「バックアップを確保していたにもかかわらず復旧できなかった」と回答しています。
その主因は「バックアップ装置が同一ネットワークに常時接続されていたことによる同時暗号化」です。また、損保各社の事故対応実績データでは、復旧費用総額は平均2,000万〜3,000万円規模に達し、その内訳は「フォレンジック原因調査費用（500万〜1,200万円）」「サーバ・PCの再構築および代替機手配（800万〜1,500万円）」「弁護士費用・通知対応（200万〜500万円）」となっており、事後復旧には莫大な財務負担が発生します。

1. なぜ無駄金を払わされてしまうのか / 被害の実態

多くの企業が「高性能なNAS（ネットワーク対応HDD）を導入した」「毎日夜間に自動差分バックアップを走らせている」という点だけで安心を買ってしまっています。ここにITベンダー任せの大きな落とし穴が存在します。

近年の標的型ランサムウェア攻撃者は、侵入後すぐに身代金を要求することはありません。数日から数週間にわたり社内ネットワーク内を静かに潜伏・偵察（ラテラルムーブメント）します。その間に「管理者アカウントの権限奪取」と「バックアップ保管場所の特定」を周到に行い、復元不可能な状態を整えてから一斉に暗号化を仕掛けてきます。

「常時接続された自動バックアップ」は、攻撃者にとっては「いつでも消去できる無防備な標的」に過ぎません。どれほど高価なシステムを組んでいても、運用設計が単一ネットワークのまま放置されていれば、投資のすべてが無に帰すことになります。

2. 費用対効果チェックシート：標準対策比較表

3. 明日から社内でゼロ円でできる基本防衛のステップ

バックアップをランサムウェアの魔の手から守るために、高価な専門機器を買い足す必要は必ずしもありません。明日から社内の運用ルールとして即座に導入できる基本ステップは以下の3点です。

1. バックアップメディアの物理的遮断（エアギャップの構築）： 業務終了後にバックアップを取得したら、必ずUSBケーブルまたはLANケーブルを物理的に引き抜く運用を徹底してください。「週の当番制」を敷き、金曜日のバックアップ完了後に外して金庫や施錠棚へ保管するだけでも、最悪の全損を防げます。
2. バックアップ機器専用アカウントの完全分離： PCやドメインの共通管理者アカウント（ID・パスワード）と、バックアップ装置（NASなど）の管理情報を完全に分けてください。社員のPCがウイルス感染しても、バックアップ機器にログインできない権限設計にしておくことが防御壁となります。
3. 復元テストを半年に1度実施する： 「保存できていること」と「復元できること」は異なります。過去の事例でも、いざ復旧しようとした際にバックアップデータ自体の不整合で復元に失敗したケースが多発しています。ダミーファイルを用いて元の状態に戻せるかを確認する手順を社内で定例化してください。

4. 最後のセーフティネットとしての見極め方

どれほど強固なバックアップ体制を敷いていても、近年のサイバー攻撃は「データを暗号化する前に外部へ盗み出し、身代金を払わなければ情報を暴露する」という二重脅迫（ダブルエクストーション）へ手口を進化させています。

データが手元に戻るだけでは、取引先への流出報告、警察庁や個人情報保護委員会への届出、専門調査機関（フォレンジック）による原因究明の義務を回避することはできません。公的ガイドライン（IPA「中小企業の情報セキュリティ対策ガイドライン」等）でも示されている通り、「完全に防ぎ切ることは不可能である」という前提に立ち、万が一インシデントが発生した際に自社の財務が耐えうるかを事前に試算しておくことが経営上の必須事項です。

初動調査や弁護士対応など、自社の預金だけでは賄いきれない数千万円規模の突発的支出に対して、客観的にどの手段でセーフティネットを張るのか、経営計画の一環として冷静に精査する必要があります。

5. まとめ

サイバーセキュリティの基本は「高額な機器を導入すること」ではなく、「攻撃者が侵入した際にどこで被害を食い止めるかという運用設計」にあります。

「常時接続されたバックアップは、攻撃者からも常時接続されている」という事実を認識し、まずは明日から社内で外付け機器のケーブルを抜くところから見直してみてください。過度な設備投資に走る前に、自社の業務形態に適した無理のないルールを策定することが、事業と財務を守る最も堅実なアプローチです。