身代金を払ってもデータは戻らない？中小企業を襲うランサムウェアの罠と現場の防衛策

「画面が突然真っ暗になり、英語で身代金のカウントダウンが表示された」
「保存していた設計図や過去の請求データが、すべて拡張子を変えられて開けない」

近年、中小製造業や建設業、地方の小規模企業をピンポイントで狙い撃ちにするランサムウェア（身代金要求型ウイルス）被害が全国で深刻化しています。

「身代金さえ払えば元に戻るのではないか」
そう考えてしまう前に知っておくべき、過酷な現実と現場で取るべき防衛策を整理します。

1. 現代のランサムウェアの手口：「二重恐喝（ダブルエクストーション）」

従来のランサムウェアは「データを暗号化したから、解除キーが欲しければ金を払え」という手口でした。しかし現在の主流は、さらに悪質な二重恐喝です。

1. 第1の脅迫（データの暗号化）：社内サーバーや主要端末を暗号化し、日々の業務を完全にストップさせる。
2. 第2の脅迫（機密情報の暴露）：暗号化する前に顧客名簿・取引先との図面・見積書・財務データを密かに盗み出しておき、「期日までに支払わなければ、ダークウェブ（闇サイト）にすべて公開する」と脅迫する。

これにより、単なる自社の業務停止だけでなく、取引先への損害波及・情報漏洩・社会的信用の失墜という致命的な事態へ追い込まれます。

2. なぜ「身代金」を支払ってはいけないのか？

警察庁や情報処理推進機構（IPA）をはじめとする公的機関も明確に警告していますが、身代金の支払いは絶対に行ってはなりません。理由は大きく3点あります。

• データが元に戻る保証は一切ない：金を払っても解除キーが送られてこない、またはキーが壊れていてデータが二度と復元できないケースが多発しています。
• 「カモリスト」に登録され再標的にされる：「脅せば金を払う企業」として犯罪グループ間で共有され、短期間で再び別の攻撃者に狙われます。
• 犯罪組織・反社会的勢力の資金源になる：支払った身代金は国際犯罪組織の資金源となります。法人がこれに加担することは重大なコンプライアンス違反です。

3. 現場の大きな落とし穴：「バックアップがあるから安心」の嘘

「毎晩外付けハードディスクやNASに自動バックアップを取っているから大丈夫」
実は、こう答える企業が最も危険な罠に陥っています。

近年の攻撃者は、ネットワークに侵入してもすぐには暗号化しません。数日から数週間かけて社内を密かに調査し、「常時繋がっているバックアップ装置」を見つけ出して、バックアップデータから先に暗号化・完全消去します。

いざ復旧しようとした時には、すでに復旧の命綱まで全滅しているのが現場の実態です。

4. 中小企業が今すぐ講じるべき3つの現実的防衛策

多額のシステム予算や専門のIT要員がいなくても、現場の運用とルールで見直せるポイントがあります。

① 物理的に切り離した「オフラインバックアップ」の確保

ネットワークに常時繋がっているバックアップは安全ではありません。週に1回、外付けハードディスクをパソコンから「物理的に取り外して保管する」だけでも、万一の際の全滅を防ぐ決定的な防壁になります。

② 入口の施錠：不審なメールの添付ファイル・VPN機器の点検

侵入経路の大半は、取引先を装ったメールの添付ファイルか、ファームウェアが未更新のVPN機器・ルーターです。社内での注意喚起と、ネットワーク機器のメーカーアップデートは最優先で実施してください。

③ 事後対応の費用を担保する「リスク移転（サイバーセキュリティ保険）」

どれだけ対策をしていても、侵入を100%防ぎ切ることは困難です。万が一のインシデント発生時には、原因調査（フォレンジック費用）、データ復旧費用、取引先への損害対応など、数百万円から数千万円規模の突発的な出費が生じます。
これらを自社資金だけで賄うのではなく、保険によってリスクを移転しておく体制を整えることがBCP（事業継続）の現実的な手段です。

まとめ：経営者が今すぐ決断すべき「備え」

サイバーセキュリティは、もはやIT部門だけの課題ではなく、「会社の存続と取引先への信用の問題」です。

自社の大切な資産と取引先を守るために、オフラインでのデータ保管と万一の補償体制を早急に点検・構築することをおすすめします。

発行・監修：パキラ合同会社 リスク調査部
中小企業のためのリスクマネジメント・サイバーセキュリティ対策の現場レポートを定期配信中。