ランサムウェアは「防げない」前提で組め：中小企業が生き残るための実戦的防御と復旧戦略

「ウチのような無名な中小企業を狙うハッカーなんていないだろう」

もしあなたがそう考えているなら、今すぐその認識を捨ててください。かつてのサイバー攻撃は、愉快犯や技術顕示欲による「点」の攻撃でしたが、現在のランサムウェア攻撃は、高度に組織化された「巨大なエコシステム」であり、冷徹なビジネスです。

攻撃者は、名簿業者から流出した企業のメールアドレスや、Shodanのような検索エンジンで見つけた脆弱なVPN機器のリストを購入し、ツールを使って無差別に、機械的に攻撃を仕掛けてきます。そこに「大手か中小か」「老舗かベンチャーか」という慈悲深い選別はありません。資金力のない企業であっても関係なく、データを人質に取り、身代金を要求し、支払えなければ情報をダークウェブに公開するという「二重恐喝（ダブルエクストーション）」を行います。さらには、取引先や顧客へDDoS攻撃を仕掛けると脅す「三重恐喝」の手口すら横行しています。

「ウイルス対策ソフト（アンチウイルス）を入れているから大丈夫」といえる時代も終わりました。現代のランサムウェアは、正規の管理ツール（PowerShellやWMI）を悪用する「Living off the Land（環境寄生型）」攻撃を行ったり、管理者権限を奪取してアンチウイルスを無効化（キル）してから暗号化を開始したりします。

本記事では、予算も人も限られた中小企業（SMB）が、この理不尽な暴力から会社を守り、万が一侵入されても「1円も払わずに復旧する」ための現実的な戦略を、防衛・検知・復旧・初動対応のフェーズに分けて徹底解説します。

侵入経路を塞ぐ：「VPN」という最大の弱点を捨てる

警察庁のレポートによれば、ランサムウェア被害の侵入経路の多くが「VPN機器からの侵入」です。特に、FortinetやPulse SecureなどのSSL-VPN製品の脆弱性を放置しているケースや、ID/パスワードのみで運用しているケースが格好の標的となっています。

なぜVPNが狙われるのでしょうか？ それはVPNが「城門」だからです。一度門を突破されれば、攻撃者は社内ネットワーク（城内）を自由に探索し、ドメインコントローラーやファイルサーバーといった重要拠点へ横展開（ラテラルムーブメント）できてしまう構造的欠陥があるからです。

具体的な対策：脱VPNとアタックサーフェスの縮小

1. 脱VPN / ZTNAの検討: 現在は「境界防御」の限界を超え、 Zero Trust Network Access (ZTNA) への移行が推奨されます。ZTNAは「社内に入る」という概念を無くし、認証されたユーザーと特定のアプリケーションだけを1対1で接続させます。

   • Cloudflare Zero Trust: 50ユーザーまで無料で使用可能という脅威的なコストパフォーマンスを誇ります。社外からのWebアプリへのアクセスやSSH/RDPなどを、VPN機器なしで安全に提供できます。WAF（Web Application Firewall）の機能も内包しているため、脆弱性攻撃からも守られます。
   • Tailscale: WireGuardベースのメッシュVPNです。中央のVPN装置にトラフィックを集中させるのではなく、端末同士がP2Pで暗号化通信を行います。ACL（アクセス制御リスト）を使えば、「経理部のPCは会計サーバーにしか繋がらない」といった細かな制御（マイクロセグメンテーション）が容易に実装できます。

2. MFA（多要素認証）の強制は義務: VPNを使い続けるなら、MFAは必須です。「面倒くさい」「ガラケーの社員がいる」という理由でMFAを外している場合、それは「会社の鍵をポストに入れている」のと同じ異常事態だと認識してください。攻撃者はブルートフォース（総当たり）攻撃で容易にパスワードを突破します。

3. Geo-IPブロッキングによるフィルタリング: ファイアウォール（UTM）の設定で、業務でやり取りのない国（ロシア、北朝鮮、中国、その他東欧諸国など）からの接続をまるごと遮断します。これだけで攻撃の試行回数を大幅に減らせます。

エンドポイント対策：EPPからEDRへの完全転換

従来のアンチウイルス（EPP: Endpoint Protection Platform）は「既知のウイルスのファイルパターン（シグネチャ）」を見て検知します。しかし、最近のRaaS（Ransomware as a Service）で提供される攻撃ツールは、毎回コードの一部を書き換えてシグネチャによる検知を回避します。また、そもそもファイルを作成せずにメモリ上で動作する「ファイルレス攻撃」も一般的です。

「侵入されること」を前提に、侵入後の不審な挙動（大量のファイルへのアクセス、PowerShellでの外部通信、シャドウコピーの削除コマンド実行など）を検知して止める EDR (Endpoint Detection and Response) が必須です。

主要EDR製品比較 (SMB向け)

結論: 中小企業であれば、OfficeアプリもメールもTeamsもセキュリティも全部入りの Microsoft 365 Business Premiumへライセンスを一本化するのが、コスト対効果および管理工数の面で最適解です。

防御の要：進化するバックアップ戦略「3-2-1-1-0」

ランサムウェア攻撃者は、PCを暗号化する前に、まず「バックアップ」を破壊しに来ます。ネットワーク上のNASにアクセスし、バックアップデータを削除したり暗号化したり、管理画面に入ってボリュームごと初期化したりして、「金を払うしかない」状況を作り出します。

従来の「3-2-1ルール（3つのコピー、2つの異なる媒体、1つのオフサイト）」では足りないのです。現代の正解は 「3-2-1-1-0ルール」です。

• 3: データは3つ持つ（本番 + バックアップ2つ）
• 2: 2種類の異なるメディアを使う
• 1: 1つはオフサイト（クラウドなど遠隔地）に置く
• 1: 1つはイミュータブル（書き換え不能）またはオフラインにする
• 0: バックアップの復元エラーを0にする（定期的な復元テスト）

「イミュータブル（Immutable）」の実装：Synology NAS + クラウド

多くの中小企業で導入されているSynology NASでも、この強固なバックアップ構成が組めます。

1. BtrfsスナップショットとImmutable設定: Synologyの「Snapshot Replication」機能を使い、共有フォルダのスナップショット（その時点のデータ写真）を定期的に撮ります。DSM 7.2以降では、このスナップショットに 「Immutable（不可変）」設定を付与できます。これを設定すると、管理者特権（root権限）を奪われても、指定した期間（例：14日間）は誰も、いかなるコマンドを使ってもスナップショットを削除できなくなります。これが「論理的なオフラインバックアップ」として機能します。

2. Wasabi Hot Cloud Storageへのオブジェクトロック転送: NAS自体が物理的に破壊されるリスクや、NAS自体のOS脆弱性を突かれるリスクに備え、安価なクラウドストレージWasabi（Amazon S3互換。GB単価が非常に安い）へバックアップします。ここでもS3の機能である 「Object Lock」を有効にします。これにより、クラウド上のデータも指定期間は削除・変更が一切できなくなります。

「HDDを毎日交換して金庫に入れる」という物理オフライン運用も最強ですが、人手に頼る運用はいつか必ず「交換忘れ」や「紛失」を起こします。システム的に「消せない設定」を施すのが現代の正解です。

OSSで実践する「集団的自衛権」：CrowdSec

ここまで守りを固めても、攻撃者は次々と新しいIPアドレスから、休むことなく攻撃を仕掛けてきます。これに対して「自分のサーバーのログだけ」を見て防御するのは限界があります。

ここで紹介するオープンソースツール CrowdSecは、世界中のユーザーで攻撃情報を共有する「セキュリティ版Waze（交通情報共有アプリ）」のようなシステムです。

従来のFail2Banは「自分のログを見て、失敗回数が多いIPをBANする」だけでした。CrowdSecは違います。誰かのサーバーがあるIPアドレスからSSH総当たり攻撃を受けると、そのIP情報（Signal）がCrowdSecの中央データベースに送られます。すると、世界中のCrowdSecユーザーのブロックリストにそのIPが即座に配信され、あなたのサーバーが攻撃を受ける前にブロックできるのです。

Docker Composeによる導入例

社内のWebサーバーや、外部公開しているLinuxサーバー（SSH踏み台など）に導入する例です。Webサーバー（Nginxなど）のログを監視して、攻撃IPをFirewallレベルで遮断します。

ディレクトリ構成:

.
├── compose.yaml
└── crowdsec/
    ├── config/
    └── data/

compose.yaml:

services:
  crowdsec:
    image: crowdsecurity/crowdsec:latest
    container_name: crowdsec
    environment:
      GID: "${GID-1000}"
      # 初回起動時にLinuxとNginxの検知コレクション(検知ルール集)を取得
      COLLECTIONS: "crowdsecurity/linux crowdsecurity/nginx"
    volumes:
      - ./crowdsec/config:/etc/crowdsec:rw
      - ./crowdsec/data:/var/lib/crowdsec/data:rw
      # ホスト側のログを読み込ませる(パスは環境に合わせて変更)
      - /var/log/auth.log:/var/log/auth.log:ro
      - /var/log/nginx:/var/log/nginx:ro
    restart: always

  # ファイアウォール(iptables/nftables)を制御するBouncer
  cs-firewall-bouncer:
    image: crowdsecurity/firewall-bouncer-docker:latest
    container_name: cs-firewall-bouncer
    environment:
      # CrowdSecコンテナのAPIキーを設定(初回起動後に取得して設定)
      API_KEY: "${API_KEY}"
      # CrowdSecエージェントが動いているURL
      API_URL: "http://crowdsec:8080"
    volumes:
      # ブロックログなども必要であれば
      - /var/log/crowdsec-firewall-bouncer:/var/log/crowdsec-firewall-bouncer
    security_opt:
      - no-new-privileges=true
    cap_add:
      - NET_ADMIN # iptablesを操作するために必要
      - NET_RAW
    network_mode: host # ホストのFirewallを操作するためhostモード推奨
    depends_on:
      - crowdsec
    restart: always

導入手順:

1. 上記ymlを作成し、まずはCrowdSec本体だけを起動します（bouncerはコメントアウト推奨、またはAPIキー未設定でエラー待ち）。
2. 以下コマンドでBouncer用のAPIキーを生成します。

   docker compose exec crowdsec cscli bouncers add firewall-bouncer
   

3. 発行されたAPIキーを compose.yaml の API_KEY に記述し、全体を起動します。

   docker compose up -d
   

4. これで、あなたのサーバーは世界中のCrowdSecコミュニティと繋がり、危険なIPリストを自動受信してiptablesでブロックし始めます。管理不要で、勝手に防御力が上がり続ける最強の盾となります。

もし感染してしまったら：初動対応の鉄則

どれだけ対策しても、ゼロリスクにはなりません。万が一ランサムウェア踏んでしまった場合（画面に脅迫文が出た、ファイルが開けない）、以下の鉄則を守ってください。

1. LANケーブルを即座に抜く / Wi-Fiを切る: 感染したPCをネットワークから隔離し、被害の拡散を止めます。サーバーの場合はスイッチのポートを抜きます。
2. 電源は切らない（シャットダウンしない）: これが非常に重要です。電源を切ると、メモリ上にある「痕跡（攻撃の手がかり）」や、場合によっては「暗号化解除キー」がメモリから消えてしまう可能性があります。スリープまたはそのままの状態で隔離してください。
3. 身代金は払わない: 払ってもデータが戻る保証はありません（復号ツールがバグっていて動かないこともしばしばです）。また、支払うことで「カモリスト」に載り、再攻撃されるリスクが高まります。
4. バックアップからの復旧を試みる: ここで前述の「イミュータブルバックアップ」が火を吹きます。安全な時点のスナップショットからデータを書き戻します。

まとめ：情シス担当者の覚悟

ランサムウェア対策に銀の弾丸はありません。しかし、攻撃者は「コスト対効果」を考えます。侵入に手間がかかり（EDR/ZTNA）、バックアップも鉄壁で暗号化できない（Immutable）と分かれば、彼らは諦めて「もっとガードの緩い別の会社」へターゲットを移します。

悲しい現実ですが、セキュリティにおいては「隣の会社より少しだけ鍵を頑丈にする」ことが生存戦略になります。まずはVPNの見直しと、バックアップのイミュータブル化から着手してみてください。経営層には「身代金を払うより、バックアップにお金をかけた方が100倍安い」と説得しましょう。

AIに相談するためのプロンプト（テンプレート）

自社の環境に合わせて具体的なバックアップ戦略や、CrowdSecの設定を深掘りしたい場合に、AI（ChatGPT/Claudeなど）へ投げるプロンプトです。

あなたは中小企業のITセキュリティアドバイザーです。
ランサムウェア対策として、現在の自社環境における「イミュータブルバックアップ」の導入計画を立案したいです。

# 自社環境
*   ファイルサーバー: Synology NAS (DS923, DSM 7.2)
*   クラウド契約: Microsoft 365 Business Standard
*   総データ量: 約2TB
*   バックアップ予算: 月額1万円程度まで
*   現在のバックアップ: USB接続のHDDにHyper Backupで日次バックアップ（世代管理なし）

# 相談事項
1.  Synologyの「Immutable Snapshots」機能の設定手順と、注意点（ストレージ容量への影響など）を教えてください。
2.  クラウドバックアップとして「Wasabi Object Lock」を利用する場合と、S3 Glacierを利用する場合のコスト比較（2TB想定）と、復元時のスピードの観点でのメリット・デメリットを比較してください。
3.  もしMicrosoft Defender for Businessを追加で導入する場合、現在のBusiness Standardライセンスからどのようにアップグレードするのがコスト的に最適か、ライセンス体系を含めてアドバイスしてください。Business Premiumへのアップグレードと、スタンドアロン契約のどちらが良いでしょうか？