「バックアップを取っている」だけでは安心できない

ランサムウェア対策として、多くの企業がバックアップを実施しています。 しかし、実際に被害が起きたときに重要なのは、バックアップを「取っているか」ではなく、業務を再開できる状態まで復旧できるかです。

ランサムウェアは、業務データだけでなく、バックアップデータも狙うことがあります。バックアップ先が常に社内ネットワークにつながっている場合、感染端末からアクセスされ、バックアップまで暗号化される恐れがあります。

Sophosの「State of Ransomware 2025」では、ランサムウェア被害後の平均復旧コストは150万ドル、平均身代金支払額は100万ドルとされています。被害後には、復旧作業、調査、外部専門家への依頼、業務停止、顧客対応など、身代金以外にも大きなコストが発生します。

なぜバックアップが重要なのか

身代金を払わずに復旧するためには、信頼できるバックアップが必要です。 JPCERT/CCは、侵入型ランサムウェア攻撃について、攻撃者が内部ネットワークに侵入し、情報窃取やファイル暗号化を行う攻撃であると説明しています。被害を受けた場合は、被害範囲や侵入経路を確認し、安全な復旧を進める必要があります。

FBIも、ランサムウェア対策として、データを定期的にバックアップし、バックアップが完了していることを確認し、バックアップを保護してネットワークから切り離すことを推奨しています。

危険なバックアップの例

次のような状態では、バックアップがあっても安心できません。

バックアップは、保存して終わりではありません。
攻撃を受けた後でも安全に使える状態にしておくことが重要です。

復旧できるバックアップの作り方

ネットワークから切り離して保管する

バックアップは、通常の社内ネットワークから直接アクセスできない場所に保管することが重要です。
外付け媒体、オフライン保管、クラウドバックアップ、イミュータブルストレージなど、攻撃者が簡単に削除・暗号化できない仕組みを検討します。

複数世代を保存する

ランサムウェアは、感染してすぐに気づくとは限りません。
感染後のデータがバックアップされてしまう場合もあります。

そのため、直近の1世代だけでなく、日次、週次、月次など複数世代のバックアップを残しておく必要があります。

復元テストを定期的に行う

バックアップは、復元できて初めて意味があります。
「バックアップ成功」と表示されていても、必要なデータが含まれていない、復旧手順が分からない、復元に想定以上の時間がかかる、というケースがあります。

重要なシステムについては、定期的に復元テストを行いましょう。

復旧優先順位を決める

ランサムウェア被害時には、すべてのシステムを同時に復旧することは難しい場合があります。

たとえば、以下のように優先順位を決めておくと、復旧判断がしやすくなります。

バックアップ環境の権限を制限する

バックアップ環境に誰でもアクセスできる状態では、攻撃者に削除される危険があります。
管理者権限を必要最小限にし、通常業務用アカウントとバックアップ管理用アカウントを分けることが重要です。

バックアップ設計で確認すべき項目

まとめ

ランサムウェア対策におけるバックアップは、最後の砦です。 ただし、バックアップを取っているだけでは不十分です。 重要なのは、攻撃を受けても暗号化されず、必要なデータを、必要な時間内に復旧できることです。

復旧できるバックアップを整備しておけば、身代金を払わずに業務再開できる可能性が高まります。 平時のうちに、バックアップの保存方法、復元テスト、復旧優先順位を見直しておきましょう。