ランサムウェアは、端末やサーバー内のデータを暗号化し、復旧と引き換えに身代金を要求するサイバー攻撃です。近年は、暗号化に加えて事前に情報を窃取し、窃取した情報の公開を示唆して身代金を要求する二重脅迫型ランサムウェアによる被害が相次いでいます。

この攻撃では、システム停止だけでなく、機密情報や個人情報の漏えい、企業の信用低下など、事業継続にも大きな影響を及ぼす可能性があります。そのため、バックアップだけでなく、侵入対策や情報漏えい対策、従業員教育まで含めた多層的な対策が重要です。

本記事では、二重脅迫型ランサムウェアの仕組みや従来型との違い、企業に起こり得る被害を整理するとともに、技術・人的両面から必要な対策を解説します。

二重脅迫型ランサムウェアとは、攻撃者が企業のネットワークへ侵入し、顧客情報や機密情報などを外部へ持ち出したあと、端末やサーバー内のデータを暗号化して身代金を要求する攻撃です。「データを復旧したければ支払え」という要求に加え、「情報を公開されたくなければ支払え」と二重に脅迫する点が特徴で、バックアップから復旧できても、情報漏えいのリスクが残る可能性があります。

従来のランサムウェアはデータの暗号化による業務停止が主な脅威でした。一方、二重脅迫型では情報漏えいへの対応も必要となるため、システム復旧だけでは被害を収束できないケースも少なくありません。

実際の被害件数を見ても、ランサムウェアは依然として高い水準で発生しています。警察庁が公表している『令和7年におけるサイバー空間をめぐる脅威の情勢等について』では、2025年（令和7年）に確認されたランサムウェア被害のうち、手口が判明した153件では、136件が二重脅迫型でした。

また、過去5年間（令和3年〜令和7年）で見ても、二重脅迫型は578件と全体の約8割を占めています。従来型ランサムウェアから、情報窃取と公開脅迫を組み合わせた二重脅迫型へと、攻撃手法の主流が変化していることが分かります。

▼手口別のランサムウェア被害報告件数

画像引用元：警察庁サイバー警察局『令和7年におけるサイバー空間をめぐる脅威の情勢等について』

従来型ランサムウェアでは、データの暗号化による業務停止が主な被害でした。一方、二重脅迫型では、データの復旧に加えて情報漏えいへの対応も必要になります。バックアップではシステムを復旧できても、窃取された情報の公開リスクは残るため、侵入防止や情報窃取の早期検知まで含めた対策が欠かせません。

出典：警察庁サイバー警察局『令和7年におけるサイバー空間をめぐる脅威の情勢等について』

従来型ランサムウェアと二重脅迫型ランサムウェアの主な違いは、攻撃者が暗号化だけでなく、窃取した情報を利用して追加の脅迫を行う点にあります。

従来型ランサムウェアでは、データを暗号化して業務を停止させ、復旧と引き換えに身代金を要求する手口が一般的でした。適切なバックアップを取得していれば、攻撃者との交渉を避けながらデータを復旧し、被害を抑えられる可能性があります。

一方、二重脅迫型ランサムウェアでは、暗号化されたデータを復旧できたとしても、事前に窃取された情報が公開されるリスクが残ります。個人情報や機密情報が流出した場合は、影響範囲の調査や関係者への通知、取引先への説明など、復旧以外の対応も必要になります。

そのため、二重脅迫型ランサムウェアへの対策では、バックアップによる復旧体制の整備だけでなく、ネットワークへの侵入防止、異常な挙動の早期検知、情報持ち出しの監視など、複数の対策を組み合わせることが重要です。

二重脅迫型ランサムウェアによる被害は、データの暗号化による業務停止だけにとどまりません。情報漏えい、取引先への影響、企業の信用低下などが複合的に発生し、システム復旧後も長期的な対応が必要になる可能性があります。

二重脅迫型ランサムウェアの攻撃を受けると、ファイルサーバーや基幹システム、業務端末などが暗号化され、利用できなくなる可能性があります。

受発注、生産、出荷、在庫管理、顧客対応などに必要なシステムが停止すると、通常業務の継続が困難になります。また、自社の業務だけでなく、納品遅延やサービス停止を通じて、取引先や顧客にも影響が及ぶおそれがあります。

復旧するには、被害範囲の調査、感染端末の隔離、システムの再構築、データ復元など、多くの作業が必要です。攻撃者によってバックアップまで暗号化・削除されていた場合は、復旧がさらに難しくなる可能性があります。

システム停止が長期化すると、復旧費用や調査費用に加えて、売上機会の損失や代替業務にかかる人件費なども発生します。そのため、バックアップは取得するだけでなく、通常のネットワークから分離して保管し、定期的に復元できるか確認しておくことが重要です。

二重脅迫型ランサムウェアでは、データを暗号化する前に、顧客情報、従業員情報、設計資料、契約書、取引記録などの重要情報が窃取される可能性があります。

攻撃者は、窃取した情報を公開すると脅迫し、身代金の支払いを要求します。実際に情報が公開された場合、顧客や従業員、取引先など第三者にも被害が広がるおそれがあります。

企業は、どの情報が持ち出された可能性があるのか、対象者や影響範囲を調査する必要があります。情報の内容によっては、関係者への通知や公表、監督機関への報告などの対応も求められます。

また、バックアップからシステムを復旧できたとしても、窃取された情報は攻撃者側に残っている可能性があります。そのため、復旧後も情報漏えいに関する調査や対応を継続しなければなりません。

二重脅迫型ランサムウェアによって窃取された情報には、取引先の担当者情報、契約内容、メールのやり取りなどが含まれる場合があります。

これらの情報が悪用されると、取引先を装ったフィッシングメールの送信や、不正な請求書の作成など、別の攻撃につながる可能性があります。

また、委託元・委託先とシステムやデータを共有している場合、一社で発生した被害がサプライチェーン全体へ波及するおそれがあります。自社の情報だけでなく、預かっていた顧客や取引先の情報を漏えいさせた場合、契約関係や取引継続にも影響を及ぼす可能性があります。

ランサムウェア被害によってサービス停止や情報漏えいが発生すると、顧客や取引先からの信用を損なう可能性があります。

被害後は、原因や影響範囲の調査、公表内容の検討、問い合わせ対応、再発防止策の策定など、さまざまな対応が必要になります。

また、企業が負担する損失は、攻撃者が要求する身代金だけではありません。以下のような複数のコストが発生する可能性があります。

• システムの復旧・再構築費用

• 外部専門家による調査費用

• 法的対応にかかる費用

• 売上機会の損失

• 顧客対応に必要な人件費

二重脅迫型ランサムウェアは、端末へ侵入してすぐに暗号化を行うとは限りません。攻撃者は、VPN機器やフィッシングメールなどを入口としてネットワークへ侵入し、内部で権限とアクセス範囲を広げたあと、情報窃取と暗号化を実行します。

更新されていないVPN機器や外部公開サーバーは、二重脅迫型ランサムウェアの侵入口になる可能性があります。既知の脆弱性が残されたままインターネットへ公開されていると、攻撃者に悪用され、社内ネットワークへの接続を許してしまうおそれがあります。

外部から利用できるリモートデスクトップなどの接続環境も攻撃対象です。強度の低いパスワードや、過去の情報漏えいによって流出したID・パスワードが使われ、不正ログインされる場合があります。

特に、多要素認証が設定されていない環境では、認証情報を取得した攻撃者が正規の利用者を装って侵入しやすくなります。企業は、VPN機器やリモート接続サービス、外部公開サーバーなどを定期的に棚卸しし、不要な接続経路やアカウントを停止する必要があります。

取引先や社内担当者を装ったフィッシングメールも、二重脅迫型ランサムウェアの侵入経路になり得ます。請求書、見積書、契約書、共有資料などに見せかけた添付ファイルを開かせ、不正なプログラムを実行させる手口です。

メール本文のリンクから偽のログイン画面へ誘導し、業務アカウントの認証情報を入力させる場合もあります。盗まれたID・パスワードは、VPNやクラウドサービス、社内システムへの不正ログインに利用される可能性があります。

実在する取引先や、日常的な業務連絡に似せたメールほど、従業員が攻撃だと判断するのは容易ではありません。メールフィルタリングなどの技術対策をすり抜けた攻撃を入口で止めるには、送信元やリンク先を確認し、不審な場合は操作を止める従業員の判断も重要です。

攻撃者はネットワークへ侵入すると、最初に侵害した端末を足掛かりとして、ほかの端末やサーバーへの移動を試みます。端末内に保存された認証情報などを収集し、管理者権限を取得することで、アクセスできる範囲を広げていきます。

その後、顧客情報、従業員情報、契約書、設計資料など、脅迫に利用できるデータを探索します。発見した情報を外部へ大量に転送し、支払いに応じない場合に公開するための材料として確保します。

情報窃取の過程で、ログ監視やセキュリティ機能を停止したり、復旧を妨げるためにバックアップを削除・無効化したりする場合もあります。最後に複数の端末やサーバーを暗号化し、データの復旧と情報の非公開を条件に身代金を要求します。

不審なメールやリンクを開いた時点で、目立った異常が現れるとは限りません。偽のログイン画面へ認証情報を入力しても、その場では通常どおり業務を続けられる場合があります。

一方で、端末の動作が急に遅くなる、覚えのないログイン通知が届く、自分で操作していない多要素認証の承認を求められるといった変化が、攻撃の兆候になることがあります。こうした違和感を早期に報告できれば、情報窃取や暗号化が行われる前に、アカウント停止や端末隔離などの対応を取れる可能性があります。

企業では、「システム障害や暗号化が起きてから報告する」のではなく、「不審なメールを開いた」「認証情報を入力した」「見覚えのない認証要求が届いた」といった段階で報告するルールを整えることが重要です。誤操作を責めず、早期報告を評価する運用が、被害拡大の防止につながります。

二重脅迫型ランサムウェアを防ぐには、侵入経路を減らす技術対策に加えて、情報窃取や横展開を早期に検知する仕組みが必要です。あわせて、従業員が不審な操作や通知に気付き、被害が表面化する前に報告できる体制を整えることも重要です。

まずは、攻撃者が社内ネットワークへ侵入する経路を減らします。VPN機器、OS、業務で利用するソフトウェアを最新の状態に保ち、既知の脆弱性を放置しないことが基本です。

インターネットからアクセスできるVPN機器、外部公開サーバー、クラウドサービスなどは定期的に棚卸しします。利用していないアカウントやポート、リモート接続環境が残っていると、攻撃者に侵入経路として悪用される可能性があります。

VPN、クラウドサービス、管理画面には多要素認証を設定し、ID・パスワードだけでログインできないようにします。メール経由の攻撃に備えて、メールフィルタリングや添付ファイル・URLの検査を行うことも必要です。

さらに、EDRやログ監視を活用し、通常とは異なるログイン、不審なプログラムの実行、見慣れない端末からのアクセスなどを検知できる環境を整えます。

二重脅迫型ランサムウェアでは、端末やサーバーが暗号化される前に、重要な情報を外部へ持ち出される可能性があります。そのため、暗号化対策やバックアップだけでなく、情報窃取を防止・検知する視点が欠かせません。

アクセス権限や管理者権限は、業務上必要な範囲に限定します。ネットワークを分離し、侵害された端末から重要なサーバーやほかの拠点へ横展開されにくい構成にすることも有効です。

大量のデータ転送や、通常とは異なる時間帯・場所からのアクセスを監視し、不審な動きを早期に確認できるようにします。重要情報がどのシステムに保存され、誰がどの経路からアクセスできるのかを把握しておくことも重要です。

バックアップは通常のネットワークから分離して保管し、定期的に復元できるか確認します。ただし、二重脅迫型では、バックアップから復旧しても情報漏えいのリスクが残ります。情報が持ち出された場合を想定し、影響範囲の調査、関係者への連絡、公表などの手順もあらかじめ準備しておく必要があります。

従来型ランサムウェアへの教育では、不審な添付ファイルを開かないことや、バックアップの重要性が中心となる傾向がありました。二重脅迫型では、それに加えて、認証情報の窃取や侵入後の情報持ち出しも教育の対象にする必要があります。

例えば、覚えのないログイン通知や、自分で操作していない多要素認証の承認要求が届いた場合は、攻撃者がアカウントへの侵入を試みている可能性があります。従業員には、安易に承認せず、速やかに社内の担当部署へ報告するよう周知します。

また、誤って不審なリンクを開いたり、偽サイトへ認証情報を入力したりしても、その場では異常が起きない場合があります。そのため、「端末が感染したかどうか」ではなく、「不審な操作をしたかどうか」を報告の基準にすることが重要です。

誤操作をした従業員を責める運用では、報告が遅れ、攻撃者に情報窃取や横展開の時間を与える可能性があります。早期報告を評価し、情報システム部門が迅速にアカウント停止や端末確認を行える体制を整える必要があります。

座学だけでは、メールの操作や認証情報の入力が、数日後の情報漏えいや業務システムの停止へどのようにつながるのかを実感しにくい場合があります。実務に近い疑似体験を通じて、日常的な判断と組織全体の被害の関係を学ぶことが有効です。

『セキュアプラクティス®』では、ランサムウェア被害を題材としたシナリオを用意しています。「BLACKSUIT（被害体験）編」や「LOCKBIT（被害体験）編」を通じて、端末やサーバーの暗号化だけでなく、情報漏えいや事業停止が企業へ与える影響を学習できます。

また、取引先を装ったメールから偽サイトへ誘導され、認証情報を入力した後に業務システムが停止する「Qilinランサムウェア」のシナリオも提供しています。攻撃の入口となる操作から被害が表面化するまでの流れを体験することで、異常が起きていない段階で報告する重要性を理解しやすくなります。

フィッシングや標的型攻撃メールなど、ランサムウェアの侵入経路となる手口についても学べます。管理者側では履修状況を確認できるため、対象者への受講案内や未受講者の確認など、組織的なセキュリティ教育にも活用しやすい仕組みです。

二重脅迫型ランサムウェアは、データを暗号化して業務を停止させるだけでなく、事前に窃取した情報を公開すると脅し、企業へ身代金の支払いを迫る攻撃です。バックアップからシステムやデータを復旧できたとしても、攻撃者の手元に情報が残っていれば、情報公開や悪用のリスクは解消されません。

被害が発生すると、システム停止に加えて、個人情報や機密情報の漏えい、顧客・取引先への説明、問い合わせ対応、企業の信用低下など、複数の問題へ発展する可能性があります。

企業には、VPN機器やソフトウェアの更新、多要素認証、適切な権限管理、EDRやログ監視、通常環境から分離したバックアップなどの対策が必要です。あわせて、大量のデータ転送や不審なアクセスを検知する仕組みを整え、情報漏えいを想定した調査・連絡・公表の手順も準備しておく必要があります。

ただし、不審なメールを開くか、偽サイトへ認証情報を入力するか、あるいは違和感に気付いて報告できるかは、従業員一人ひとりの判断に左右されます。被害を抑えるには、明確な異常が起きてからではなく、不審な操作をした時点で報告できる体制づくりが重要です。

『セキュアプラクティス®』では、ランサムウェア被害を題材とした複数のシナリオを用意しています。疑似体験を通じて、「気付く・操作を止める・異常がなくても報告する」という行動を学び、二重脅迫型ランサムウェアへの備えを組織全体に定着させることができます。