ランサムウェア対策完全ガイド2026：中小企業が今すぐやるべき5つの対策
2025年以降、ランサムウェアによる被害は大企業だけでなく従業員10〜100名規模の中小企業に集中しています。警察庁の発表によると、国内のランサムウェア被害報告は年々増加しており、被害企業の多くが「まさか自分たちが標的になるとは思わなかった」と話しています（）。
本記事では専任IT担当者がいない中小企業を対象に、優先度別の対策フレームワークと月2万円以内の実装ロードマップを具体的に解説します。
目次
- なぜランサムウェアは中小企業を狙うのか
- 対策の優先度フレームワーク（3段階）
- 対策1：バックアップ戦略（3-2-1ルール）
- 対策2：OS・ソフトウェアの更新プロセス
- 対策3：パスワードとMFA
- 対策4：エンドポイント保護（Malwarebytes vs Windows Defender）
- 対策5：ネットワーク監視・VPN（オプション）
- 中小企業向け実装ロードマップ（Month 1-3）
- 費用シミュレーション：会社規模別
- 感染した場合の対応フロー
- よくある質問（FAQ）
なぜランサムウェアは中小企業を狙うのか
ランサムウェア攻撃者が中小企業を標的にする理由は明確です。
攻撃者の視点：
- セキュリティ投資が少なく侵入しやすい
- バックアップ体制が不十分で身代金を払いやすい
- 大企業のサプライチェーン（取引先）として攻撃の踏み台になる
よくある侵入経路：
| 侵入経路 | 割合（目安） | 対策 |
|---|---|---|
| フィッシングメール | 約40% | メールフィルタ + 社員教育 |
| VPN・RDPの脆弱性 | 約30% | パッチ更新 + MFA |
| 不正なソフトウェア | 約15% | エンドポイント保護 |
| 内部からの漏洩 | 約10% | アクセス権限管理 |
| その他 | 約5% | — |
対策の優先度フレームワーク（3段階）
限られた予算・人員で最大の効果を得るために、以下の3段階で優先順位をつけます。
■ 第1段階：必須（Month 1 / 低コスト）
- バックアップの整備（3-2-1ルール）
- OS・ソフトウェアの自動更新設定
- 全アカウントへのMFA設定
■ 第2段階：推奨（Month 2 / 中コスト）
- エンドポイント保護ソフトの導入（Malwarebytes等）
- パスワードマネージャー全社展開
■ 第3段階：オプション（Month 3〜 / 予算次第）
- ネットワーク監視・VPN
- 社員向けセキュリティ研修
- インシデント対応手順書の整備
対策1：バックアップ戦略（3-2-1ルール）
ランサムウェア対策の最後の砦はバックアップです。身代金を払わずに復旧できるかどうかは、バックアップの質で決まります。
3-2-1ルールとは
- 3：データのコピーを3つ保持する
- 2：2種類の異なるメディア（例：外付けHDD＋クラウド）
- 1：1つはオフサイト（別拠点またはクラウド）に保管
重要：バックアップをネットワーク接続から切り離す
ランサムウェアはネットワーク上の共有フォルダやNASも暗号化します。外付けHDDはバックアップ後に必ず切断し、クラウドバックアップはバージョン管理付き（誤って暗号化されたファイルを以前の版に戻せる）のサービスを選びましょう。
| バックアップ先 | コスト | ランサムウェア耐性 | 推奨度 |
|---|---|---|---|
| 外付けHDD（切断管理） | 低 | ◎ | ○ |
| クラウド（Backblaze等） | 低〜中 | ○（バージョン管理必須） | ◎ |
| NAS（常時接続） | 中 | ✗ 危険 | ✗ |
| テープバックアップ | 高 | ◎ | 大企業向け |
対策2：OS・ソフトウェアの更新プロセス
既知の脆弱性を悪用した攻撃の多くは、パッチ（更新プログラム）を適用していれば防げたものです。
設定方法（Windows）
- 「設定」→「Windows Update」→「詳細オプション」
- 「更新プログラムを受け取ったらすぐダウンロードしてインストールする」を有効化
- アクティブ時間（業務時間）を設定して再起動のタイミングを管理
チェックすべきソフトウェア
- OS（Windows / macOS）
- ブラウザ（Chrome / Edge / Firefox）
- Office / PDF閲覧ソフト
- VPN クライアント・リモートデスクトップ（特に重要：侵入口になりやすい）
- ファームウェア（ルーター・ネットワーク機器）
ポイント： VPNやリモートデスクトップ（RDP）の未更新はランサムウェアの主要侵入口です。外部公開しているサービスから優先的に更新してください。
対策3：パスワードとMFA
フィッシングや認証情報の漏洩経由での侵入を防ぐには、強力なパスワード＋多要素認証の組み合わせが必須です。
パスワードマネージャーの全社展開
全社員が「記憶できる強いパスワード」を使うことは現実的ではありません。NordPass Businessのようなパスワードマネージャーを使えば、各サービスに異なる強力なパスワードを自動生成・保存できます。
MFA（多要素認証）の優先設定先
- VPN・リモートアクセス（最優先）
- Microsoft 365 / Google Workspace
- 会計・経理ソフト
- インターネットバンキング
MFAの設定方法は二段階認証完全ガイドを参照してください。
対策4：エンドポイント保護（Malwarebytes vs Windows Defender）
「Windows Defenderだけで十分か？」は中小企業で最もよく受ける質問です。結論：基本は十分ですが、ランサムウェア対策には専用機能が有効です。
比較表
| 機能 | Windows Defender | Malwarebytes Premium |
|---|---|---|
| ウイルス検出率 | 99〜100% | 99〜100% |
| ランサムウェア専用エンジン | △（基本機能のみ） | ◎（Anti-Ransomware専用） |
| ロールバック機能 | ✗ | ✓（感染前状態に復元） |
| 誤検知率 | 低 | 非常に低 |
| 管理コンソール | △（Intuneが別途必要） | ○（Malwarebytes Nebula） |
| PC負荷 | 低 | 低〜中 |
| コスト（1台/年） | 無料 | 約4,500円 |
| 法人向け | Defender for Business（別途） | Teams版あり |
30名規模SMBへの推奨構成
- 第1段階（無料）： Windows Defender + 自動更新有効化
- 第2段階（推奨）： Malwarebytes for Teams（集中管理コンソール付き、ランサムウェアロールバック機能が最大の利点）
対策5：ネットワーク監視・VPN（オプション）
テレワーク環境や社外からの社内アクセスがある場合、VPNは必須です。
社内ネットワークの監視（異常なファイルアクセスの検知）は、Microsoftの「Defender for Business」やSIEM製品が対応しますが、中小企業では第2〜3段階の施策として位置づけるのが現実的です。
中小企業向け実装ロードマップ（Month 1-3）
Month 1：無料でできる必須対策（0円）
- Windowsの自動更新を有効化（全PC）
- バックアップを設定（3-2-1ルール）
- 全社員のMicrosoft/Googleアカウントにドキュメントにあるよう設定
- VPN・RDPのパッチ確認
- フィッシングメールの見分け方を社内共有
Month 2：ツール導入（月1〜3万円）
- パスワードマネージャー全社展開（NordPass Business等）
- エンドポイント保護の強化（Malwarebytes Teams）
- クラウドバックアップ導入
Month 3：体制整備
- インシデント対応手順書の作成
- 定期的なセキュリティチェックのスケジュール化
- 取引先への対策状況の報告（サプライチェーン要件対応）
費用シミュレーション：会社規模別
10名規模（月額目安）
| 項目 | 月額コスト |
|---|---|
| バックアップ（クラウド） | 1,000〜2,000円 |
| パスワードマネージャー | 約2,000円 |
| エンドポイント保護 | 約4,500円 |
| 合計 | 約7,500〜8,500円/月 |
30名規模（月額目安）
| 項目 | 月額コスト |
|---|---|
| バックアップ（クラウド） | 3,000〜5,000円 |
| パスワードマネージャー | 約6,000円 |
| エンドポイント保護（Malwarebytes Teams） | 約10,000円 |
| 合計 | 約19,000〜21,000円/月 |
価格は参考値です。各公式サイトで最新価格をご確認ください。
感染した場合の対応フロー
万が一感染した場合の初動対応：
- 即座にネットワークから切断（LANケーブルを抜く / Wi-Fiオフ）
- 被害範囲の確認（どのPCが影響を受けているか）
- バックアップの確認（感染していない直近のバックアップはいつか）
- 警察・IPA（情報処理推進機構）への報告
- 専門業者への相談（復旧 vs 再インストール判断）
重要： 身代金は絶対に支払わないことを推奨します。支払っても復号されないケースが多く、支払いが新たな攻撃を招く可能性があります。
IPAの「情報セキュリティ安心相談窓口」（0120-518-666）に相談できます（最新情報は公式サイトでご確認ください）。
よくある質問（FAQ）
Q. Windows Defenderだけでランサムウェアは防げますか？
A. 基本的な防御は可能ですが、ランサムウェア専用のロールバック機能はありません。Malwarebytesのような専用ツールを追加することで、感染時の復旧能力が大幅に向上します。
Q. クラウドバックアップでランサムウェアからデータを守れますか？
A. バージョン管理機能があれば有効です。OneDrive・Google Drive・Backblaze B2等はバージョン管理に対応しており、暗号化前のファイルに戻すことができます。ただし保持期間の設定を確認してください。
Q. 身代金を払えば必ずデータは戻りますか？
A. 戻らないケースも多数報告されています。また支払いが次の攻撃を呼ぶリスクもあります。バックアップからの復旧を最優先してください。
Q. 中小企業にMSP（マネージドサービスプロバイダー）は必要ですか？
A. IT担当者がいない場合は検討価値があります。月3〜10万円程度でセキュリティ管理を丸ごと委託できます。まず自社で第1段階の対策を実施してから判断することをおすすめします。
Q. サプライチェーン攻撃（取引先経由）はどう防ぎますか？
A. 取引先からのメール添付ファイルは特に注意が必要です。不審なメールの開封前に確認する文化の醸成と、メールフィルタリングツールの導入が有効です。
まとめ：今日からできるランサムウェア対策チェックリスト
□ Windowsの自動更新を有効化した
□ 3-2-1バックアップを設定した（オフラインコピーあり）
□ 重要アカウントにMFAを設定した
□ VPN/RDPのパッチを確認した
□ パスワードマネージャーを導入した（または検討中）
□ エンドポイント保護を評価した（Malwarebytes等）
□ 感染時の連絡先リストを作成した
まず月0円でできるMonth 1の対策から着手してください。完璧なセキュリティより、基本対策の確実な実施が中小企業には最も効果的です。