ランサムウェア対策｜中小企業が今すぐ実践すべき具体的手順【2026年版】

要点

• 2025年に警察庁へ報告されたランサムウェア被害の約6割は従業員300名以下の中小企業が占めており、2026年も引き続き最大の標的です
• 本記事では「パッチ管理→バックアップ→EDR→インシデント対応BCP」の4段階で、予算月額500円/人〜で始められる具体的手順を解説します
• 稟議書にそのまま転記できるROI試算・コンプライアンス根拠・導入実績データも掲載しています

Malwarebytes のEDRソリューションで今すぐランサムウェア対策を始める

この記事でわかること

1. 2026年に中小企業がランサムウェアに狙われる理由と最新の感染経路
2. 予算・人員が限られた環境でも実践できる4段階の具体的対策手順
3. EDR（Endpoint Detection and Response）やバックアップの正しい選び方
4. 感染してしまった場合のインシデント対応BCP（事業継続計画）の作り方
5. 上長承認を得るための稟議書に使えるROI・コンプライアンス根拠

ランサムウェアとは？2026年に中小企業が最大の標的になる理由

ランサムウェア（Ransomware）とは、企業のデータを暗号化し、復号と引き換えに身代金を要求するマルウェア（悪意あるソフトウェア）の総称です。近年は「二重脅迫（ダブルエクストーション）」と呼ばれる手口が主流となり、暗号化に加えてデータの公開をちらつかせる攻撃が増えています。

警察庁の「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害報告の約6割が従業員300名以下の企業から寄せられています（※最新の正確な数値は警察庁公式発表でご確認ください）。大企業と比べてセキュリティ投資が限られ、専任担当者がいない中小企業は、攻撃者にとって「低コスト・高成功率」のターゲットです。

2026年の注目すべき傾向として、以下の3つの感染経路が特に危険度を増しています。

特にVPN機器のファームウェア未更新が最大の侵入口となっている点は、リモートワークを継続する中小企業にとって見過ごせないリスクです。

中小企業向けランサムウェア対策の具体的手順【4段階ロードマップ】

予算と人員が限られた中小企業でも、以下の4段階を順番に実施することで、ランサムウェアのリスクを大幅に低減できます。

ステップ1：パッチ管理とアクセス制御（初期コスト：ほぼ0円）

最もコストパフォーマンスが高い対策が、OS・ソフトウェア・VPN機器のアップデートを「72時間以内に適用する」運用ルールの策定です。

具体的な手順は以下の通りです。

• Windows Update の自動適用ポリシーをグループポリシー（GPO）またはMDM（モバイルデバイス管理）で強制設定します
• VPN機器（FortiGate、Yamaha RTXシリーズ等）のファームウェア更新を月次でチェックし、緊急パッチは72時間以内に適用します
• RDPポート（3389番）を外部公開している場合は即座に閉鎖し、VPN経由のアクセスに切り替えます
• 多要素認証（MFA：Multi-Factor Authentication） をVPN・メール・クラウドサービスすべてに導入します

この段階だけで、ランサムウェア感染リスクの約50%を低減できるとされています。

ステップ2：バックアップ体制の構築（月額1,000〜5,000円/台）

ランサムウェアに感染しても、適切なバックアップがあれば身代金を支払わずに復旧できます。業界標準の「3-2-1ルール」を必ず守りましょう。

特に重要なのは、バックアップデータを「イミュータブル（Immutable＝変更不可）」な状態で保管することです。ランサムウェアはバックアップデータも暗号化しようとするため、書き換え不可能な保管方式を選んでください。

また、バックアップからの復旧テストを四半期に1回は必ず実施しましょう。復旧できないバックアップは「存在しないのと同じ」です。

ステップ3：EDR導入によるリアルタイム防御（月額300〜800円/台）

従来型のアンチウイルスソフトでは、未知のランサムウェアを検知できないケースが増えています。EDR（Endpoint Detection and Response）は、端末上の不審な挙動をリアルタイムで検知・隔離する次世代型の防御ソリューションです。

中小企業向けEDRを選ぶ際の3つのポイントを押さえましょう。

• 管理コンソールがクラウド型で、専任管理者不要であること
• ランサムウェアのロールバック（復元）機能を搭載していること
• 月額500〜800円/台の価格帯で、10ライセンスから導入できること

Malwarebytes ThreatDown は、中小企業に特化したEDRソリューションとして、管理コンソールの日本語対応・ランサムウェアロールバック機能・月額約500円/台からの価格設定で、国内での導入実績を伸ばしています。

Malwarebytes ThreatDown の料金・機能詳細を確認する

ステップ4：インシデント対応BCP（事業継続計画）の策定（コスト：人件費のみ）

多くの競合記事が見落としている最重要ステップが、「感染した後」を想定したBCP（Business Continuity Plan）の策定です。

以下のテンプレートを自社用にカスタマイズしてください。

重要：身代金は絶対に支払わないでください。 支払っても復号キーが提供される保証はなく、反社会的勢力への資金提供として法的リスクを負う可能性があります。

料金プラン比較：中小企業向けランサムウェア対策ツール

※ 価格は2026年3月時点の公開情報に基づく概算です。為替変動やプラン改定により変更される場合があります。最新の正確な価格は各公式サイトでご確認ください。

Malwarebytes ThreatDown の最新プラン・無料トライアルを確認する

競合製品との詳細比較

メリット・デメリット：中小企業がEDRでランサムウェア対策を行う場合

メリット

• ✅ 未知のランサムウェアも挙動ベースで検知・ブロックできるため、パターンファイル更新の遅延リスクを回避できます
• ✅ ランサムウェアロールバック機能により、暗号化されたファイルを感染前の状態に自動復元できます
• ✅ クラウド管理コンソールで全端末を一元管理でき、専任セキュリティ担当者がいなくても運用可能です
• ✅ 月額500円/台からと、従来型UTM（統合脅威管理）導入と比較して初期コストを約70%削減できます

デメリット

• ⚠️ ネットワーク層の防御（UTM・ファイアウォール）はEDRだけではカバーできないため、既存機器との併用が必要です
• ⚠️ 海外ベンダーの場合、日本語サポートの対応時間が限られるケースがあります
• ⚠️ 全端末への展開時に一時的にシステム負荷が上がる場合があるため、業務時間外のインストールを推奨します

こんな企業・ユーザーにおすすめ

パターン1：専任のセキュリティ担当者がいない企業（従業員10〜50名）

情シス担当が総務や経理と兼務している企業には、管理画面がシンプルで導入が1日で完了するMalwarebytes ThreatDownが最適です。ランサムウェアロールバック機能が標準搭載されているため、万が一の感染時にも自動復旧が期待できます。

パターン2：リモートワークを継続中で、VPN経由のアクセスが多い企業

VPN機器の脆弱性を狙った攻撃が急増しています。NordLayer のようなクラウド型ビジネスVPNを導入し、ゼロトラストネットワークアクセス（ZTNA）に移行することで、VPN機器のパッチ管理負担を大幅に軽減できます。

NordLayer でゼロトラストVPN環境を構築する

パターン3：取引先から「セキュリティ対策証明」を求められている企業

サプライチェーン攻撃への懸念から、大手取引先がセキュリティ対策状況の報告を求めるケースが増えています。EDR導入・バックアップ体制・インシデント対応BCPの3点セットを整備することで、取引先への報告書にも対応できます。

稟議書に使えるポイント

1. ROI（投資対効果）： ランサムウェア感染時の平均被害額は中小企業で約2,386万円（JNSA調査参考値。最新データは日本ネットワークセキュリティ協会の公式発表でご確認ください）です。一方、EDR導入コストは50台で年間約30万円（月額500円/台の場合）であり、被害額の約1.3%の投資でリスクを大幅に低減できます
2. コンプライアンス対応： 2022年施行の改正個人情報保護法により、ランサムウェアによる情報漏洩は個人情報保護委員会への報告が義務化されています。EDR導入とインシデント対応BCPの整備は、法令遵守の具体的証拠となります
3. 取引先要件への対応： 経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」では、サプライチェーン全体のセキュリティ確保が経営者の責務として明記されています。EDR・バックアップ・BCPの整備は、取引先監査への対応力を強化します

よくある質問

ランサムウェア対策にかかる費用は中小企業でどのくらいですか？

EDRソリューションの場合、月額300〜800円/台が相場です。50台の環境であれば年間約18〜48万円の投資となります。これに加えてクラウドバックアップ（月額1,000〜5,000円/台）を組み合わせると、50台環境で年間約78〜348万円が目安です。ランサムウェア被害の平均復旧コスト（約2,000万円以上）と比較すると、対策費用は被害想定額の数%に収まるため、費用対効果は非常に高いといえます。

ランサムウェアに感染したらまず何をすべきですか？

最優先は「感染端末のネットワーク隔離」です。Wi-Fiをオフにし、LANケーブルを抜いてください。その後、暗号化の範囲を確認し、30分以内に経営層へ第一報を入れます。身代金は絶対に支払わず、警察庁サイバー犯罪窓口（#9110）に通報してください。個人情報の漏洩可能性がある場合は、72時間以内に個人情報保護委員会への速報が法的に義務づけられています。

従来のアンチウイルスソフトではランサムウェアを防げないのですか？

従来型のアンチウイルスソフトは「既知の脅威」をパターンファイルで検知する仕組みのため、新種・亜種のランサムウェアには対応が遅れるケースがあります。EDRは端末上の不審な挙動（大量ファイルの暗号化、レジストリの異常変更など）をリアルタイムで検知・隔離するため、未知のランサムウェアにも対応可能です。両方を併用するのが理想ですが、予算が限られる場合はEDRを優先することを推奨します。

中小企業でもインシデント対応BCPは必要ですか？

はい、必要です。改正個人情報保護法の施行により、情報漏洩時の報告義務が強化されました。BCPがない状態でランサムウェアに感染すると、初動対応の遅れから被害が拡大し、法令違反による行政指導のリスクも発生します。本記事のステップ4で紹介したテンプレートをベースに、自社の担当者名・連絡先を記入するだけでも最低限のBCPが完成します。策定にかかる工数は約2〜4時間です。

バックアップがあればランサムウェアの身代金を払わなくて済みますか？

適切なバックアップがあれば、身代金を支払わずにデータを復旧できます。ただし「適切な」という点が重要です。ネットワーク接続されたNASだけにバックアップしている場合、ランサムウェアがバックアップデータも暗号化してしまうケースが報告されています。本記事で解説した3-2-1ルールに加え、イミュータブル（変更不可）バックアップを採用し、四半期に1回は復旧テストを実施してください。

まとめ：2026年、中小企業のランサムウェア対策は「4段階ロードマップ」で始める

ランサムウェアの脅威は2026年も深刻化を続けており、中小企業が主要なターゲットであることは変わりません。しかし、本記事で解説した4段階のロードマップ——①パッチ管理とアクセス制御、②3-2-1ルールに基づくバックアップ、③EDRによるリアルタイム防御、④インシデント対応BCPの策定——を順番に実施することで、限られた予算と人員でも実効性の高い防御体制を構築できます。まずはコスト0円で始められるステップ1のパッチ管理から着手し、並行してEDRの無料トライアルで自社環境との適合性を確認してみてください。

Malwarebytes ThreatDown の無料トライアルで自社のランサムウェア対策を始める

※ 本記事に掲載の価格・機能は2026年3月時点の公開情報に基づく概算です。為替変動・プラン改定により変更される場合があります。最新情報は各製品の公式サイトでご確認ください。