ランサムウェア対策、一周回って"バックアップ"が最重要だと思った件【そのバックアップ本当に"戻せ"ますか?】

「つなぐ力で未来をつくる。」を掲げる
名古屋のDX推進・Web制作/構築・システム開発会社
コネクティボの平野です。

今回はちょっと真面目なテーマですが、最近あらためて痛感していることがありまして。それは、「ランサムウェア対策、結局バックアップが一番大事じゃないか」 ということです。

IPA「情報セキュリティ10大脅威 2026」、ランサムウェアが堂々11年連続1位

2026年1月29日、IPAから「情報セキュリティ10大脅威 2026」が発表されました。

組織向け脅威の第1位は、やはりと言うべきか、「ランサム攻撃による被害」。2016年から数えて11年連続11回目の選出です。もう"殿堂入り"と言ってもいいレベルですね。

正直なところ、ランサムウェアが出始めた頃は「一過性の攻撃ブームかな」と思っていました。しかしどうやら、この脅威は一過性どころか、これから先も当面は私たちの悩みのタネであり続けるようです。

ちなみに、今年は新たに「AIの利用をめぐるサイバーリスク」が初選出で3位にランクインしています。攻撃側もAIを活用する時代。脅威のトレンドも着実に進化しています。

大企業でも防ぎきれない——最近の被害事例

「うちは大手じゃないから狙われないだろう」と思っていませんか？　残念ながら、大企業でも防ぎきれていないのが現実です。最近の代表的な事例を見てみましょう。

アサヒグループホールディングスは2025年9月、ロシア系ランサムウェア集団「Qilin」による攻撃を受け、受注・出荷に関するシステムが全面停止しました。アサヒビールやアサヒ飲料といった主要事業会社がFAXや手作業で受注対応を余儀なくされるという事態に。物流業務が完全に正常化したのは、発生から4ヶ月以上が経過した2026年2月でした。

アスクルも2025年10月にランサムウェア攻撃を受け、法人向け「ASKUL」、個人向け「LOHACO」など主要サービスの受注・出荷が停止。復旧には約3ヶ月を要し、障害対応費用として特損52億円を計上しています。特に深刻だったのは、オンラインバックアップも含めて暗号化されてしまったため、ゼロからの環境構築を迫られたことです。

どちらのケースも、決してセキュリティ対策を怠っていたわけではありません。マルウェア対策、境界防御、EDRなど、一般企業と比較してもかなりの投資をされていたはずです。それでもすり抜けてきた——これが今のランサムウェアの恐ろしさです。

一方、名古屋港は「約3日」で復旧できた

ここで注目したいのが、2023年7月に発生した名古屋港コンテナターミナルのケースです。

名古屋港統一コンテナターミナルシステム（NUTS）がランサムウェアに感染し、サーバーのデータが「ほぼ全滅」という壊滅的な状態に陥りました。日本一のコンテナ取扱量を誇る港が止まるという、社会的インパクトも甚大な事件でした。

ところが、復旧までにかかった時間は約3日。アサヒグループの4ヶ月超、アスクルの3ヶ月と比べると、驚異的な早さです。

国土交通省の報告によれば、この素早い復旧を支えたのはバックアップデータを元に、既存とは別の環境へシステムを新規構築したことでした。感染したサーバーはログ保全のために初期化できない、物理ハードウェアを新規調達するにも時間がかかる。そうした制約の中で、バックアップからの「別環境への迅速な再構築」が復旧のカギとなったのです。

愛知県警やIPAの講演を聞いて驚いたこと

最近、愛知県警やIPAのサイバーセキュリティ講演を聴く機会がありました。そこで語られていたメッセージに、正直ちょっと驚きました。

最先端のゼロトラストアーキテクチャや次世代EDRの話が飛び出すのかと思いきや、繰り返し強調されていたのは

え、そこ？　と最初は思いました。

でも、よくよく考えるとこれは本質を突いています。先ほどの事例が示すとおり、どんなに高度な防御を敷いても、すり抜けてくるのが今のランサムウェアです。そうなると、「感染は防げない」ことを前提に、「感染した時にいかに早く業務復旧できるか」——この視点が極めて重要になります。

いわば、一周回ってバックアップに戻ってきた、という感じでしょうか。

9割がバックアップを取っている、でも…

「バックアップならうちもちゃんと取ってるよ」という方、少し立ち止まって考えてみてください。

実は、企業の約9割がバックアップを取得しているといわれています。しかし、いざ復元しようとしたときにちゃんと戻せるかどうかは、また別の問題のようです。

Backblazeが2024年にHarris Pollと共同で実施した調査（出典）によると、データ損失を経験してリストアを行った組織のうち、全データを復旧できたのはわずか42%。つまり、58%の組織は一部のデータを取り戻せなかったということです。

また、Apricornの2025年調査（出典）でも、バックアップからの復元を行った回答者のうち21%が「完全復元できなかった（部分復元または失敗）」と回答しています。

「バックアップを取っている」と「バックアップから確実に復旧できる」の間には、想像以上に大きなギャップがあるのです。まさにアスクルの事例がそれを物語っています。オンラインバックアップは存在していたものの、ランサムウェアによってバックアップごと暗号化されてしまい、結果としてゼロからの再構築を余儀なくされたのです。

経産省の新制度でもバックアップが要件に

この流れは、国の制度設計にも反映されています。

経済産業省が取りまとめを進めている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（出典）では、2026年度末の制度開始を目指して準備が進められています。

この制度の★3（すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策レベル）の要件に、「適切なバックアップを行うこと」が明確に含まれています。

そしてここでいう「適切」とは、単に「バックアップを取っています」では足りません。リストア手順書を用意し、実際に復元できることを確認していることが求められます。つまり、"取って終わり"ではなく、"戻せることを証明する"ところまでがバックアップなのです。

今後、取引先から「★3を取得していますか？」と聞かれる日が来るかもしれません。そのとき慌てないためにも、今のうちから備えておきたいところです。

では、「適切なバックアップ」とは何か

ここまでの内容を踏まえて、ランサムウェア対策として押さえておきたいバックアップのポイントを整理してみます。

第一に、バックアップデータがランサムウェアに暗号化されないこと。 オンラインバックアップだけでは、本番環境と一緒に暗号化されてしまうリスクがあります。オフラインバックアップや、書き換え不可能な（イミュータブルな）ストレージへの保管、ネットワーク的に隔離された場所への保存など、「攻撃者の手が届かない場所にバックアップを置く」という発想が必要です。

第二に、バックアップデータが確実にリストアできる状態であること。 定期的にリストアテストを実施して、「いざというときに本当に戻せる」ことを確認しておきましょう。手順書の整備も重要です。担当者が不在のときでも復旧作業が進められるよう、誰が見ても分かるレベルで文書化しておくことをお勧めします。

第三に、復旧先の環境をあらかじめ想定しておくこと。 名古屋港のケースが示すように、感染したサーバーをそのまま使って復旧するのは現実的ではありません。ログ保全のために元のサーバーを初期化できず、かといって新しい物理ハードウェアの調達にも時間がかかります。素早く再構築するには、DRサイト（災害復旧用の待機環境）をあらかじめ用意しておくか、クラウド上に新規環境を構築するか、事実上この2択になってきます。どちらの方針で行くのか、大まかな手順とともに決めておくだけでも、いざという時の対応速度はまったく違ってくるはずです。

まとめ

ランサムウェアの脅威は、残念ながら今後も続きます。防御の壁をいくら高くしても、攻撃者はその上を越え、あるいは下をくぐり抜けてきます。

だからこそ、「感染してしまった後にどれだけ早く立ち直れるか」——この"回復力（レジリエンス）"の設計が、今まさに問われています。

そしてその中心にあるのが、地味だけど頼りになる「バックアップ」という存在。派手さはないけれど、いざという時にあなたの会社を救うのは、最新のセキュリティツールではなく、きちんと取られ、きちんと戻せるバックアップかもしれません。

「バックアップ、ちゃんと取ってるよ」で終わらせず、ぜひ一度、「本当に戻せるか？」を確認してみてください。その一手間が、数ヶ月分の業務停止リスクを大きく減らしてくれるはずです。

お読みいただきありがとうございました。

なにか気になる点ありましたら、お気軽にお声がけください。