ランサムウェアの暗号化はファイルを使えなくして業務を止める被害で、バックアップからの復元で回復を図れます。一方、ランサムウェア攻撃では、ファイルを外部へ不正に持ち出す「情報窃取（せっしゅ）」が行われる場合もあります。バックアップからデータを復元できても、流出した情報を取り戻すことはできません。そのため、持ち出される情報そのものを減らす対策が別に必要です。
本記事は、情シス・BCP・セキュリティ担当の方に向けて、バックアップで守れる範囲と守れない範囲を切り分けます。そのうえで、窃取されたときに被害となる情報を平時から最小化するための実務の進め方を整理します。
Contents
ランサムウェア対策にバックアップだけでは不十分な理由
よくある業務場面
ランサムウェア被害を想定した訓練で、次のような会話が起きることがあります。
- 「バックアップから戻せたので、業務は再開できます」
- 「では、暗号化される前に外部へ送られたファイルはどれですか」
- 「そこは確認できていません」
バックアップと復旧の手順を整えるほど、「戻せれば大丈夫」という前提が組織内に定着しがちです。しかし、攻撃者がファイルを持ち出していた場合、復元が成功しても取引先情報や個人情報、設計資料などが外部にある状態は変わりません。
バックアップだけでは情報の持ち出しを防げない
バックアップは、ランサムウェア対策として欠かせない要素ですが、それだけでは十分ではありません。バックアップが主に担うのは、暗号化やデータ破損などが発生した際に、データを復元して業務の再開を支える役割です。一方、情報の外部流出を防ぐことや、流出した場合の被害を抑えることには、アクセス制御や認証の強化、情報の適切な管理など、別の対策が必要です。
本記事で扱う中心は、次の3点です。
- 窃取されうる場所に置く情報を減らす
- 情報にアクセスできる人・経路を必要な範囲に絞る
- 流出が疑われたとき、対象範囲を説明できる状態にしておく
ランサムウェアによる暗号化と情報窃取の違い
2つの被害の違い
ランサムウェア攻撃には、ファイルを暗号化して業務を停止させる手口に加え、情報を不正に持ち出し、公開すると脅迫する「二重恐喝」と呼ばれる手口もあります。データを復元できても、窃取された情報の公開や悪用を防げるとは限りません。そのため、暗号化による被害と情報窃取による被害を分けて対策する必要があります。
IPAの「ランサムウェア被害から学ぶ教訓集」でも、暗号化と情報の持ち出しを組み合わせた攻撃が、組織にとって深刻な脅威であると説明されています。
| 観点 | 暗号化による被害 | 窃取による被害 |
| 何が起きるか | ファイルやシステムが使えなくなる | ファイルが外部へ持ち出される |
| 主な影響 | 業務停止、復旧作業の負担 | 情報漏洩、取引先・顧客への説明、二次利用のリスク |
| バックアップの効果 | 復元により業務回復を図れる | 持ち出された情報は取り戻せない |
| 被害を小さくする考え方 | 復元できる状態を保つ | 持ち出される情報を減らし、範囲を特定できるようにする |
| 担当部門の関わり | 情シス、業務部門 | 情シス、セキュリティ、法務、広報、業務部門 |
なぜ「窃取」が見落とされやすいのか
暗号化は画面上で被害が見えるため、気づきやすい被害です。一方、窃取は持ち出しの時点で業務が止まらないため、発覚が遅れることがあります。また、復旧が完了すると「事案が終わった」と受け止められやすく、流出範囲の調査が後回しになることもあります。
対策を検討する際は、「暗号化されたら戻せるか」と「盗まれたら何が出ていくか」を別々の問いとして扱うことが出発点です。
バックアップで対応できる被害・できない被害
バックアップで復旧できる被害と、別の対策が必要な被害
| 被害・課題 | バックアップの効果 | 必要な対策 |
| ファイルの暗号化 | 正常なデータを復元できる | バックアップの保護・復元テスト |
| 業務の停止 | データの復旧により業務再開を支援できる | 復旧手順の整備・BCP |
| ファイルの誤削除・上書き | 保存された過去のデータに戻せる | バックアップ・バージョン管理 |
| ファイルの不正な持ち出し | 持ち出された情報は回収できない | アクセス制御・不審な操作の監視 |
| 流出した情報の悪用 | 悪用を防ぐ効果はない | 流出時の対応・被害拡大防止 |
| 流出した情報の特定 | バックアップだけでは特定できない | 操作ログ・端末やネットワークの調査 |
バックアップの見直しで確認したい点
バックアップ自体が攻撃対象になる可能性も考慮が必要です。窃取の観点では、次の点も確認しておくと抜け漏れを減らせます。
- バックアップデータにも機密情報が含まれており、窃取対象になりうること
- バックアップの保存先にアクセスできる人・アカウントが必要最小限か
- 業務上の復旧要件や保存期間を踏まえ、不要なバックアップデータや複製が残っていないか
バックアップは「情報のコピー」でもあります。守るべきデータの量を増やしていないかという視点で見直すことが、窃取される情報の最小化にもつながります。
情報窃取の被害を抑えるアクセス権限管理
窃取される情報を減らすうえで、最も効果を見込みやすいのが、保存している情報とアクセス権限の棚卸しです。攻撃者が正規のアカウントを不正利用した場合、そのアカウントに許可された範囲の情報が窃取されるおそれがあります。アクセス権限を必要最小限にすることで、侵害されたアカウントからアクセスできる情報を減らせます。
ただし、管理者権限の奪取やシステムの脆弱性を悪用する攻撃もあるため、権限管理に加えて、多要素認証、端末の保護、不審な操作の監視などを組み合わせることが重要です。
窃取される情報を減らす4つの視点
- 持たない：業務に不要になったファイル、重複したコピー、個人フォルダに残った古いデータを整理する
- 分離する：機密性の高い情報は、一般の業務ファイルと保存場所を分け、業務上必要な担当者だけがアクセスできるようにする
- 広げすぎない：部署異動や退職、プロジェクト終了後に残った権限を見直す
- 外に出しすぎない：外部共有リンクや社外アカウントへの共有を定期的に確認し、不要な共有を停止する
情報の整理やアクセス権限の制限は、情報が不正に持ち出された場合の被害を抑えるための対策です。一方、攻撃者の侵入を防ぐには、多要素認証や脆弱性対策なども欠かせません。
IPAの「ランサムウェア対策特設ページ」では、ランサムウェアの感染防止や被害低減に役立つ情報が公開されています。こうした情報も参考に、自社のセキュリティ対策を見直すことが重要です。
権限見直しの判断基準
| 確認項目 | 見直しを検討すべき状態 |
| 閲覧者の範囲 | 全社公開になっているが、実際に使うのは一部の部署だけ |
| 編集・ダウンロード権限 | 閲覧で足りる利用者にも、ダウンロードや編集を許可している |
| 外部共有 | 共有の目的が終わった後もリンクや共有設定が残っている |
| 管理者権限 | 管理者アカウントが多く、誰が保有しているか把握できていない |
| 保存場所 | 同じ機密ファイルが複数の場所に複製されている |
Fleekdriveでできるアクセス制御と操作履歴の管理
Fleekdriveでは、フォルダやファイルごとにアクセス権限を設定でき、ユーザ・フォルダごとの権限設定を一覧で確認できます。閲覧のみを許可する権限などを活用することで、業務上必要な操作に絞ったファイル管理が可能です。
また、2段階認証やIPアドレス制限によるアクセス制御、操作履歴を記録する証跡機能を備えています。監査オプションでは、業務時間外のアクセスや大量ダウンロードなど、設定した条件に該当する操作を検知して管理者に通知できます。
これらの機能は、情報へのアクセス範囲の制限や不審な操作の把握に役立ちます。ただし、ランサムウェアによる情報窃取を完全に防ぐものではありません。利用できる機能や設定条件は契約プラン・オプションによって異なるため、導入時には確認が必要です。
情報漏洩が疑われる場合の調査手順
窃取が疑われる場合、最も負担が大きくなりやすいのが「何が出たのか」を説明する作業です。平時の準備がないと、調査対象が膨らみ、関係者への説明が遅れやすくなります。
調査の流れ
- 侵害されたアカウント・端末の特定：どの認証情報や端末が使われたかを確認する
- 到達可能範囲の把握：そのアカウントや端末からアクセスできたフォルダ・ファイルを洗い出す
- 操作記録の確認：取得している記録の範囲で、閲覧・ダウンロード・共有などの操作を確認する。あわせて、端末やネットワークの記録など、利用可能な証跡を確認する
- 情報の重要度の分類：洗い出したファイルに個人情報、取引先情報、技術情報などが含まれるかを分類する
- 関係部門への共有：法務・広報・業務部門と、対外説明が必要な範囲を検討する
この流れのうち、手順2と手順4は平時の準備によって調査負担を軽減できます。権限を絞っていれば調査対象となるアクセス可能範囲を限定しやすくなり、保存場所ごとに情報の重要度を把握していれば分類作業も効率化できます。
ただし、アクセス可能だったファイルが、すべて実際に窃取されたとは限りません。操作記録などの証跡を確認し、窃取が確認された情報と、窃取の可能性を否定できない情報を区別して整理することが重要です。
データ復旧後に確認すべきセキュリティ対策
バックアップからの復元が完了した後も、窃取の観点では確認が続きます。
復旧後に確認したい項目
- 侵害に使われたアカウントの無効化や認証情報の変更を行い、不正アクセスの原因となった脆弱性や設定不備への対処が済んでいるか
- 復元したデータと一緒に、侵害時点の不要な権限や外部共有設定まで戻していないか
- 攻撃を機に見つかった不要データや重複ファイルを整理したか
- 流出範囲調査の結果を、権限設計や保存ルールの見直しに反映したか
よくある誤解
- 「復元できたので情報漏洩はなかった」：復元の成否と、情報が持ち出されたかどうかは別の問題です
- 「暗号化されていないファイルは無事」：暗号化の対象外でも、持ち出されている可能性は残ります
- 「バックアップがあれば古いデータを残しておいても安心」：保存しているデータが多いほど、窃取されうる情報も増えます
よくある質問
ランサムウェア対策はバックアップだけで十分ですか？
十分ではありません。バックアップは暗号化されたファイルの回復に役立ちますが、外部へ持ち出された情報を取り戻したり、悪用を防いだりすることはできません。保存する情報の削減、アクセス権限の見直し、流出範囲を調査できる体制づくりを組み合わせて検討してください。
情報窃取への対策は何から始めればよいですか？
機密性の高い情報がどこに保存され、誰がアクセスできるかの棚卸しから始めるのが現実的です。不要なデータや過剰な権限が見つかれば、それを減らすことが窃取される情報の最小化に直結します。
Fleekdriveを使えば窃取を防げますか？
Fleekdriveには、ファイルごとのアクセス権限管理、2段階認証、IPアドレス制限、操作履歴を確認できる証跡機能などがあり、不正アクセスのリスク低減や情報管理の強化に役立ちます。ただし、Fleekdriveの導入だけでランサムウェアによるデータ窃取を完全に防げるわけではありません。端末の保護や脆弱性対策など、組織全体のセキュリティ対策と組み合わせる必要があります。
まとめ｜バックアップと情報漏洩対策を組み合わせて備える
ランサムウェア対策では、データを復元できる状態にしておくだけでなく、情報が不正に持ち出されるリスクにも備える必要があります。バックアップは業務再開に役立ちますが、流出した情報を取り戻すことはできません。
まずは機密情報の保存場所とアクセス権限を棚卸しし、不要なデータや共有設定を整理しましょう。あわせて、多要素認証や端末の保護、不審な操作の監視、流出範囲を調査できる体制を整えることが、被害の予防と影響の最小化につながります。
