>
>
公開日
最終更新日
RaaSは、ランサムウェアを自作できない犯罪者にも攻撃手段を提供する仕組みです。攻撃の分業化により、VPN機器やリモートデスクトップの脆弱性、漏えいした認証情報を起点にした被害が起きています。
警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」では、2025年に警察へ報告された国内のランサムウェア被害は226件でした。被害組織には中小企業が多く、事業規模だけを理由に対策の優先順位を下げる判断は危険です。
本記事は、50名未満で専任のセキュリティ担当者を置きにくい企業、50〜300名でリモートアクセスやクラウド利用が増えている企業、300名超でSOCや工場ネットワークを持つ企業を主な対象にします。規模別の優先順位と、侵害が疑われた際に止めるべきもの・残すべき証拠を整理します。
※本記事で解説するRaaSは、サイバーセキュリティ分野のRansomware as a Serviceです。小売業界でいうRetail as a Serviceや、ロボットの提供形態を指すRobotics as a Serviceとは異なります。
RaaSとは
RaaSとは、ランサムウェアの開発・運用基盤を犯罪者へ提供し、得た身代金を分配するサービス型の犯罪モデルです。
この記事でわかること
RaaSはRansomware as a Serviceの略称で、「ラーズ」と読まれることがあります。
RaaSは、オペレーター、アフィリエイト、初期侵入業者の分業で成立します。
2025年の国内ランサムウェア被害報告は226件で、中小企業も主要な標的です。
VPN・RDPの管理、検知と隔離、復元訓練を組み合わせると被害範囲を減らせます。
Ransomware as a Serviceは、攻撃用マルウェア、暗号化管理画面、リークサイト、身代金交渉用のインフラを、運営者がアフィリエイトへ提供する仕組みです。従来は攻撃者が侵入からマルウェア開発、脅迫までを一人または単一組織で担うこともありました。RaaSでは役割が分かれるため、各犯罪者が得意な工程に集中できます。
従来型ランサムウェアとの違い
従来型のランサムウェア攻撃では、攻撃者が侵入経路の探索、マルウェアの開発、データの暗号化、脅迫までを一貫して実行します。RaaSでは、オペレーターが攻撃キットと交渉基盤を整備し、アフィリエイトが標的選定と侵入後の操作を担います。この分業により、攻撃者は必ずしも高度なマルウェア開発能力を持つ必要がありません。
ただし、「数クリックで誰でも大企業を攻撃できる」と考えるのは正確ではありません。実際の侵害では、認証情報の窃取、ネットワーク内の権限昇格、バックアップの探索、データ持ち出しなど複数工程が必要です。企業側は、マルウェア単体の検知だけでなく、各工程で攻撃を止める設計を取る必要があります。
RaaS拡大の背景
RaaSが脅威となる理由は、攻撃ツールだけでなく、初期アクセス、認証情報、侵害後の横展開手法まで犯罪市場で取引されているためです。IPAは「情報セキュリティ10大脅威 2025」で、組織向け脅威の上位にランサムウェアによる被害を位置付けています。攻撃者は特定の製品だけを狙うのではなく、公開された脆弱性、設定不備、漏えいしたIDを組み合わせます。
生成AIを使ったフィッシング文面の作成も警戒対象ですが、メール対策だけに予算を寄せると不十分です。警察庁の被害統計では、侵入経路が判明した事案の多くがVPN機器とリモートデスクトップ経由でした。外部公開資産の把握と認証・パッチ管理を先に整える判断が現実的です。
RaaSのビジネスモデルと犯罪者の役割
RaaSのビジネスモデルは、攻撃プラットフォームを運営するオペレーター、攻撃を実行するアフィリエイト、初期アクセスを売るIABの連携で成り立ちます。
RaaSを理解する際は、マルウェアの名称だけでなく、誰がどの工程を担うかを見る必要があります。攻撃グループ名が変わっても、侵入から恐喝までの工程が再利用されるためです。
RaaSオペレーター
RaaSオペレーターとは、ランサムウェア本体、アフィリエイト用の管理画面、リークサイト、暗号資産による支払い・交渉基盤を開発・維持する犯罪組織です。オペレーターは自ら標的へ侵入する場合もありますが、多くのモデルでは利用者を募集し、ツールとインフラを提供します。
運営者が提供する機能には、被害端末ごとの暗号化設定、身代金要求文の生成、データ公開ページ、復号ツールの管理などがあります。正規のSaaSに似た運用形態に見えても、犯罪行為を支える仕組みであり、利用・交渉・支払いには法務、制裁、資金洗浄のリスクが伴います。
アフィリエイト
アフィリエイトとは、RaaSオペレーターのツールを使い、標的企業への侵入、権限昇格、横展開、データ窃取、暗号化を実行する犯罪者です。身代金が支払われた場合、アフィリエイトとオペレーターが取り分を分ける成功報酬型が知られています。
情シス部門にとって問題なのは、アフィリエイトごとに侵入手順や標的選定が異なる点です。同じRaaSファミリーでも、ある攻撃者はVPNを起点にし、別の攻撃者は漏えいしたクラウドIDやRDPを悪用することがあります。製品名によるブロックリストだけではなく、異常な認証、管理者権限の利用、短時間の大量アクセスといった行動を監視します。
初期侵入業者（IAB）
初期侵入業者、IAB（Initial Access Broker）とは、企業環境へ入るためのアクセス権を不正に入手し、他の犯罪者へ売買する者です。販売対象は、VPNやリモートアクセスの認証情報、侵害済み端末からの接続経路、Webシェルなどであり、必ずしもActive Directoryの管理者権限そのものではありません。
IABからアクセスを買うアフィリエイトは、外部から侵入する工程を短縮できます。したがって、退職者アカウント、共有ID、古いVPN装置、不要になった公開サーバーを放置すると、RaaSの入口を提供する結果になりかねません。資産台帳とインターネット上の公開状況に差異がある企業では、ASMを使う前に、まず公開資産の責任部署と停止判断の手順を定めます。
収益分配と摘発後の再編
LockBitやBlackCat（ALPHV）のような大規模グループは国際捜査で打撃を受けましたが、摘発後も攻撃者が別グループや別名称へ移ることがあります。名称の消滅だけで脅威がなくなるわけではありません。攻撃手法、漏えいした認証情報、侵害済み環境が残る可能性を前提に、侵害指標の確認と認証情報の失効を進めます。
▲ RaaSにおける3つの犯罪者役割（オペレーター・アフィリエイト・IAB）と関係性
RaaSによる被害の実態と脅迫手口
RaaSによる被害は暗号化だけにとどまらず、情報窃取、公開脅迫、業務停止を組み合わせる方向へ広がっています。
警察庁は「令和7年におけるサイバー空間をめぐる脅威の情勢等について」で、2025年のランサムウェア被害報告を226件と集計しています。前年の222件から大幅に増えたわけではないものの、高い水準が続いています。
中小企業と製造業の被害傾向
警察庁の同資料では、2025年上半期に報告された被害のうち中小企業の占める割合が高い傾向が示されています。ただし、これは警察への報告件数に基づく集計であり、国内全体の発生率を直接示すものではありません。それでも、中小企業が攻撃対象から外れていないことを判断するには十分な材料です。
業種別では製造業の比率が高く、工場停止が部品供給や納期へ波及しやすい点が特徴です。製造業では、ITネットワークとOT環境を一律に切断すると安全上または操業上の影響が大きい場合があります。工場ネットワークを持つ企業は、平時にIT・OTの接続点、停止権限者、手動運転へ切り替える条件を決めておく必要があります。
ノーウェアランサム
ノーウェアランサムとは、システムやデータを暗号化せず、先に窃取した情報の公開を脅して金銭を要求する手口です。警察庁は令和5年上半期の統計から、暗号化を伴わないランサムウェア被害を独立した区分として集計しています。バックアップから復元できる環境でも、顧客情報、設計図、契約書、人事情報が持ち出されていれば、情報漏えい対応は残ります。
この手口では、ファイル暗号化という分かりやすい兆候が出ない場合があります。大量の外部転送、普段利用しないクラウドストレージへのアップロード、管理者アカウントによる夜間アクセスを監視対象に含めます。EDRだけで全ての持ち出しを把握できるわけではないため、プロキシ、CASB、ファイル共有サービス、ID基盤のログを相関させます。
二重恐喝から四重恐喝までの構造
二重恐喝は、データ暗号化に加えて窃取データの公開を脅す手口です。三重恐喝として、DDoS攻撃で公開サイトを停止させる、取引先へ連絡するなどの追加圧力が加わる事案もあります。四重恐喝は定義が統一されていませんが、一般に暗号化、情報公開の脅し、DDoS、顧客・取引先への直接連絡など複数の圧力を重ねる呼び方です。
「四重恐喝が全ての攻撃で標準化した」とは言えません。被害企業は、脅迫の名称よりも、窃取の有無、公開予定の情報、取引先へ波及した連絡の有無を事実として記録し、法務・広報・個人情報保護対応へ渡します。
国内被害事例
KADOKAWAは、2024年6月のサイバー攻撃によりニコニコ動画関連サービスや出版・物流に影響が出たと同社発表のお知らせで公表しており、同年7月2日付の調査状況に関する発表でランサムウェアを含む大規模なサイバー攻撃を受けたことを説明しています。復旧には技術対応だけでなく、サービス再開の優先順位、取引先対応、情報公開の判断が必要になりました。
名古屋港運協会では、2023年7月に名古屋港統一ターミナルシステムがランサムウェア被害を受けコンテナ搬出入に影響が生じたと各種報道等で報告されています。重要インフラや物流の停止は、自社の売上だけでなく、利用企業の供給網にも影響します。アスクルも2025年10月に物流・基幹システムの障害がEC事業や委託先の販売に波及したことを同社が公表しており、復旧目標は「自社サーバーを戻すこと」ではなく、受発注・出荷・顧客連絡をどの順番で復旧するかで設計します。
RaaS対策の優先順位と実装方法
RaaS対策は、外部公開資産の管理、認証強化、侵入後の検知・隔離、復元可能なバックアップを順に整えると実行しやすくなります。
警察庁の令和7年上半期統計では、侵入経路が判明したランサムウェア被害においてVPN機器とリモートデスクトップが大きな割合を占めるとされています。この値は侵入経路が判明した事案に限られるため、全攻撃の割合と同一視はできません。しかし、VPNとRDPの管理を後回しにしない根拠になります。
アタックサーフェス管理
ASM（Attack Surface Management）とは、インターネットから到達できるドメイン、サーバー、VPN、クラウド設定、証明書などを継続的に把握する運用です。資産台帳に載っていない検証環境、子会社が契約したSaaS、期限切れのリモートアクセス装置が残っていると、脆弱性管理の対象から漏れます。
50名未満で専任担当者がいない場合は、月次で公開IP、VPN機器、管理画面、ドメインを一覧化し、使わないものを停止するところから始めます。50〜300名では、脆弱性情報と資産管理台帳を連携させ、緊急パッチの責任者と適用期限を決めます。300名超では、子会社・海外拠点・クラウドを含むASMや外部診断を使い、未管理資産の発見から是正までのSLAを設けます。
認証と特権アクセス
VPN、クラウド管理画面、リモートデスクトップ、委託先接続には多要素認証を適用します。ただしMFAは万能ではありません。フィッシングでセッションCookieを盗む手口、利用者に連続して承認させる手口、端末自体が侵害される手口では突破されるおそれがあります。
MFAを導入済みなら、次に条件付きアクセス、接続元制限、端末準拠性、管理者用アカウントの分離を設定します。管理者が日常メールにも使うIDでサーバー管理を行う運用は避けます。監査ログを取得できる環境なら、不可能な移動、通常と異なる国・地域からの認証、多数の失敗後の成功を検出ルールに加えます。ログを取得できないなら、まずID基盤とVPNのログ保存先を整備してから高度な分析へ進みます。
EDR・MDR・ネットワーク分離
EDRは端末上の不審なプロセス、権限昇格、横展開を検知・調査する仕組みです。MDRは、EDRなどのアラートを専門チームが監視し、契約範囲に応じて調査や隔離支援を行うサービスです。EDRを導入しても、通知を確認する人が平日の日中しかいなければ、夜間・休日の攻撃を止められないことがあります。
株式会社杉浦製作所は、サイバーリーズンが公開する導入事例として、約500台のエンドポイントを24時間監視する体制を整えたと紹介されています。これは製品ベンダーが公開した事例であり、ランサムウェア被害がゼロになることを示すものではありません。一方で、端末台数、監視時間、隔離担当者を導入要件として明確にした例として参考になります。
バックアップと復元訓練
バックアップは「取得済み」で終わりではありません。警察庁の令和7年上半期統計では、バックアップを取得していた被害組織のうち被害直前の水準まで復旧できた組織は少数にとどまるとされており、復旧できなかった理由の多くをバックアップ自体の暗号化・削除が占めていると報告されています。
3-2-1-1ルールでは、データを3コピー持ち、2種類の媒体に保存し、1コピーを遠隔地に置き、さらに1コピーをオフラインまたはイミュータブルな状態にします。イミュータブルとは、保存期間中の書き換えや削除を制限する性質です。ただし、復旧用アカウント、認証基盤、ネットワーク設定、アプリケーション手順が失われていれば、バックアップだけでは業務を再開できません。四半期ごとの復元試験で、目標復旧時間と目標復旧時点を測定します。
対策の実施チェックリスト
次の表は、予算申請や月次のセキュリティ会議で使える優先度別チェックリストです。上から順に未実施項目を埋めると、侵入口と被害拡大の両方を減らせます。
優先度 | 確認項目 | 確認できた場合 | 確認できない場合 |
|---|---|---|---|
高 | VPN・RDP・FWの公開状況と保守期限 | 未使用サービスを停止し、緊急パッチの対象を特定します。 | 外部公開資産の棚卸しを先行し、新規公開を一時停止します。 |
高 | 管理者・外部接続のMFAとログ保存 | 条件付きアクセスと異常認証検知を追加します。 | 管理画面とリモート接続からMFAを適用します。 |
中 | EDRアラートの夜間休日対応 | 隔離権限と連絡網を訓練します。 | 当番制またはMDRの対応範囲を比較します。 |
中 | バックアップの隔離と復元記録 | 復旧時間を業務部門と合意します。 | イミュータブル保管と復元試験を優先します。 |
中 | 委託先・子会社の接続経路 | 接続ごとに最小権限と期限を設定します。 | 共有IDを廃止し、接続台帳を作成します。 |
RaaS被害時の初動対応と連絡体制
ランサムウェア感染や情報窃取が疑われる場合は、拡大防止、証拠保全、関係者連携を並行して進めます。
初動でやってはいけないことは、攻撃者と連絡を取る前に端末を初期化すること、ログを消すこと、全社一律でネットワークを遮断して業務影響を拡大させることです。安全確保が最優先となる場合を除き、隔離対象と証拠保全の範囲を分けて判断します。
最初の60分の対応
まず、暗号化の兆候、不審なログイン、データ大量転送を確認した端末・サーバーをネットワークから隔離します。電源を切るとメモリ上の証跡が失われる可能性があるため、電源断はインシデント対応責任者や外部調査会社の指示に基づいて判断します。Wi-Fi切断、LANケーブルの抜線、EDRによるネットワーク隔離など、環境に応じた手段を事前に決めます。
次に、発見時刻、発見者、端末名、画面表示、対象アカウント、接続先、実施した隔離操作を時系列で記録します。経営層、法務、個人情報保護担当、広報、事業部門の連絡先を平時から連絡網に登録し、個人のチャットだけに依存しない連絡手段を用意します。
24時間以内の調査と意思決定
24時間以内には、侵入経路、侵害アカウント、横展開した範囲、窃取の可能性、バックアップへの影響を確認します。VPN、ID基盤、EDR、ファイルサーバー、プロキシ、クラウドのログ保持期間が短いと調査の根拠が失われるため、重要ログは改ざんされにくい場所へ保管します。
個人データの漏えい等が発生し、個人の権利利益を害するおそれが大きい場合には、個人情報保護委員会への報告と本人通知が必要になることがあります。速報・確報の期限、委託先事故の扱い、本人通知の要否は事案の状況によって判断が異なります。個人情報保護委員会は漏えい等の報告等に関する案内で対象事案と報告手続を示しており、具体的な義務の範囲は法務担当者または外部の専門弁護士とともに同案内・ガイドラインに照らして確認します。漏えいした可能性があるデータ種別、人数、暗号化・アクセス制御の状態を整理しておくと、その判断を迅速に進められます。
警察・JPCERT/CC・専門事業者への相談
警察庁はランサムウェア被害の相談・通報を受け付けており、被害の届出は捜査や注意喚起に役立ちます。JPCERT/CCにも、インシデント報告や技術的な相談窓口があります。外部のフォレンジック事業者へ依頼する場合は、対応開始時間、ログ保全の方法、調査範囲、報告書の利用目的、弁護士との連携を契約前に整理します。
復旧を急ぐあまり、侵害されたIDをそのまま使ってバックアップへ接続してはいけません。侵害範囲を確認できれば、クリーンな管理端末と新しい管理者アカウントで復旧環境を構築します。確認できない場合は、認証基盤とネットワークの再構築を含む復旧計画へ切り替えます。
身代金支払いのリスク
警察庁やFBIなどの捜査機関は、身代金の支払いを推奨していません。FBIはランサムウェアに関する公開情報で、支払いが復号やデータ削除を保証せず、犯罪活動を助長するおそれがあると説明しています。制裁対象者・団体が関与する取引では、支払い自体が法的問題になる可能性もあります。
支払うかどうかは、技術部門だけで決める事項ではありません。経営層、法務、保険会社、外部専門家、捜査機関と協議し、復旧可能性、窃取データ、制裁リスク、取引先影響を記録した上で判断します。復号鍵が提供されても完全復旧を保証しないため、支払いを前提にしたBCPは作りません。
▲ RaaS被害発生時の初動対応フェーズ（60分〜24時間）
▲ ランサムウェア感染疑い端末の一次対応判断フロー
RaaS対策で起きやすい失敗パターン
RaaS対策では、単一製品への過信、復元未検証のバックアップ、運用担当者不在が被害拡大につながります。
製品を導入しただけでは対策になりません。侵害の発見、隔離、復旧、説明責任を実行できる体制があるかで判断します。ここでは、情シス部門で起きやすい誤解と修正方法を整理します。
バックアップだけで復旧できるという誤解
同一ネットワーク上にあり、同じ管理者アカウントで操作できるバックアップは、攻撃者に削除・暗号化されるおそれがあります。警察庁の令和7年上半期統計で、被害直前の水準まで復元できた組織が約2割だった点は、「バックアップ取得」と「復元可能性」が別であることを示します。
失敗を防ぐには、業務系ネットワークとバックアップ保管先の認証を分離し、削除保護を設定します。さらに、販売管理、受発注、ファイル共有など業務優先度ごとに、何時間以内にどの時点まで戻すかを決めます。復元試験で目標を満たせなければ、保存容量ではなく復旧手順、人員、認証基盤の不足を改善します。
EDRがあるため監視不要という誤解
EDRは有効な対策ですが、検知したアラートの優先順位付けと対応が遅れれば、横展開を許す可能性があります。攻撃者はPowerShellや管理ツールなど正規機能を悪用する場合もあり、マルウェア名だけで判断できません。
BYOVDは、脆弱性を持つ正規ドライバーを悪用してセキュリティ製品の機能停止を試みる手口です。端末保護製品がBYOVD対策機能を持つか、ドライバーのブロックポリシーを適用できるか、無効化を示すログを監視できるかを確認します。確認できれば例外管理と監視を強化し、確認できなければMDRや端末管理製品の支援範囲を比較します。
MFAでVPNが安全になるという誤解
MFAはパスワード漏えいの影響を減らしますが、認証後セッションの窃取、端末侵害、設定ミスまで防ぐものではありません。共有アカウントでMFAを運用すると、誰が認証したかを追跡しにくくなります。
外部接続を維持する必要がある企業では、個人単位のアカウント、端末証明書、接続元制限、管理者権限の時間制限を組み合わせます。委託先接続は常時VPNではなく、作業申請に応じて期限付きで有効化する方式へ変えると、侵害時の探索範囲を減らせます。
中小企業は標的にならないという誤解
中小企業は大企業より防御が弱いと判断される場合があり、取引先への侵入経路としても狙われます。警察庁の統計で中小企業の被害が6割以上を占めたことは、中小企業も対策対象から外せない理由です。
人員が少ない企業では、最初からSIEMや24時間SOCを自前で構築する必要はありません。公開資産の削減、VPNの更新、MFA、管理者IDの分離、隔離バックアップ、連絡網の整備を優先します。これらを実施しても被害を完全には防げません。ただし、侵入の機会と復旧不能に陥る可能性は下げられます。
RaaS対策ソリューションの選定基準と導入事例
RaaS対策の製品選定では、機能の多さではなく、自社が検知から隔離、復旧まで運用できるかを基準にします。
比較の前に、守る対象を明確にします。顧客データ、設計データ、基幹システム、工場設備、クラウド管理者アカウントでは、必要なログ、停止時の影響、復旧手順が異なります。
ソリューション比較の観点
対策領域 | 主な目的 | 運用上の確認点 | 向く組織 |
|---|---|---|---|
ASM・脆弱性管理 | 外部公開資産と脆弱性の把握 | 資産の所有部署、是正期限、停止権限 | 拠点・クラウド・子会社が増えた企業 |
EDR・XDR | 端末・ID・ネットワークの異常検知 | 全端末への展開率、隔離権限、ログ保存 | 端末数が多い企業、重要データを扱う企業 |
MDR | 夜間休日を含む監視・調査支援 | 通知のみか隔離支援まで含むか、対応時間 | 専任SOCを持たない50〜300名規模の企業 |
イミュータブルバックアップ | 削除・暗号化に耐える復旧用データ保護 | 復元試験、保管期間、認証分離、復旧環境 | 基幹・製造・医療など停止コストが高い企業 |
メール・ID保護 | フィッシングと認証情報悪用の低減 | MFA、条件付きアクセス、管理者分離 | クラウド利用と外部接続が多い企業 |
料金は端末数、ログ量、監視範囲、対応時間で変わり、非公開のサービスも多くあります。比較時は月額だけでなく、初期導入、ログ保管、インシデント時の緊急対応、復元支援が契約に含まれるかを揃えて確認します。安価な監視サービスでも隔離権限や夜間連絡が含まれない場合があり、費用比較だけでは実効性を判断できません。
国内企業の導入事例
株式会社杉浦製作所は、サイバーリーズンの導入事例で、約500台のエンドポイントにEDR・NGAV・MDRを導入し、24時間の監視体制を整えたと公開しています。同社の事例で参考になるのは、約500台の端末を対象に、可視化と24時間監視を組み合わせた点です。同社は、侵害兆候を早期に検知・隔離する運用基盤を整えたと公表しています。被害防止を保証する数値ではないため、導入検討時は自社の端末台数と監視時間に置き換えて評価します。
光ビジネスフォーム株式会社は、Halcyonが公開する導入事例として、ランサムウェア被害時にも業務を止めないBCPの観点からアンチランサムウェア対策を再設計したと紹介されています。同事例では、同業他社の被害を踏まえ事業継続の観点から対策を見直し、暗号化挙動の検知と復元機能を活用して予防に加えて被害後の復旧も重視する方針へ移行したと説明されています。
株式会社タニタは、トレンドマイクロが公開する導入事例として、クラウド・SaaS利用の拡大に合わせてTrend Vision Oneを活用し外部公開資産を含むリスクの可視化を進めたと紹介されています。同事例では、端末管理だけでは把握しにくい外部公開資産の増加に対応するためEDRとリスク可視化を統合し、脆弱性や公開資産を優先度付きで管理する基盤を整えたと説明されています。
これらは各ベンダーが公開した導入事例であり、製品間の性能比較や被害ゼロを証明するものではありません。自社の要件に当てはめる際は、端末数、クラウド利用、監視人員、復旧時間、外部委託先の接続数を同じ軸で比較します。
規模別の導入判断
50名未満では、公開資産削減、端末更新、MFA、クラウドバックアップの隔離、外部の相談先一覧が優先です。50〜300名では、EDRの全端末展開と、夜間休日のアラートを誰が判断するかを決めます。自社当番で対応できない場合は、隔離支援を含むMDRを候補にします。
300名超では、ID、端末、クラウド、ネットワーク、子会社をまたぐログ統合と、演習を通じた復旧目標の検証が必要です。工場や医療機関など停止が安全に影響する環境では、IT部門だけで製品を選定せず、現場責任者と停止・隔離の条件を合意します。
よくある質問
RaaSに関する基本用語と、対策の判断で迷いやすい点を簡潔に整理します。
Q：RaaSの読み方は何ですか？
A：RaaSは「ラーズ」と読みます。Ransomware as a Serviceの略称で、ランサムウェア攻撃のためのツールやインフラを提供する犯罪ビジネスモデルです。
Q：RaaSオペレーターとは何ですか？
A：RaaSオペレーターは、ランサムウェア、アフィリエイト用管理画面、リークサイト、交渉基盤を運営する犯罪組織です。実際の侵入や暗号化は、アフィリエイトや別の犯罪者が担う場合があります。
Q：RaaSと通常のランサムウェアの違いは何ですか？
A：ランサムウェアはマルウェアや攻撃そのものを指し、RaaSはその攻撃手段を他の犯罪者に提供・販売する仕組みを指します。RaaSでは開発、初期侵入、攻撃実行、交渉が分業化される点が特徴です。
Q：身代金を支払えばデータは戻りますか？
A：支払っても復号鍵の提供、完全復旧、窃取データの削除は保証されません。FBIなどの捜査機関は支払いを推奨しておらず、制裁や資金洗浄に関する法的リスクも検討する必要があります。
Q：最初に取り組むべきRaaS対策は何ですか？
A：外部公開しているVPN、RDP、管理画面、不要なサーバーを洗い出し、未使用のものを停止します。その上で、保守期限内の機器への更新、緊急パッチ、多要素認証、管理者アカウント分離を実施します。
まとめ
RaaSは、オペレーター、アフィリエイト、初期侵入業者が役割を分けることで、攻撃を継続しやすくした犯罪モデルです。警察庁が集計した2025年の国内被害は226件であり、中小企業も例外ではありません。暗号化だけでなく、データ窃取と公開脅迫を伴うノーウェアランサムにも備える必要があります。
明日からの最初の一歩は、インターネットに公開されているVPN、RDP、管理画面、クラウド資産を一覧化し、所有者と更新状況を紐付けることです。未使用資産を停止できれば侵入口を減らせます。次に、MFA、EDRの監視体制、隔離バックアップ、復元訓練を業務停止の影響が大きい順に整備します。侵害を完全に防ぐ保証はありませんが、検知・隔離・復旧の時間を短縮する設計が事業継続につながります。
今日から着手できるアクションチェックリスト
✅ インターネットに公開中のVPN・RDP・管理画面・不要なサーバーを棚卸しし、未使用のものを停止する
✅ 管理者アカウントと外部接続のMFA適用状況・ログ保存先を確認し、未設定の箇所を特定する
✅ バックアップが業務系ネットワークから認証分離されているか確認し、次回の復元試験日を決める
✅ 感染疑い時の隔離手順・連絡網（経営層・法務・広報）を文書化し、担当者全員に共有する
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
