ノーウェアランサム（暗号化しないランサムウェア）とは？バックアップだけでは守れない理由と「盗ませない・気づく」対策【中小企業向け】
ある朝、社内のパソコンはいつもどおり普通に起動し、ファイルも問題なく開ける。業務はまったく止まっていない。それなのに、攻撃者から「御社のデータはすべてこちらにある。公開されたくなければ金を払え」というメールだけが届く。——これが「ノーウェアランサム」の被害です。
先に結論をお伝えします。ノーウェアランサムに対しては、「バックアップを取っているから大丈夫」という最も一般的なランサムウェア対策が、構造的にまったく効きません。データが暗号化されていないため、そもそも「元に戻すもの」が無いからです。盗まれたデータが公開されるかどうかは、バックアップの有無とは一切関係がありません。
そのうえで、もう1点お伝えしたいことがあります。警察庁が2026年3月に公表した資料には、ランサムウェア攻撃者が「侵入時の痕跡を消したり、復旧作業をさせないために、被害企業のログやバックアップを消去する」と明記されています。つまり、暗号化される従来型の攻撃であっても、バックアップは「取ってあれば安心」なものではありません。
ではどうすればよいのか。答えは「盗ませない」「持ち出しに気づく」「そもそも侵入させない」の3つに対策の重心を移すことです。本記事では、中小企業の経営者・情報システム担当者の方に向けて、従来型との違い／警察庁の最新統計／バックアップが効かない理由／侵入経路／盗まれたことに気づく方法／報告義務／対策の優先順位と費用までを、公的機関の一次情報にもとづいて整理します。
なお、本記事は「暗号化を一切行わない」類型に絞って解説します。ランサムウェアそのものの基礎や、暗号化と窃取を組み合わせる「二重脅迫」については、下記の記事をあわせてご覧ください。
▶ 関連記事：ランサムウェアとは？感染したら会社はどうなるか具体的に解説
▶ 関連記事：ランサムウェア「二重脅迫・三重脅迫」の最新動向と中小企業の備え方
ノーウェアランサム（暗号化しないランサムウェア）とは？
ノーウェアランサムとは、データを暗号化せずに盗み出し、「公開されたくなければ対価を払え」と要求する攻撃のことです。「ノーウェア（no-ware）」は「ランサム“ウェア”（暗号化するプログラム）を使わない」という意味で、日本では警察庁が統計上の区分として使っている呼び方です。
警察庁は令和7年（2025年）の資料で、この手口を「ランサムウェアで暗号化することなく、データを窃取した上で機密情報等の公開を予告して対価を要求する手口」と説明しています。攻撃者からすれば、暗号化という一番手間がかかり、一番見つかりやすい工程を丸ごと省いた形です。
従来型のランサムウェアと並べると、違いがはっきりします。
| 項目 | 従来型のランサムウェア | ノーウェアランサム |
|---|---|---|
| 攻撃者がすること | データを暗号化し、さらに窃取する | データを窃取するだけ（暗号化しない） |
| 脅しの内容 | 「戻してほしければ払え」＋「公開されたくなければ払え」 | 「公開されたくなければ払え」のみ |
| 業務への影響 | システムが止まり、業務が停止する | 業務は止まらない。普段どおり動く |
| 気づくタイミング | 暗号化された当日にすぐ分かる | 攻撃者から連絡が来るまで気づけないことが多い |
| バックアップの有効性 | 復旧には有効（ただし消されることがある） | まったく効かない |
| 本当の怖さ | 事業が止まること | 情報が公開され、取引先・顧客の信頼を失うこと |
表の最後の2行が、この記事でいちばんお伝えしたい点です。ノーウェアランサムは「事業を止める攻撃」ではなく「信用を人質に取る攻撃」であり、だからこそ従来の備え方が通用しません。
補足すると、ランサムウェア攻撃はもともと「暗号化だけ」から「暗号化＋窃取（二重恐喝）」へと重心が移ってきました。警察庁の統計でも、令和6年に対価の要求が確認された134件のうち111件（82.8％）が二重恐喝でした。ノーウェアランサムは、その流れがさらに進んで「窃取だけ」になった最終形と位置づけると分かりやすいと思います。
なぜ攻撃者は「暗号化」をやめたのか？
わざわざ手口を変えるのには、攻撃者側にとって合理的な理由が3つあります。
理由①：暗号化はいちばん見つかりやすい工程だから
大量のファイルを次々に書き換える動きは、いかにも異常です。近年のウイルス対策ソフトやEDR（端末の不審な挙動を監視・記録する仕組み）は、まさにこの「大量のファイル書き換え」を検知するように作られています。暗号化をやめれば、この検知をまるごと回避できます。
理由②：暗号化には時間がかかり、途中で止められるから
数百GBのデータを暗号化するには相応の時間がかかり、その間に管理者に気づかれれば攻撃は失敗します。データをコピーして持ち出すだけなら、より短時間で、より静かに完了します。
理由③：バックアップが普及して、暗号化では金を取れなくなったから
企業側のバックアップ対策が進んだ結果、「暗号化されても復元できるので払わない」という判断が増えました。攻撃者はそこで「復元できても困る脅し」に切り替えたわけです。皮肉なことに、バックアップが普及したことこそが、この手口が生まれた背景のひとつです。
つまりノーウェアランサムは、企業側の対策が進んだことへの、攻撃者側の「回答」として登場した手口だと理解しておくと、対策の方向性を見誤りません。
日本ではどれくらい起きている？（警察庁の最新統計）
警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」から、中小企業に関係の深い数字を抜き出します。
| 項目 | 令和7年（2025年）の状況 |
|---|---|
| ランサムウェア被害報告件数 | 226件（令和6年は222件） |
| ノーウェアランサムの報告件数 | 17件（令和6年は22件。令和5年上半期から集計） |
| 被害企業の規模 | 中小企業が約6割 |
| 被害企業の業種 | 製造業が約4割（卸売・小売業、サービス業、情報通信業が続く） |
| 主な侵入経路 | VPN機器が6割以上（令和7年上半期はVPN・リモートデスクトップ用機器で8割以上） |
| 復旧にかかった費用 | 総額1,000万円以上を要した組織が全体の5割超 |
| 復旧にかかった期間 | 1か月未満で復旧できた組織は5割強にとどまる |
| BCP（事業継続計画）の策定率 | 策定済みの組織は約18％ |
ここが落とし穴：「ノーウェアランサムは17件だけなら、うちには関係ない」と読むのは危険です。この17件は警察に報告された件数にすぎません。ノーウェアランサムは業務が止まらないため、そもそも被害に気づけない企業、気づいても公表せずに済ませてしまう企業が相当数あると考えられます。実際、暗号化型の攻撃は社名とともに大きく報道されるのに対し、ノーウェアランサムの個別事例はほとんど表に出てきません。それ自体が、この攻撃が「隠されやすい」ことの裏返しです。件数の小ささは、危険の小ささを意味しません。
なお、令和7年上半期だけを見ると、被害報告件数は116件と半期として過去最多、うち中小企業が77件で約3分の2を占め、件数・割合ともに過去最多でした。調査・復旧費用が1,000万円以上に達した組織の割合も、50％から59％へ上昇しています。
警察庁は、中小企業の被害が増えている背景としてRaaS（Ransomware as a Service）を挙げています。これは、ランサムウェアの開発・運営を行うグループが攻撃の実行者に必要な道具一式を提供し、見返りに身代金の一部を受け取る仕組みです。その結果、高度な技術を持たない者でも攻撃を実行できるようになり、攻撃者の裾野が広がったとされています。狙われる理由は「価値ある情報を持っているから」ではなく、「入りやすいから」に変わってきているのです。
あわせて押さえておきたいのが、被害の6割が中小企業で、侵入口の6割以上がVPN機器だという点です。警察庁は侵入の原因として、「当該機器のID・パスワード等が非常に安易であったこと」「不必要なアカウントが適切に管理されずに存在していたこと」を挙げています。高度な攻撃技術で破られているのではなく、放置されていた入口から普通に入られているのが実態です。
▶ 関連記事：法人向けリモートアクセスVPNの選び方｜方式の違い・比較と「脱VPN」ゼロトラスト・SASEへの移行【中小企業向け】
なぜ「バックアップを取っているから大丈夫」が通用しないのか？
ランサムウェア対策として最初に案内されるのが、ほぼ必ずバックアップです。それ自体は正しい対策です。ただしバックアップが守ってくれるのは「データが使えなくなること」だけで、「データが外に出ること」は一切守ってくれません。
| 起きること | 従来型ランサムウェア | ノーウェアランサム |
|---|---|---|
| ファイルが開けなくなる | 起きる → バックアップで復旧できる | 起きない（そもそも壊れていない） |
| データが外部に持ち出される | 起きる → バックアップでは防げない | 起きる → バックアップでは防げない |
| 情報を公開すると脅される | 起きる → バックアップでは防げない | 起きる → バックアップでは防げない |
| 取引先・顧客への報告が必要になる | 必要 → バックアップでは防げない | 必要 → バックアップでは防げない |
| バックアップが果たす役割 | 事業を再開させる | ほぼ何も果たさない |
理由①：暗号化されないので「元に戻すもの」が無い
バックアップは「壊されたものを元に戻す」ための仕組みです。ノーウェアランサムでは何も壊れていません。戻す対象が存在しないので、どれだけ完璧なバックアップを持っていても、被害には何の影響も与えません。持ち出されたデータは、コピーされた時点で取り返しがつかないのです。
理由②：攻撃者は、バックアップとログを消しにくる
これは従来型の攻撃にも共通する、より重い問題です。警察庁は、ランサムウェアグループが身代金を得るために講じている策として、次の3つを具体的に挙げています。
- 土日が休業日の企業を狙う場合に、金曜日の営業終了後にシステムに侵入して、月曜日の朝までに暗号化を実行する
- 被害企業に侵入口を閉じられた場合でも再侵入できるように、遠隔操作可能なソフトウェアをバックドアとして設置する
- 侵入時の痕跡を消したり、復旧作業をさせないために、被害企業のログやバックアップを消去する
ここが落とし穴：「社内のNASにバックアップを取っているから安心」は成り立ちません。攻撃者は社内ネットワークを探索し、バックアップを見つけて消去または暗号化してから本番の攻撃を実行します。バックアップは、ネットワークから切り離された場所（オフライン）またはクラウド上に、本番データとは別に置いてはじめて意味を持ちます。
警察庁も、対策として「日頃からのログの取得・保管やバックアップのオフライン環境での保管」を明記しています。つまり必要なのは「バックアップを取ること」ではなく、「攻撃者に消されない場所にバックアップを置くこと」と「何が起きたかを後から追えるログを残すこと」です。
▶ 関連記事：バックアップの基本「3-2-1ルール」とは
▶ 関連記事：クラウドバックアップの費用・料金相場はいくら？サーバー・PC・Microsoft 365データを守る月額の目安と補助金で抑える方法【中小企業向け】
攻撃者はどこから入ってくる？
ノーウェアランサムであっても、社内に侵入するまでの流れは従来型とまったく同じです。したがって「入口を塞ぐ対策」はそのまま有効です。警察庁の統計にもとづき、中小企業が優先して手を打つべき順に整理します。
| 侵入経路 | なぜ入口になるのか | 効く対策 | 優先度 |
|---|---|---|---|
| VPN機器 | 更新プログラムが当たっておらず、既知の弱点が放置されている | 機器のファームウェア更新、公開資産の棚卸し | 最優先 |
| VPN・管理画面のID／パスワード | パスワードが安易、退職者や試験用のアカウントが残っている | 多要素認証（MFA）の必須化、不要アカウントの削除 | 最優先 |
| リモートデスクトップ（RDP） | インターネットに直接公開されたまま運用されている | 公開の停止、VPN経由に限定、MFA | 高 |
| メールの添付・リンク | 従業員が開いてしまい、端末が乗っ取られる | メールセキュリティ、標的型メール訓練 | 中 |
| 盗まれたID・パスワード | 他所で漏れた認証情報がそのまま使われる | パスワードの使い回し防止、MFA | 高 |
| 海外拠点・グループ会社の機器 | 本社が管理しておらず、更新も監視もされていない | 全拠点の資産棚卸し、管理主体の明確化 | 中 |
警察庁は、実際にあった事例として「海外支社等の機器を管理できていなかったためにそこから侵入され、国内の本社が被害に遭う事例」や、「試験的に作成したアカウントの安易な認証情報を利用されて侵入された事例」を挙げています。守るべきは「本社の主要サーバー」だけではありません。
▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方｜脆弱性診断（Webアプリ・ペネトレ）とマネージド脆弱性管理の違いを中小企業向けに解説
▶ 関連記事：多要素認証（MFA）ツール比較｜法人向けおすすめ製品と料金・認証方式の選び方【中小企業向け】
盗まれたことに、どうやって気づけばいい？
ノーウェアランサムの最大の難しさは、被害に気づくきっかけが「攻撃者からの連絡」しかないことです。何もしていなければ、社内で異変を察知できる可能性はほとんどありません。逆に言えば、気づく仕掛けを事前に入れておけるかどうかが勝負になります。
大量持ち出しの前後に現れるサイン
- 深夜や休日に、ファイルサーバーへの大量アクセスが発生している
- 普段は使われないアカウントでのログインが記録されている
- 見慣れないリモート操作ソフトや圧縮ツールが端末に入っている
- 外部のクラウドストレージへ、普段より桁違いに大きい通信が出ている
- 管理者権限のアカウントが、いつの間にか増えている
これらはいずれも「ログを取っていて、かつ誰かが見ている」状態でなければ気づけません。ここが、ノーウェアランサム対策の実務上の要になります。
ログが無ければ「何を盗まれたか」は永久に分からない
被害が発覚した後、必ず必要になるのが「どの範囲の、どんなデータが持ち出されたのか」の特定です。これが分からなければ、取引先にも顧客にも説明できず、個人情報保護法にもとづく報告もできません。
そしてこの特定は、事後にどれだけ費用をかけても、ログが残っていなければ不可能です。警察庁も「ログが保存されていない場合、適切な対策を講じることができずに脆弱性が放置され、再被害のおそれがあるほか、バックアップからの復旧対応に支障を及ぼすおそれがある」と指摘しています。
ここが落とし穴：被害に気づいたとき、慌てて端末の電源を切ってはいけません。警察庁も「慌てて電源をオフにすると、ログ等の侵入の痕跡が失われてしまい、その後のフォレンジック調査が困難になる可能性がある」と注意しています。まず行うのはネットワークからの切り離し（LANケーブルを抜く／Wi-Fiを切る）であって、電源断ではありません。
▶ 関連記事：セキュリティログの保持期間は6か月で十分？主要製品のデフォルト保持期間と延長オプションを徹底比較
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト
「本当に盗まれたのか」はどう確認する？
ノーウェアランサム特有の問題として、攻撃者の主張が本当かどうかを自社で検証しなければならないという点があります。データが暗号化されていない以上、「盗んだ」という攻撃者の言い分だけが手がかりだからです。実際には、何も盗んでいないのに脅してくる愉快犯やハッタリも存在します。
以下の順で確認します。
- 攻撃者が提示してきたデータの一部（サンプル）を確認する。自社の実在するファイルか、いつ時点のものかを照合します。ただし、攻撃者へ返信するかどうかは慎重に判断してください。
- 該当データが保管されていたサーバー・共有フォルダを特定する。サンプルの中身から、どこにあったデータかを逆算します。
- そのサーバーのアクセスログ・通信ログを確認する。大量の読み出しや外部への大量送信が、いつ・どのアカウントから行われたかを調べます。
- 侵入経路と侵入時期を特定する。VPN機器やリモートデスクトップの認証ログを確認します。
- 持ち出された範囲を確定させ、記録に残す。これが取引先・顧客への説明と、法律にもとづく報告の土台になります。
自社だけで(3)以降を行うのは現実的に難しいため、専門の調査サービスを使うのが一般的です。自社で取り扱っている「マルウェア感染調査サービス」では、感染が疑われる端末に高性能なEDRを一括導入して調査と被害拡大防止を同時に行い、300台まで298,000円（税別）、17時までの発注で翌日対応という価格・スピードで提供しています。
▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方【中小企業向け】
身代金を払えば、公開されずに済む？
結論から申し上げると、支払っても公開されない保証はどこにもありません。暗号化型であれば「復号ツールが手に入るかどうか」という分かりやすい結果がありますが、ノーウェアランサムで買おうとしているのは「盗んだデータを消しました」という攻撃者の言葉だけです。
攻撃者が本当にデータを削除したことを、被害企業が検証する手段は存在しません。実際には、支払った後に別のグループへデータが転売されたり、時間をおいて再度脅迫されたりする事例が確認されています。
警察庁も、身代金の支払いについて「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と被害者に説明したうえで、支払いの有無を含む情報提供と捜査への協力を求めています。
業務は止まっていないから、黙っていてもいい？
ノーウェアランサムは業務が止まらないため、「公表しなければ誰にも知られずに済むのではないか」という誘惑が生まれやすい攻撃です。ここは明確にお伝えします。持ち出されたデータに個人情報が含まれていれば、公表するかどうかにかかわらず、法律上の報告義務が発生します。
| 何を | 誰に | いつまでに |
|---|---|---|
| 個人情報の漏えい等の報告（速報） | 個人情報保護委員会 | 速やかに（おおむね3〜5日以内） |
| 同（確報） | 個人情報保護委員会 | 60日以内（不正の目的による行為の場合） |
| 本人への通知 | 対象となる本人 | 速やかに（困難な場合は公表等の代替措置） |
| 契約上の通知 | 取引先 | 契約で定められた期限（「直ちに」等、法律より厳しいことがある） |
ここが落とし穴：不正アクセスなど「不正の目的による行為」によって漏えいした場合は、対象が1人分であっても報告義務の対象です。「件数が少ないから報告不要」にはなりません。また、報告義務に関する命令に違反した場合、法人には1億円以下の罰金が科され得ます。隠すことは、リスクを減らすどころか増やす選択です。
さらに現実的な問題として、盗まれたデータは攻撃者のリークサイトに掲載されることが多く、遅かれ早かれ取引先や顧客が先に気づきます。自社から先に説明したかどうかで、その後の信頼の残り方はまったく変わります。
漏えいの規模も他人事ではありません。警察庁が挙げた事例では、令和7年2月に保険大手企業がランサムウェア攻撃を受け、約510万件を超える個人情報が漏えいしたおそれがあると発表しています。自社が保有する顧客名簿や取引先データの件数を、一度数えてみてください。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）と2026年10月施行のサイバー対処能力強化法【中小企業向け】
▶ 関連記事：情報漏洩が発覚したら？取引先・顧客への報告手順と注意点
結局、何から手を付ければいい？
ノーウェアランサム対策は、「侵入させない」「盗ませない」「気づく」の3つの層で考えると整理できます。バックアップは3層のどこにも入らず、暗号化型に備えるための別枠だと理解してください。
| 優先度 | やること | どの層か | 費用の目安（30名規模・税別） |
|---|---|---|---|
| 1 | VPN機器・公開サーバーの更新と棚卸し | 侵入させない | 自社対応なら0円／マネージドは要見積り |
| 2 | VPN・管理画面・クラウドに多要素認証（MFA）を必須化 | 侵入させない | 月300〜660円／ID（年11万〜24万円） |
| 3 | 不要なアカウント・退職者アカウントの削除 | 侵入させない | 0円（運用で対応） |
| 4 | EDR＋24時間365日の監視（SOC）を入れる | 気づく | 月1,000円〜／台（年約36万円） |
| 5 | 操作ログ・USBメモリ制御・Webアップロード制御 | 盗ませない | 月500〜600円／台（年約18万〜22万円） |
| 6 | バックアップをオフラインまたはクラウドに置く | （暗号化型への備え） | 年3.6万円〜（100GB） |
| 7 | 従業員へのセキュリティ教育・標的型メール訓練 | 侵入させない | 年約22万円〜（初期費用別） |
優先度1〜3はほとんど費用がかからないのに効果が最も大きい項目です。警察庁の統計が示すとおり、侵入の6割以上はVPN機器と安易な認証情報が原因なので、まずここを潰さずに製品を買っても効率が悪いのが実情です。
4つ目の考え方：「盗まれても読めなくしておく」
3つの層に加えて、余力があれば検討したいのが「持ち出されても中身を読めなくしておく」という考え方です。設計図や契約書、個人情報を含むファイルそのものを暗号化しておけば、攻撃者がコピーを持ち去っても公開できるのは意味をなさないデータだけになります。
具体的には、ファイル自体を暗号化して閲覧権限を管理する仕組み（ファイル暗号化・IRM）や、社外へ送るファイルの自動暗号化があります。全社の全ファイルに適用すると業務が回らなくなるため、「これが世に出たら最も困る」という一群だけに絞って適用するのが現実的です。まずは、その一群がどのフォルダにあるのかを特定するところから始めてください。
▶ 関連記事：DLPとは？仕組み・主要機能・中小企業の選び方を徹底解説
▶ 関連記事：法人向けメール暗号化ソフトの比較｜脱PPAP・誤送信対策の方式と選び方・費用相場【中小企業向け】
どの製品を組み合わせれば守れる？
自社で取り扱っている製品を、「どの層を担当するか」という観点で並べます。1つですべてをカバーする製品はありません。自社に足りていない層から足していくのが現実的です。
| 項目 | SentinelOne データお守り隊 | Sophos MDR | LANSCOPE エンドポイントマネージャー | i-FILTER@Cloud | Sophos Cyber Risk Management |
|---|---|---|---|---|---|
| 主な役割 | EDR＋SOCによる検知と対応 | 24時間365日のフルマネージド監視 | IT資産管理・操作ログ・端末制御 | Webフィルタリングとアップロード制御 | 脆弱性・公開資産の可視化 |
| 担当する層 | 気づく | 気づく | 盗ませる前に気づく | 盗ませない | 侵入させない |
| 不審な大量持ち出しの検知 | ○（EDRで挙動を検知） | ○（専門家が調査まで実施） | ○（ファイル操作ログで追跡） | ○（アップロードを操作単位で制御） | △（侵入前の穴を塞ぐ役割） |
| 24時間365日の監視 | ○（AIによる監視＋SOC） | ◎（世界8拠点のSOC・平均応答38分） | × | × | ○（専門アナリストが監視） |
| USB・記録メディアの制御 | ○（Controlオプション以上） | △（連携製品側で対応） | ◎（グループ単位で禁止・読取専用） | × | × |
| Webへのアップロード制御 | × | × | △（Webアクセスログの取得） | ◎（ログイン・書き込み・アップロードを個別制御） | × |
| VPN機器など公開資産の脆弱性発見 | × | ○（XDRの範囲で） | △（更新プログラム適用状況の把握） | × | ◎（EASM／IASMで内外を継続スキャン） |
| 初期費用（税別） | 0円 | 要見積り | 30,000円／契約 | 要問い合わせ | 要見積り |
| 月額の目安（税別） | 1ユーザー 1,000円〜 | 要見積り | 1台 500円〜 | 1ユーザー 600円〜 | 要見積り |
| 詳細ページ | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
中小企業がまず入れるべきなのは、「気づく」層です。ノーウェアランサムは業務が止まらないため、検知の仕組みが無ければ被害の事実そのものが分かりません。情報システム担当者が1〜2名以下の会社であれば、EDRを入れるだけでなく、アラートに対応してくれるSOC付きのサービスを選ぶことを強くおすすめします。
「盗ませない」層としては、USBメモリなどの記録メディア制御とWebサービスへのアップロード制御が効きます。これらは攻撃者による持ち出しだけでなく、退職者や従業員による内部からの持ち出しにも同時に効くのが利点です。
▶ 関連記事：内部不正による情報漏えいとは？退職者の情報持ち出しの実際の手口と対策・営業秘密の守り方【中小企業向け】
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方【中小企業向け】
▶ 関連記事：EDR徹底比較｜CrowdStrike vs SentinelOne vs Sophos Intercept X｜中小企業に最適なのは？
費用はどれくらいかかる？
従業員30名・パソコン30台の会社を想定した、年間費用の目安です（いずれも税別・概算）。
| 対策 | 年間費用の目安 |
|---|---|
| EDR＋SOC（1台 月1,000円 × 30台） | 約36万円 |
| 操作ログ・記録メディア制御（1台 月500円 × 30台＋初期30,000円） | 初年度 約21万円 |
| Webアップロード制御（1名 月600円 × 30名） | 約21.6万円 |
| クラウドバックアップ（100GBプラン） | 約3.6万円 |
| 従業員教育・標的型メール訓練（50名以下プラン） | 初年度 約31.6万円 |
| 【参考】被害が起きてからの調査費用 | 298,000円〜（詳細レポートは別途50万円） |
上の5つをすべて実施しても年間およそ110万円台です。一方、警察庁の統計ではランサムウェア被害からの復旧に総額1,000万円以上を要した組織が5割を超えています。桁がひとつ違います。
ここが落とし穴：被害後に払う調査費用は、「何を盗まれたかを知るための費用」であって、盗まれたデータが返ってくるわけではありません。しかも、ログを残していなければ調査を依頼しても「特定できない」という結論しか出ません。事前の投資と事後の支出は、金額だけでなく得られるものの質がまったく違います。
補助金でコストを抑えられる？
抑えられます。デジタル化・AI導入補助金（旧・IT導入補助金）は、EDRやIT資産管理、Webフィルタリング、セキュリティ教育といったツールの導入費用を対象にできる制度です。
- 補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件を満たせば最大5分の4）
- 申請にはSECURITY ACTION（セキュリティ対策自己宣言）の宣言IDとGビズIDが必要
- 交付決定前に発注した費用は対象外になるため、購入前に相談することが必須
ご注意：補助率・補助上限額・対象経費・締切は、申請枠や年度の公募要領によって変わります。必ず最新の公募要領をご確認のうえ、判断に迷う場合は支援事業者や専門家にご相談ください。とくに「交付決定前の発注は対象外」という点は、多くの企業がつまずくポイントです。
株式会社アーデントはデジタル化・AI導入補助金の支援事業者として、製品選定から申請手続き、導入後の運用までを一括でサポートしています。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ【中小企業向け】
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方・デジタル化・AI導入補助金の申請要件【2026年版】
情報システム担当がいなくても運用できる？
できます。ただし「監視する人」を外に置くことが前提になります。
ノーウェアランサム対策の中心は「気づくこと」ですが、EDRを入れただけでは、上がってきたアラートが本物の攻撃なのかを判断する人が必要です。警察庁の統計では、被害の6割が中小企業であり、その多くは専任のセキュリティ担当者を置けていません。
現実的な解は、SOC付きのサービスを選ぶことです。SentinelOneベースの「データお守り隊」は初期費用0円・1ユーザー月1,000円（税別）から、AIによる24時間365日の監視と専門チームのサポートが付きます。Sophos MDRであれば、世界8拠点のSOCが平均38分で対応し、端末の隔離やマルウェア除去まで代行します。
また、警察庁の資料が示すとおりBCP（事業継続計画）を策定済みの組織はわずか約18％です。「誰が最初に気づき、誰に連絡し、誰が判断するのか」を1枚の紙にしておくだけでも、初動は大きく変わります。
よくある質問
Q. ウイルス対策ソフトを入れていれば防げますか？
A. 十分ではありません。ノーウェアランサムは暗号化という「分かりやすい異常」を起こさないため、ファイルの書き換えを検知するタイプの防御をすり抜けます。また、攻撃者は正規のリモート操作ソフトや圧縮ツールを使ってデータを持ち出すため、「何のファイルか」ではなく「何をしようとしたか」で判断するEDRが必要になります。
Q. 従業員10名の会社でも狙われますか？
A. 狙われます。警察庁の統計では被害企業の約6割が中小企業で、令和7年上半期は件数・割合ともに過去最多を更新しました。攻撃者は企業名を指定して狙っているのではなく、インターネット上で「更新されていないVPN機器」を機械的に探して侵入しているため、規模は関係ありません。警察庁も、RaaSによって攻撃者の裾野が広がったことが「対策が比較的手薄な中小企業の被害増加につながっている」と分析しています。
Q. バックアップは無駄ということですか？
A. いいえ、必須です。ノーウェアランサムには効きませんが、暗号化型のランサムウェア、機器の故障、誤削除には確実に効きます。お伝えしたいのは「バックアップをやめよう」ではなく、「バックアップだけで対策が完了したと考えないでください」ということです。あわせて、社内NASだけでなくオフラインまたはクラウドにも置いてください。
Q. 攻撃者から連絡が来ました。まず何をすべきですか？
A. (1) 端末の電源は切らずにネットワークから切り離す、(2) 攻撃者に返信する前に経営層で対応方針を決める、(3) ログを保全する、(4) 専門の調査会社と警察に相談する、の順です。電源を切るとログが失われ、何を盗まれたかを特定できなくなります。
Q. 情報が公開されてしまったら、もう手の打ちようがないのでは？
A. 公開を止めることはできませんが、やるべきことは残っています。影響範囲を確定させて本人と取引先へ説明すること、漏れた認証情報をすべて無効化して二次被害を防ぐこと、侵入経路を塞いで再侵入を防ぐことです。とくに攻撃者はバックドアを残していることが多いため、経路を塞がなければ同じ手口で再び侵入されます。
Q. サイバー保険に入っていれば大丈夫ですか？
A. 費用の一部は補填できますが、失った信頼は戻りません。また、サポートが終了したOSを業務利用していた場合など、約款で免責となるケースがあります。加入している場合は、「どこまでが補償対象か」「事故発生時に何時間以内に連絡が必要か」を事前に確認しておいてください。
Q. 何から相談すればよいか分かりません。
A. まずは「インターネットに公開している機器の一覧」と「誰がどの端末を使っているか」の2つを洗い出すところからで構いません。この2つが分かれば、優先度の高い対策はほぼ自動的に決まります。棚卸しの段階からご相談いただけます。
▶ 関連記事：今すぐ確認！自社のセキュリティレベルを10分で診断する方法
まとめ
ノーウェアランサムは、データを暗号化せずに盗み出し、「公開されたくなければ払え」と脅す攻撃です。
業務が止まらないため被害に気づきにくく、気づくきっかけが攻撃者からの連絡しかないという点が、従来型との決定的な違いになります。
警察庁の資料によれば、令和7年のランサムウェア被害報告は226件、ノーウェアランサムの報告は17件でした。
被害の約6割が中小企業で、侵入口の6割以上はVPN機器です。高度な技術ではなく、放置された入口から入られているのが実態です。
そして最も重要な点は、「バックアップを取っているから大丈夫」がこの攻撃にはまったく通用しないということです。
暗号化されていない以上、戻すものが無く、盗まれた事実はバックアップでは何も変わりません。
さらに警察庁は、攻撃者が復旧させないために被害企業のログやバックアップを消去すると明記しています。バックアップはオフラインかクラウドに置いてはじめて意味を持ちます。
とるべき対策は、「侵入させない」（VPN機器の更新とMFA）、「盗ませない」（USB・アップロード制御）、「気づく」（EDRとSOC、ログの保全）の3層です。
優先度が高い項目ほど費用はかからず、30名規模なら主要な対策を揃えても年間110万円台に収まります。
一方、被害からの復旧に1,000万円以上を要した組織は5割を超えており、事前の備えのほうが桁違いに安く済みます。
費用面はデジタル化・AI導入補助金で抑えられますが、交付決定前の発注は対象外になるため、購入前のご相談をおすすめします。
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策
▶ 関連記事：インフォスティーラー（情報窃取型マルウェア）とは？ブラウザ保存のパスワードとCookieが盗まれる手口・多要素認証が突破される理由と対策【中小企業向け】
▶ 関連記事：サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】
▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説