SaaSのランサムウェア対策とは？被害範囲・初動対応・契約前の確認項目を解説

「業務のほとんどをSaaSに移したから、ランサムウェアは事業者が守ってくれるはず」「もし使っているSaaSが攻撃されたら、自社は何をすればいいのか」。クラウドサービスの利用が当たり前になった今、こうした疑問を持つ情報システム担当者は少なくありません。実際には、SaaSでもランサムウェアの被害は起こり得ます。また、事業者が守る範囲と、利用企業が自ら守らなければならない範囲ははっきり分かれています。本記事では、SaaSにおけるランサムウェアの被害範囲、事業者側の対策の実態、被害発生時の初動対応、契約前に確認すべき項目までを、利用企業の立場から順に整理します。

目次

開く

閉じる

1. 対策の第一歩、日常利用するグループウェアのセキュリティを見直す
2. SaaSのランサムウェア被害範囲｜事業者側と利用企業側
3. SaaS事業者の対策実態｜Assured調査から見る課題
4. 被害発生時の初動対応フロー
5. 契約前に確認すべき項目チェックリスト
6. よくある失敗パターン4つ(バックアップ・監視体制の不備)
7. 対策の効果をどう確認するか
8. よくある質問(FAQ)
9. まとめ
10. 参考文献

対策の第一歩、日常利用するグループウェアのセキュリティを見直す

SaaSのランサムウェア対策は、毎日全社員が使うグループウェアから見直すのが効率的です。ファイル共有や掲示板、メールなど社内の情報が集まるため、IDの乗っ取りや同期ファイルの暗号化が起きたときの影響が大きく、利用企業側で設定すべき項目も多いからです。

SaaSでは、サーバーやアプリケーションの保護は事業者が担います。一方で、誰にどのIDを発行するか、どの端末からログインさせるか、どの権限を与えるかといった「使い方」の部分は、利用企業の責任です。グループウェアを例に、事業者と利用企業の責任範囲を整理しました。

対策の領域	主に責任を持つ側	グループウェアでの具体例
サーバー・ネットワーク・アプリケーションの保護	SaaS事業者	脆弱性の修正、不正侵入の監視、データセンターの管理
事業者側のバックアップと復旧	SaaS事業者	システム全体のバックアップ取得、障害時の復旧手順
IDとパスワードの管理	利用企業	多要素認証の有効化、退職者アカウントの削除、パスワードの使い回し防止
権限の設定	利用企業	管理者権限を持つ人数の絞り込み、フォルダごとの閲覧・編集権限の見直し
端末とアクセス元の管理	利用企業	IPアドレス制限、私物端末からのアクセス制御、PCのウイルス対策
自社データの保全	利用企業(契約内容による)	重要ファイルのエクスポート、ゴミ箱・版管理の保存期間の確認

表のうち利用企業の責任となる項目は、グループウェアの管理画面で設定できるものがほとんどです。ただし、多要素認証やIPアドレス制限、アクセスログの保存といった機能の有無や細かさは製品によって異なります。いま使っているグループウェアで必要な設定ができるか、また乗り換えや追加導入を検討する際にどの機能を確認すべきかを、セキュリティに強いグループウェアの選び方とあわせて確認しておきましょう。

SaaSのランサムウェア被害範囲｜事業者側と利用企業側

SaaSのランサムウェア被害は、事業者のシステムが攻撃されて全利用企業に影響が出るケースと、利用企業側のPCやIDが入口となって自社のデータだけが被害を受けるケースの2つに大きく分かれます。どちらが起きたかで、取るべき対応も変わります。

ランサムウェアは、データを暗号化して使えなくし、元に戻すことと引き換えに身代金を要求する不正プログラムです。近年は暗号化に加えてデータを盗み出し、「支払わなければ公開する」と脅す二重恐喝の手口が主流になっています。IPA(独立行政法人情報処理推進機構)の「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」で、11年連続の選出となっています。

被害のパターン	主な入口	影響範囲
事業者側のシステムが攻撃される	事業者のサーバーの脆弱性、VPN機器、事業者社員のID	そのSaaSを使う全利用企業。サービス停止、データの暗号化や流出
利用企業のPCが感染し、同期ファイルが暗号化される	メールの添付ファイル、不正なWebサイト、脆弱なリモート接続	同期フォルダやファイル共有を通じて、クラウド上のファイルまで暗号化される
利用企業の管理者IDが乗っ取られる	パスワードの使い回し、フィッシング、多要素認証の未設定	自社テナント内のデータの削除・改ざん・持ち出し、設定の変更
連携先サービスを経由した被害	API連携しているほかのSaaSや外部ツールの侵害	連携の権限の範囲内でデータが読み出される、書き換えられる

「クラウドにあるデータは安全」と考えがちですが、PCとクラウドのファイルを自動で同期している場合、PCで暗号化されたファイルがそのままクラウドにも反映されてしまいます。また、正規の管理者IDでログインされると、SaaS側からは通常の操作と見分けがつきにくく、事業者の監視だけでは気づけないこともあります。

事業者側のシステムが攻撃された場合、利用企業にできることは限られます。業務が止まる期間の代替手段と、自社データのコピーを持っているかどうかが、被害の大きさを左右します。国内でも2025年には大手企業のシステムがランサムウェア攻撃を受け、受注や出荷が長期間止まった事例が報じられました。攻撃を受けた企業のシステムだけでなく、取引先の業務にも影響が広がる点は、SaaSでも同じです。

SaaS事業者の対策実態｜Assured調査から見る課題

クラウドサービスのセキュリティ評価を行うAssuredが公開した調査では、ペネトレーションテストの実施率は39.6%、EDRの導入率は40.2%、多要素認証の実施率は61.3%でした。対策が十分とはいえない事業者も一定数あり、「SaaSだから安全」とは言い切れないのが実態です。

この調査は、Assuredのセキュリティ調査に回答したクラウドサービス事業者3,887件のデータを分析したもので、2025年10月16日時点の集計です。ランサムウェア対策を「予防」「検知・監視」「バックアップ・復旧」の3つの観点で整理すると、次のようになります。

観点	調査項目	実施率
予防	アプリケーションの脆弱性診断の実施	75.1%
予防	ペネトレーションテストの実施	39.6%
予防	設定診断(セキュリティポスチャーアセスメント)の実施	27.8%
予防	EDR(端末の不審な挙動を検知する仕組み)の導入	40.2%
予防	多要素認証の実施	61.3%
検知・監視	攻撃の兆候の監視	69.2%
検知・監視	管理画面へのアクセス監視	65.3%
バックアップ・復旧	バックアップの物理的な分離保管	57.1%
バックアップ・復旧	バックアップの論理的な分離保管	48.3%
バックアップ・復旧	リストア(復元)テストの実施	48.1%
バックアップ・復旧	実機訓練を含むBCPの策定	33.4%

特に注目したいのは、バックアップ・復旧の項目です。バックアップを取っていても、本番環境と同じネットワークや権限で管理されていれば、攻撃者にバックアップごと暗号化・削除される恐れがあります。また、実際に復元できるかを試すリストアテストを行っている事業者は半数に届いていません。攻撃を受けたときに「バックアップはあったが、戻せなかった」「戻すまでに何週間もかかった」という事態は、利用企業の業務にそのまま響きます。

この数字は事業者全体の傾向であり、個々のサービスの対策状況は契約前・更新前に利用企業が自ら確認する必要があります。確認の具体的な項目は、後の「契約前に確認すべき項目チェックリスト」で整理しています。

被害発生時の初動対応フロー

SaaSでランサムウェア被害が疑われたら、感染の疑いがある端末をネットワークから切り離し、該当IDのパスワード変更とセッションの無効化を行ったうえで、SaaS事業者と社内の責任者に連絡します。ログの保全を先に済ませ、原因が分かるまで端末の初期化は行いません。

初動の遅れは、暗号化されるファイルやデータを持ち出されるアカウントを増やします。一方で、慌てて端末を初期化したりログを消したりすると、侵入経路の調査ができなくなります。利用企業側で行う初動対応を、時系列で整理しました。

段階	行うこと	注意点
1. 検知・報告	ファイルが開けない、拡張子が変わった、脅迫文が表示された等の異常を社内窓口に報告する	現場の社員がすぐに報告できる連絡先を、事前に決めて周知しておく
2. 隔離	感染が疑われるPCをLANケーブルやWi-Fiから切り離す。同期ソフトを停止する	電源は切らずにネットワークだけを切る(メモリ上の痕跡を残すため)
3. アカウントの保護	影響が疑われるIDのパスワード変更、ログイン中のセッションの強制ログアウト、APIキーの再発行	管理者IDが侵害された可能性があれば、別の管理者IDから操作する
4. 証拠の保全	SaaSの監査ログ・ログイン履歴をエクスポートし、画面の表示や脅迫文を記録する	ログの保存期間が短いサービスもあるため、最初に保存する
5. 事業者・関係先への連絡	SaaS事業者のサポート窓口へ連絡し、事業者側の障害かどうかを確認する。経営層に報告する	個人情報の漏えいのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要になる場合がある
6. 復旧	版管理やゴミ箱、バックアップから暗号化前のデータを復元する	侵入経路をふさぐ前に復元すると、再び暗号化される恐れがある
7. 届出・再発防止	警察への相談・被害届、原因の分析と設定の見直し	身代金の支払いは、データが戻る保証がなく、さらなる攻撃を招く恐れがあるため推奨されない

この流れのうち、3のアカウントの保護と4の証拠の保全は、SaaSの管理画面の機能に大きく左右されます。強制ログアウトの操作ができない、監査ログが残っていない、残っていても保存期間が数日しかない、といった状態では、侵入経路や被害範囲を特定できません。社内で最も多くのアカウントが存在し、多くのファイルが集まるグループウェアについて、こうした機能が備わっているか、実際に設定されているかを平時のうちに確認しておきましょう。

契約前に確認すべき項目チェックリスト

SaaSを契約する前、または更新する前には、認証・ログ・バックアップ・障害時の連絡体制・第三者認証の5つの観点で、事業者の対策を確認します。公開資料で分からない項目は、セキュリティチェックシートなどで事業者に直接問い合わせましょう。

観点	確認する項目	確認のポイント
認証・アクセス制御	多要素認証、シングルサインオン、IPアドレス制限、端末制限に対応しているか	上位プランのみの機能になっていないか、全ユーザーに強制できるか
ログ	ログイン履歴・操作ログを取得でき、エクスポートできるか	保存期間の長さ、管理者の操作も記録されるか
バックアップ・復旧	バックアップの取得頻度と保存期間、分離保管の有無、リストアテストの実施	利用企業の依頼で特定時点に戻せるか、目標復旧時間が示されているか
データの持ち出し	自社データを一括でエクスポートできるか、版管理・ゴミ箱の保存期間	事業者が止まったときに、手元のデータで業務を続けられる形式か
障害時の連絡体制	インシデント発生時の通知方法・通知までの時間、サポート窓口の受付時間	SLA(サービス品質の保証)や利用規約に通知義務が書かれているか
第三者認証・診断	ISMS(ISO/IEC 27001)、ISMSクラウドセキュリティ認証(ISO/IEC 27017)、ISMAPへの登録、脆弱性診断の実施	認証の対象範囲に、そのサービスが含まれているか
連携・委託先	外部サービスとのAPI連携の権限管理、再委託先のクラウド基盤	連携アプリに与える権限を必要最小限に絞れるか

すべての項目を満たすサービスを探すのは現実的ではありません。業務への影響が大きいSaaS(顧客情報や基幹データを扱うもの、全社員が毎日使うもの)ほど確認項目を厳しくし、影響の小さいSaaSは最低限の項目に絞る、というように重要度で優先順位をつけると、確認作業を続けやすくなります。すでに契約中のSaaSについても、更新のタイミングで同じ観点から見直しましょう。

よくある失敗パターン4つ(バックアップ・監視体制の不備)

SaaS利用企業のランサムウェア対策でよくある失敗は、バックアップを事業者任せにする、同期フォルダを無制限に使う、管理者IDを共有する、ログを見ていない、の4つです。いずれも設定と運用ルールの見直しで改善できます。

失敗パターン	Before(よくある状態)	After(改善後)
1. バックアップを事業者任せにする	事業者がバックアップを取っていると思い込み、自社で個別のデータを戻せる期間や方法を把握していない	復元できる期間と手順を確認し、重要データは定期的にエクスポートして別の場所に保管する
2. 同期フォルダを無制限に使う	全社員のPCで共有フォルダ全体を自動同期しており、1台の感染で共有ファイルがまとめて暗号化される	同期する範囲を業務に必要なフォルダに絞り、版管理を有効にして暗号化前の状態に戻せるようにする
3. 管理者IDを共有する	1つの管理者IDとパスワードを複数人で使い回し、多要素認証も設定していない	管理者は個人ごとのIDにして人数を絞り、多要素認証を必須にする
4. ログを見ていない	監査ログは取得しているが誰も確認しておらず、深夜の大量ダウンロードや海外からのログインに気づかない	不審なログインや大量操作の通知を設定し、確認する担当者と頻度を決める

このほか、退職者や異動者のアカウントが残ったままになっている、連携アプリに必要以上の権限を与えている、といった状態も侵入の入口になります。年に1回から2回、アカウントと権限の棚卸しを行う日を決めておくと、放置を防げます。

対策の効果をどう確認するか

対策の効果は、多要素認証の設定率や、不要なアカウント・管理者権限の数、リストアにかかった時間などの数値で定期的に確認します。数値で追うと、設定の抜け漏れや運用の形骸化に早く気づけます。

確認する指標	確認方法	目安
多要素認証の設定率	管理画面のユーザー一覧で、設定済みのユーザーの割合を確認する	全ユーザー100%(強制設定)
不要なアカウントの数	人事の在籍者リストとSaaSのアカウント一覧を突き合わせる	0件
管理者権限を持つ人数	権限ごとのユーザー数を確認する	業務上必要な最小人数(複数名で相互確認できる体制)
リストアにかかる時間	テスト用のファイルを削除・上書きし、復元できるまでの時間を計る	業務で許容できる停止時間内に収まるか
初動対応の訓練	被害を想定した机上訓練で、報告から隔離・事業者への連絡までの流れを確認する	年1回以上

これらの指標の多くは、SaaSの管理画面からどれだけ情報を取り出せるかで確認のしやすさが変わります。ユーザーごとの多要素認証の設定状況や権限の一覧、ログのエクスポートといった機能が不足していると、数値を集めるだけで手間がかかり、確認が続かなくなりがちです。まずは社内で最も利用者が多いグループウェアで指標を確認できるかを試し、必要な機能がそろっているかを見直すことをおすすめします。

よくある質問(FAQ)

Q. SaaSを使っていればランサムウェアの被害は受けませんか？

A. 被害を受ける可能性はあります。事業者のシステムが攻撃されるケースのほか、利用企業のPCの感染で同期ファイルが暗号化されるケースや、管理者IDの乗っ取りでデータが削除・持ち出されるケースがあります。

Q. SaaSのセキュリティは事業者と利用企業のどちらの責任ですか？

A. サーバーやアプリケーションの保護は事業者の責任ですが、IDとパスワードの管理、権限の設定、端末とアクセス元の管理などは利用企業の責任です。自社データの保全も、契約内容によっては利用企業が担います。

Q. SaaS事業者のランサムウェア対策はどの程度進んでいますか？

A. Assuredが公開した事業者3,887件の調査では、ペネトレーションテストの実施率は39.6%、EDRの導入率は40.2%、多要素認証の実施率は61.3%、リストアテストの実施率は48.1%でした。対策には事業者ごとにばらつきがあります。

Q. SaaSでランサムウェア被害が疑われたら、最初に何をすべきですか？

A. 感染が疑われる端末をネットワークから切り離し、影響が疑われるIDのパスワード変更とセッションの無効化を行います。そのうえで監査ログを保全し、SaaS事業者と社内の責任者に連絡します。

Q. SaaSの契約前には何を確認すればよいですか？

A. 多要素認証やIPアドレス制限への対応、ログの取得とエクスポート、バックアップの保存期間と分離保管、インシデント発生時の通知体制、ISMSなどの第三者認証を確認します。公開資料で分からない項目は事業者に問い合わせましょう。

Q. ランサムウェアの身代金は支払うべきですか？

A. 支払ってもデータが戻る保証はなく、盗まれたデータが公開されない保証もありません。さらなる攻撃を招く恐れもあるため推奨されません。警察に相談し、バックアップからの復旧を進めましょう。

まとめ

SaaSでもランサムウェアの被害は起こり得ます。事業者のシステムが攻撃されるケースに加え、利用企業のPCやIDが入口になるケースも多く、IDや権限、端末の管理は利用企業自身の責任です。事業者側の対策にもばらつきがあるため、契約前・更新前に認証、ログ、バックアップ、連絡体制、第三者認証を確認し、被害が疑われたときの初動対応の流れを決めておくことが大切です。まずは次の3つから始めてみてください。

1. 全社員が使うグループウェアなど主要なSaaSで、多要素認証の強制と管理者IDの個人化を行う
2. 利用中のSaaSについて、バックアップから戻せる期間とログの保存期間を確認する
3. 被害が疑われたときの報告先と初動対応の手順を決め、社内に周知する

参考文献

• 独立行政法人情報処理推進機構(IPA)「情報セキュリティ10大脅威 2026」 https://www.ipa.go.jp/security/10threats/10threats2026.html
• 警察庁「サイバー空間をめぐる脅威の情勢等について」 https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
• 総務省「国民のためのサイバーセキュリティサイト」 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/
• Assured「クラウドサービス(SaaS)事業者のランサムウェア対策実態」 https://assured.jp/column/ransomware_saas