Microsoft 365のランサムウェア対策──標準機能で守れる範囲と、守れない範囲

ランサムウェアの被害が国内で高い水準のまま続いています。一方で、業務の中心をMicrosoft 365に移した企業のあいだには、「クラウドに置いてあるから大丈夫だろう」という感覚も残っています。

しかし、Microsoft自身が、SharePoint OnlineやOneDriveがランサムウェアの影響を受ける経路を公開しています。クラウドに置いたことと、被害から戻せることは別の話です。

本記事では、Microsoft 365テナントの内側に絞って、対策を入口・拡散・復旧の3つの層に整理します。そのうえで、標準機能でどこまで守れるのか、どこから守れなくなるのかを、対象ごとの具体的な期間とともに確認していきます。

1. Microsoft 365はランサムウェアにどう狙われるのか

まず、国内で実際に何が起きているのかを確認したうえで、本記事が扱う範囲を定めます。

国内の被害状況

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威の第1位が「ランサム攻撃による被害」でした。11年連続の選出です。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」からは、国内の被害の実態が読み取れます。

項目	状況
被害報告件数	226件。「依然として高水準で推移」
被害組織の規模	中小企業が約6割
復旧までの期間	1か月未満で復旧した組織は全体の5割強にとどまる
復旧に要した費用	総額1,000万円以上を要した組織が全体の5割超
侵入経路	VPN機器が6割以上

目を引くのは、復旧に関する2つの数字です。1か月未満で復旧できた組織が5割強ということは、残りの組織はそれ以上の期間、影響を抱えたことになります。そして半数を超える組織が、復旧に1,000万円以上を投じています。止まったあとに元へ戻すことが、いかに重いかを示す数字だといえます。

本記事が扱う範囲

侵入経路の中心はVPN機器であり、ここはネットワーク機器の管理という別の領域になります。本記事では、その先を扱います。つまり、何らかの経路で侵入されたあと、Microsoft 365に保存されたデータをどう守るかです。

対策は次の3層に分けて考えると整理しやすくなります。

• 入口：ランサムウェアがメールで届くのを防ぐ
• 拡散：端末で起きたことがMicrosoft 365側へ広がるのを防ぐ
• 復旧：広がってしまったあとに、元の状態へ戻す

このうち標準機能が担うのは、入口と、復旧の一部です。どこまでが「一部」なのかを見ていきます。

世界的にも増加傾向にある

なお、ランサムウェア攻撃は世界的にも再び増加傾向にあります。当社が実施した調査の詳細は「ランサムウェア、再び増加傾向へ」で解説しています。

2. 入口の対策──メール

Microsoftによれば、Exchange Online Protectionはシステムを出入りするメールと添付ファイルをリアルタイムで検査します。この機能は既定で有効になっており、ランサムウェアや既知・疑わしいマルウェアを含むメッセージは削除されます。検出時に管理者へ通知するよう設定することもできます。

つまり、入口の一次的な防御は標準で働いています。そのうえで、フィルターをすり抜けたメールを開かない体制をどう作るかが、次の論点になります。

従業員教育と訓練については、「ランサムウェア攻撃：高まる脅威に対抗する「人的ファイアウォール」の構築」で扱っています。本記事では、入口を通過されたあとの話に進みます。

3. 拡散の対策──同期と権限

ランサムウェアは端末上で動くプログラムです。それがなぜMicrosoft 365のデータに及ぶのか。経路は主に3つあります。

同期クライアントを経由した伝播

Microsoftのトラブルシューティング文書には、SharePoint OnlineやOneDriveに影響が及ぶ仕組みが説明されています。ランサムウェアは、マップされたドライブや同期の接続を通じて端末上のファイルを操作します。公開鍵または秘密鍵による暗号化、拡張子の付与、既存ファイルの削除といった変更が加えられたあと、それらが同期クライアントやWebDAVによってクラウド側へ反映される、という流れです。

同じ文書では、ランサムウェアの影響を受けた場合の最初の対応として、OneDriveの同期をただちに停止するか、SharePointライブラリにマップされたドライブを切断することが挙げられています。同期を止めることが初動になる、という点は運用手順に落としておく価値があります。

ライブラリが被害を受けているかどうかは、次のような兆候で判断できるとされています。ほとんどのファイルの更新日時が同じになっている、ファイルが開けず破損している可能性がある旨のメッセージが出る、各フォルダーにHELP_DECRYPTのような名前のファイルが置かれている、ファイル名や拡張子が変わっている、といった状態です。

権限の広さが被害範囲を左右する

同期の経路をたどる以上、被害が及ぶ範囲は、侵害されたアカウントがアクセスできる範囲とおおむね重なります。言い換えれば、一人ひとりの権限が広いほど、一度の感染で影響を受けるファイルが増えるということです。

「リンクを知っている全員」で共有されたファイル、組織全体に開かれたサイト、退職者や異動者に残ったままの権限。こうしたものが積み上がっているほど、被害の面積は大きくなります。権限の棚卸しは、情報漏洩への備えであると同時に、ランサムウェアの被害範囲を狭める対策でもあるといえます。

管理者アカウントが侵害された場合

もうひとつ、想定しておきたいのが管理者アカウントの侵害です。テナントの管理者権限が奪われた場合、データそのものだけでなく、データを守る設定のほうを変更されるおそれがあります。保持期間を短くする、バックアップの設定を止める、といった操作です。なお、Microsoft Purviewの保持ロック（Preservation Lock）を適用した保持ポリシーは、グローバル管理者でも無効化や保持期間の短縮ができません。ここでの「保持期間を短くする」は、保持ロックを使っていない場合の話です。

この観点は第5章で改めて扱います。守る仕組みが、守られる対象と同じ権限の下にあるかどうかという論点です。

4. 復旧の対策──標準機能で戻せる範囲

本稿執筆時点で、Microsoft 365が標準で備えている復旧の仕組みを、対象ごとに整理します。ただしMicrosoft 365 Backupは従量課金の追加サービスのため、表中では区別して記載しています。

対象	仕組み	戻せる範囲
SharePoint・OneDriveのファイル	ごみ箱（第1段階・第2段階）	どちらのごみ箱も93日
同上	ファイルを復元（バージョン履歴を利用）	過去30日以内の任意の時点
同上	バージョン履歴	新規作成のドキュメントライブラリで既定500バージョン
メール	Exchange Onlineの回復可能なアイテム	既定14日（最長30日まで変更可能）
Exchange Online・SharePoint・OneDrive	Microsoft 365 Backup（従量課金の追加サービス）	3か月・6か月・1年・2年から選択（既定は1年）
Teamsのチャット本文	—	利用者が戻すための仕組みはない（後述）
Entra IDのユーザー・グループ	—	標準の範囲では限定的（後述）

ファイルは、3つの仕組みで戻せる

SharePointとOneDriveのファイルには、3つの復旧手段があります。まずは、ごみ箱です。第1段階、第2段階のどちらのごみ箱も保持期間は93日で、93日目にはどちらにあっても完全に削除されます。

次にファイルを復元です。ドキュメントライブラリ全体を、過去30日以内の任意の時点まで戻せる機能で、Microsoftはランサムウェアや大量削除からの回復手段として位置づけています。この機能はバージョン履歴を利用するため、保持するバージョン数を減らすと効果も下がります。

そのバージョン履歴は、新規作成のドキュメントライブラリで既定500バージョンです。ランサムウェアがファイルを編集して暗号化した場合でも、以前のバージョンを復元できます。ただし版数には上限があるため、繰り返し書き換えられれば健全な版が押し出される可能性があります。

メールは、既定14日

メールについては、完全に削除したアイテムが「回復可能なアイテム」フォルダーに移動し、既定で14日間保持されます。この期間は最長30日まで変更できます。

3つの仕組みがあるファイルと比べると、既定の状態では戻せる幅が狭いことが分かります。

Microsoft 365 Backup

Microsoft 365 Backupは、Microsoftが提供する復旧手段のなかで最も長い期間をカバーします。ただし、標準で備わっている機能ではなく、従量課金の追加サービスです。回復ウィンドウはバックアップポリシーで構成でき、3か月・6か月・1年・2年から選択します。既存のポリシーと成果物の既定値は1年です。

ただし、対象はExchange Online、SharePoint、OneDriveの3つに限られます。また従量課金制で、保護されたデータについて1GBあたり月0.15ドルが課金されます（復元は無料）。

この機能の詳細と、責任共有モデルの考え方については、「Microsoft 365のバックアップとは──標準機能と責任共有モデルの基礎」をご覧ください。

Teamsのチャットは利用者が戻す仕組みがなく、Entra IDも標準の範囲では戻せる範囲が限られる

Teamsのチャット本文は、Microsoft 365 Backupの対象に含まれていません。チャットのデータは各ユーザーのメールボックスの隠しフォルダーに保存されており、チャネルメッセージにはグループメールボックスの同様の隠しフォルダーが使われます。ただしMicrosoftは、これらの隠しフォルダーについて「ユーザーまたは管理者が直接アクセスできるようには設計されていません」と説明しています。

保持ポリシーを構成していれば、削除されたメッセージは一定期間SubstrateHoldsという別の隠しフォルダーに残り、電子情報開示（eDiscovery）ツールで検索できます。ただしこれはコンプライアンス対応のための仕組みであり、失われたチャットを業務で使える形に戻すためのものではありません。

Teamsのデータがどこに保存されているかについては、「Teamsのデータはどこに保存されるか──バックアップと復元の方法を解説」で詳しく扱っています。

Entra IDのユーザーとグループについても、標準の範囲で戻せることは限られます。この点は「Entra IDのバックアップがIT管理者にとって不可欠な理由」をご覧ください。

5. 標準機能では埋まらない空白

第4章の内容を、3層の枠組みに戻して整理します。

層	標準機能が担うこと	残る空白
入口（メール）	Exchange Online Protectionがランサムウェアを含むメッセージを削除する	すり抜けたメールへの対応は、教育と訓練の領域になる
拡散（同期と権限）	感染時に同期を止める初動が示されている	権限が広いほど被害範囲が広がる。棚卸しは運用側の仕事
復旧（ファイル・メール）	ごみ箱93日、ファイルを復元30日、回復可能なアイテム14日、Microsoft 365 Backup（従量課金の追加サービス）最長2年	保持期間を超えた時点からの復旧はできない
復旧（Teams・Entra ID）	—	Teamsのチャット本文はMicrosoft 365 Backupの対象外。Entra IDのユーザー・グループも標準の範囲では限定的
復旧（保管場所）	バックアップはMicrosoft 365のデータ信頼境界の内側に保存される	テナントの管理者権限が侵害された場合、守る仕組みも同じ権限の下にある

最後の行について補足します。Microsoftは公式ドキュメントで、Microsoft 365 Backupについて「データが Microsoft 365 データ信頼の境界を離れることはありません」と明記しています。データが境界の外へ出ないことは、利点のひとつです。

一方で、テナント全体が侵害される事態を想定したときには、守る対象と守る仕組みが同じ境界の内側にある、という構造が論点になります。ランサムウェア対策としてバックアップを考える場合、「どれだけ長く保持できるか」と同じくらい、「どこに保管されるか」が効いてくるということです。

この考え方については、「イミュータブルバックアップとは──Microsoft 365のデータをランサムウェアから守る考え方」で詳しく整理しています。

6. 対策チェックリスト

自社のテナントの状態を確認するためのチェックリストです。

層	確認項目	確認方法
入口	マルウェア検出時に管理者へ通知が届くようになっているか	管理センターの通知設定
入口	従業員向けの訓練を定期的に実施しているか	実施記録と開封率
拡散	感染時に同期を停止する手順が、運用手順として決まっているか	インシデント対応手順書
拡散	組織全体に共有されているサイト、「リンクを知っている全員」の共有リンクを把握しているか	SharePoint管理センターの共有に関するレポート
拡散	退職者・異動者の権限が残っていないか	定期的な権限の棚卸し
復旧	バージョン履歴の保持数を既定より減らしていないか	ドキュメントライブラリの設定
復旧	Exchange Onlineの回復可能なアイテムの期間を延長しているか	既定14日／最長30日
復旧	Microsoft 365 Backupの回復ウィンドウが業務要件に合っているか	3か月・6か月・1年・2年から選択
復旧	Teamsのチャット本文を戻す手段があるか	標準機能には利用者が戻す仕組みがない
復旧	バックアップがMicrosoft 365テナントの外に保管されているか	保管場所と、バックアップ側の認証の分離
復旧	実際に復元できるかを試したことがあるか	復元テストの実施記録

7. よくある質問

まとめ

Microsoft 365のランサムウェア対策は、入口・拡散・復旧の3層で考えると整理しやすくなります。入口はExchange Online Protectionが標準で担い、拡散は同期の停止と権限の棚卸しという運用の領域です。そして復旧は、対象によって戻せる範囲が大きく異なります。

ファイルには、ごみ箱の93日、ファイルを復元の30日、バージョン履歴という3つの手段があります。メールは既定14日、最長30日です。Microsoft 365 Backupを使えば最長2年までカバーできますが、対象はExchange Online、SharePoint、OneDriveの3つに限られます。Teamsのチャット本文は利用者が戻す仕組みがなく、Entra IDのユーザー・グループも標準の範囲では戻せる範囲が限られます。

そして、テナントの管理者権限が侵害される事態を想定するのであれば、バックアップがどこに保管され、その認証がMicrosoft 365テナントと分かれているかが論点になります。自社に必要な保存期間、対象範囲、そして保管場所を整理したうえで、標準機能の範囲で足りるのかを判断することをお勧めします。

サードパーティ製のバックアップを検討する段階にある方は、「Microsoft 365にサードパーティのバックアップ製品が必要な11の理由」もあわせてご覧ください。

Hornetsecurity（ホーネットセキュリティ）の365 Total Backupは、Microsoft 365のメールボックス（インプレースアーカイブメールボックスを含む）、Teamsチャット、Planner、OneNote、Entra IDのユーザーとグループ、OneDrive for Businessアカウント、SharePointのドキュメントライブラリを対象としたバックアップサービスです。バックアップデータはMicrosoftのインフラから独立したHornetsecurityの基盤に保管され、個別のAES 256ビットキーで暗号化されます。保存期間は自社の方針に合わせて設定できます。