ランサムウェア被害のデータは復旧できる？バックアップ・復旧・調査の違い

本当に信頼できるデータ
復旧業者3選をチェック

ランサムウェアによってパソコンやNAS、サーバーのファイルが暗号化され、開けなくなってしまった場合、元のデータを取り戻すことはできるのでしょうか。

結論からいうと、正常なバックアップが残っている場合や、感染したランサムウェアに対応する復号ツールが存在する場合は、データを復旧できる可能性があります。一方、バックアップも復号手段もなく、強固に暗号化されたファイルを元に戻すことは一般に困難です。

ただし、ランサムウェアの被害を受けたからといって、すべてのデータが復旧不能になるわけではありません。

例えば、警察庁は2024年にLockBit、2025年7月にPhobos/8Baseによる暗号化被害に対応する復号ツールについて公表しています。また、正常なバックアップや、感染していない別の機器に残されたデータから復旧できる場合もあります。

本記事では、ランサムウェア被害でデータを復旧できる条件、4つの復旧方法、復旧が難しいケース、データ復旧と復号・フォレンジック調査の違い、専門業者への相談ポイントを解説します。

※ランサムウェア被害では、ファイルの暗号化だけでなく、不正アクセスや情報窃取が発生している可能性もあります。感染が疑われる機器の隔離や証拠保全などが必要になるため、復旧作業を始める前に被害拡大の危険性を確認してください。

ランサムウェアで暗号化されたデータは復旧できる？

ランサムウェアは、ファイルを暗号化して利用できなくしたり、窃取した情報を公開すると脅したりして、金銭を要求する攻撃に利用されます。

ファイルが暗号化されると通常の方法では開けなくなる場合がありますが、正常なバックアップや復号手段が残っていれば、元のデータを取り戻せる可能性があります。

まずは、次の3つのケースに分けて考えましょう。

正常なバックアップがあれば復旧できる可能性がある

ランサムウェアによって暗号化されたデータを復旧する際に、まず確認したいのが正常なバックアップの有無です。

暗号化される前のデータがバックアップとして保存されていれば、そのデータを復元できる可能性があります。

例えば、次のようなバックアップが考えられます。

• 外付けHDDや別のストレージに保存されたバックアップ
• 別のサーバーやNASに保存されたバックアップ
• クラウドバックアップ
• 仮想サーバーや業務システムのバックアップ
• 過去の複数世代を保持しているバックアップ

ただし、バックアップが存在するだけで復旧できるとは限りません。

バックアップ自体が暗号化・削除されていたり、必要なデータが含まれていなかったりすると、復元できない場合があります。

また、最後に正常なバックアップを取得した日時によっては、それ以降に更新されたデータを取り戻せない可能性があります。

復旧前には、バックアップの正常性、取得日時、保存先、復元対象の範囲を確認しましょう。

対応する復号ツールがあれば暗号化を解除できる場合がある

ランサムウェアの種類によっては、暗号化されたファイルを元に戻すための復号ツールが公開されています。

例えば、警察庁は2024年2月にLockBitに関する復号ツールを公表し、2025年7月にはPhobos/8Baseによって暗号化されたファイルに対応する復号ツールについて発表しています。

なお、LockBitの復号ツールの活用については、警察庁が最寄りの警察署への相談を案内しています。一方、Phobos/8Baseについては、警察庁の公式サイトでツールの利用案内が公開されています。

また、国際的な取り組みである「No More Ransom」では、一部のランサムウェアに対応する復号ツールが公開されています。

ただし、以下の点に注意が必要です。

• すべてのランサムウェアに復号ツールが存在するわけではない
• 同じ名称でも種類やバージョンによって対応状況が異なる場合がある
• 対応ツールがあっても、すべてのファイルを復号できるとは限らない
• ファイル自体が破損している場合、復号後も正常に利用できないことがある

復号ツールを利用する際は、ランサムウェアの種類や対応条件を確認し、重要なデータや証拠を保全したうえで適用を検討しましょう。

参考：警察庁「ランサムウェア被害防止対策」

参考：No More Ransom 公式サイト

バックアップも復号手段もない場合は復旧が難しい

正常なバックアップがなく、対応する復号ツールも存在しない場合、暗号化されたファイルを元に戻すことは困難です。

ランサムウェアによる暗号化では、攻撃者が管理する復号鍵などが必要になる場合があります。適切に実装された強固な暗号方式が使われている場合、復号鍵なしで元のデータを取り戻すことは一般に困難です。

そのため、通常のデータ復旧ソフトを使用しても、暗号化されたファイルの内容を元に戻せるとは限りません。

ただし、暗号化されたファイルを直接復号できなくても、次のような場所に正常なデータが残っている場合があります。

• 感染していない別のPCやサーバー
• ネットワークから切り離していた外部ストレージ
• クラウドサービスのバージョン履歴
• バックアップの古い世代
• 取引先や別部署と共有していたデータ

復旧不能と決めつける前に、利用できるデータや復旧手段が残っていないか確認することが重要です。

ランサムウェア被害のデータ復旧方法は主に4つ

ランサムウェアによってファイルが開けなくなった場合、主に次の4つの方法を検討します。

どの方法を利用できるかは、バックアップの有無、ランサムウェアの種類、残存するデータの状態などによって異なります。

① バックアップからデータを復元する

正常なバックアップがある場合は、そこからデータを復元する方法を検討します。

ただし、感染した機器やネットワークへバックアップを直接接続すると、バックアップ自体が暗号化されるおそれがあります。

そのため、安全性を確認した別環境でバックアップを検証し、必要なデータを復元することが重要です。

復元前には、次の項目を確認しましょう。

• バックアップが暗号化・削除されていないか
• 必要なファイルが含まれているか
• どの時点のデータまで復元できるか
• バックアップが正常に読み取れるか
• 復元先の環境が安全か
• システムの設定情報やアプリケーションデータも必要か

特に法人の業務システムでは、ファイルだけを復元しても、データベースやアプリケーションが正常に動作するとは限りません。

復旧したデータが実際に利用できるかも確認する必要があります。

② 正規の復号ツールを利用する

感染したランサムウェアに対応する復号ツールが存在する場合は、その利用を検討できます。

まず、ランサムウェアの種類を調べるための情報を整理します。

• 暗号化されたファイルの拡張子
• 身代金要求文（ランサムノート）
• セキュリティソフトの検知情報
• 専門家によるマルウェアの解析結果

ただし、拡張子やランサムノートだけで種類を正確に特定できるとは限りません。

また、インターネット上には、信頼性を確認できない復号ソフトやサイトも存在します。

不審なツールを安易に実行すると、別のマルウェア感染やデータ損失につながる可能性があります。

復号ツールを探す際は、警察庁やNo More Ransomなどの公式情報を利用しましょう。

重要なデータの場合は、原本を保全したうえで、専門家とともに適用可否を確認することをおすすめします。

③ 暗号化されていないデータを探す

暗号化されたファイルを直接復号できなくても、別の場所に正常なデータが残っている可能性があります。

例えば、次のような保存先を確認します。

• 感染していないPCやサーバー
• 外部ストレージに保存された複製
• クラウドのファイル履歴や世代管理機能
• 過去のバックアップ
• メールの添付ファイル
• 取引先や別部署に共有していたデータ

仮想化環境などでは、正常なスナップショットを利用できる可能性もあります。

ただし、スナップショットは元のディスクやストレージに依存する場合があるため、独立したバックアップと同じものではありません。

また、感染の有無が不明なデータを別のPCやサーバーで開くことにも注意が必要です。

残存データを確認する際は、安全な環境を用意し、必要に応じて専門家と連携しましょう。

④ 専門業者に残存データの調査・復旧を相談する

バックアップが利用できない場合や、NAS・RAID・サーバーなどに障害が発生している場合は、データ復旧専門業者への相談を検討します。

例えば、次のようなケースが挙げられます。

• バックアップが破損している
• 正常なファイルと暗号化されたファイルが混在している
• NASやRAIDの構成に問題がある
• 仮想ディスクやデータベースを利用できない
• ストレージの物理障害が重なっている
• 原本を保全したまま復旧可能性を調べたい

ただし、専門業者でも強固な暗号化を必ず解除できるわけではありません。

相談する際は、暗号化ファイルの復号、暗号化されていないデータの抽出、障害媒体からのデータ復旧のうち、どの作業に対応しているかを確認しましょう。

ランサムウェア被害時の復旧方法比較表

復旧方法	利用できる条件	注意点
バックアップ復元	正常なバックアップが残っている	バックアップ取得後の更新データが失われる場合がある
復号ツール	対応するランサムウェア・被害条件である	すべての種類やファイルに対応しているわけではない
残存データの抽出	未感染の複製や過去のデータが残っている	必要なデータがすべて揃うとは限らない
専門業者による調査・復旧	復旧の手掛かりとなるデータや媒体が残っている場合など	復旧可能性は暗号化方式や障害状況によって異なる

ランサムウェアでデータ復旧できないのはどのような場合？

ランサムウェア被害では、復旧方法を検討しても元のデータを取り戻せない場合があります。

ここでは、復旧が難しくなる代表的な原因を解説します。

ファイルが強固に暗号化されている場合

ランサムウェアによってファイルの内容が暗号化されると、復号鍵がなければ元に戻せない場合があります。

特に、適切に実装された強固な暗号方式が使用されている場合は、復号鍵なしで暗号化を解除することが一般に困難です。

これは、削除されたファイルを復元する場合とは異なります。

通常のデータ復旧ソフトは、削除されたファイルの痕跡などからデータを復元するものであり、暗号化された内容を直接復号するものではありません。

バックアップも暗号化・削除されている場合

ランサムウェア攻撃では、業務データだけでなくバックアップも攻撃対象になることがあります。

例えば、次のようなケースです。

• バックアップサーバーが侵害された
• バックアップ管理者の認証情報が不正利用された
• バックアップファイル自体が暗号化・削除された
• クラウド同期によって暗号化ファイルが反映された
• 正常なバックアップ世代が上書きされた

直近のバックアップが使えなくても、別の保存先や古い世代に正常なデータが残っている場合があります。

バックアップの管理情報だけでなく、実際の保存先と各世代の状態を確認しましょう。

データや関連ファイルが破損している場合

暗号化されたファイル自体が破損している場合は、復号に成功しても正常に利用できないことがあります。

特に、データベースや仮想ディスクでは、複数のファイルや管理情報が関係しています。

そのため、一部のファイルだけが復号できても、システム全体を正常に復旧できるとは限りません。

また、NASやRAIDなどの物理・論理障害が重なっている場合は、暗号化とは別の対応が必要になることがあります。

復旧に必要なデータが上書きされている場合

ランサムウェア被害後に不用意な操作を行うと、復旧に必要なデータや証拠が失われる可能性があります。

例えば、原因を確認せずOSを再インストールしたり、暗号化されたファイルを削除したりすると、調査や復旧が難しくなる場合があります。

また、正常なバックアップを新しいデータで上書きすることにも注意が必要です。

ただし、攻撃が進行している場合は被害拡大を防ぐために機器の停止や隔離が必要になることもあります。

データの保全と被害拡大防止を両立するよう、状況に応じて判断しましょう。

データ復旧・復号・フォレンジック調査は何が違う？

ランサムウェア被害では「データ復旧」「復号」「フォレンジック調査」という言葉が使われますが、それぞれ目的は異なります。

データ復旧は利用できないデータを取り戻す作業

データ復旧は、利用できなくなったデータを再び使える状態にする作業です。

ランサムウェア被害では、バックアップからの復元や未感染データの抽出などが該当します。

ただし、データが戻っても業務システム全体が正常に動作するとは限りません。

復号は暗号化されたファイルを元に戻す作業

復号は、暗号化されたファイルを元の状態へ戻すことです。

対応する復号鍵や復号ツールが必要になる場合があり、利用できるかどうかはランサムウェアの種類や被害状況によって異なります。

フォレンジック調査は被害原因や情報流出を調べる作業

デジタルフォレンジック調査は、ログや電子データを分析し、不正アクセスの原因や操作履歴、被害範囲を調べるための調査です。

例えば、次のような内容を確認します。

• 攻撃者がどのように侵入したか
• どの機器やアカウントが侵害されたか
• どのような不正操作が行われたか
• 情報の外部持ち出しが疑われるか
• 復旧前に保全すべき証拠は何か

ただし、必要なログが残っていない場合などは、調査を実施しても原因を特定できないことがあります。

データを取り戻せてもシステム復旧が完了したとは限らない

バックアップからファイルを復元できたとしても、感染したサーバーに攻撃者の不正なプログラムや侵入経路が残っている場合は、再び被害を受けるおそれがあります。

安全な業務再開に向けては、以下のような確認が必要です。

• 攻撃者の侵入経路への対処
• 不正利用されたアカウントや認証情報の確認
• マルウェアや不正な設定の排除
• 復旧したデータの整合性確認
• 業務アプリケーションの動作確認

データ復旧・復号・調査の違い一覧

対応	主な目的	代表的な方法
データ復旧	利用できないデータを取り戻す	バックアップ復元、残存データ抽出
復号	暗号化されたファイルを元に戻す	対応する復号鍵・復号ツールの利用
フォレンジック調査	被害原因や影響範囲を調べる	証拠保全、ログ解析、操作履歴調査
システム復旧	業務システムを安全に再開する	環境再構築、設定復元、動作・安全性確認

データ復旧とフォレンジック調査の違い・依頼先の使い分けを見る

ランサムウェア被害時にデータ復旧前に確認したいこと

ランサムウェア被害では、復旧を急ぐことで被害が拡大したり、調査に必要な情報が失われたりする場合があります。

実際の復旧作業を始める前に、次の点を確認しましょう。

感染した機器を不用意に操作しない

感染が疑われるPCやサーバーでは、不正なプログラムが動作している可能性があります。

そのため、状況に応じてネットワークから隔離し、被害拡大を防ぎます。

原因が不明なまま初期化や再インストールを行うと、復旧や調査に必要な情報が失われる場合があります。

再起動や電源断についても、一律に判断せず、被害の進行状況と証拠保全の必要性を踏まえて対応してください。

バックアップを感染環境へ接続しない

正常なバックアップが残っている場合でも、感染環境へ安易に接続するとバックアップが被害を受ける可能性があります。

特に、自動同期やバックアップの仕組みによって、暗号化されたファイルが正常なデータを上書きしてしまう場合があります。

バックアップの保存先と管理権限を確認し、安全性が確認できるまでは感染環境から分離することを検討しましょう。

証拠を保全し、復旧作業で消失させない

ランサムウェア被害では、原因調査に役立つ情報が機器内に残っている場合があります。

例えば、次のようなものです。

• 暗号化されたファイル
• 身代金要求文（ランサムノート）
• OSやセキュリティソフトのログ
• 不審なログインや通信の記録
• 被害発生日時や実施した操作の履歴

これらは侵入経路や被害範囲の調査に必要になる場合があります。

情報漏えい・不正アクセスが疑われる場合の証拠保全について詳しく見る

情報が外部へ流出している可能性も確認する

ランサムウェア攻撃では、ファイルの暗号化だけでなく、情報が外部へ持ち出される場合があります。

仮にバックアップからすべてのファイルを復元できても、外部へ流出した情報を取り消すことはできません。

顧客情報や機密情報が含まれる場合は、フォレンジック調査や法令上の報告・通知の必要性も確認しましょう。

法人向けの初動対応や安全な業務再開の進め方については、以下の記事も参考にしてください。

ランサムウェア被害時のデータ復旧初動｜復旧・調査・再感染防止の進め方

ランサムウェアのデータ復旧を専門業者に相談する判断基準

ランサムウェア被害では、自社で復旧できるケースもあれば、専門業者への相談が必要になるケースもあります。

特にバックアップが利用できない場合や、NAS・RAID・サーバーなどの障害が重なっている場合は、自己判断で操作を進める前に専門家への相談を検討しましょう。

専門業者への相談を検討したいケース

• 正常なバックアップが存在しない
• バックアップの正常性を確認できない
• NAS・RAID・サーバーに障害が発生している
• 仮想ディスクやデータベースを利用できない
• 暗号化と物理障害が重なっている
• 残存するファイルの復旧可能性を調べたい
• 原本を保全した状態で復旧したい

ただし、すべてのデータ復旧業者がランサムウェアの復号に対応しているわけではありません。

また、専門業者であっても、強固な暗号化を必ず解除できるわけではありません。

データ復旧業者に確認したい5つの項目

確認項目	確認したい内容
① ランサムウェアへの対応範囲	復号、残存データの抽出、障害媒体の復旧のどこまで対応できるか
② 対応機器・ファイル形式	PC、NAS、RAID、サーバー、仮想ディスク、データベースなどへの対応可否
③ 復旧可能性の判断方法	どのような診断を行い、何を基準に復旧可能と判断するか
④ データ・証拠の管理体制	原本保全、機密保持契約、媒体の保管・返却、フォレンジック調査との連携
⑤ 費用・納期・成果物	診断費用、追加費用、復旧結果の確認方法、報告書の内容など

特に法人の顧客情報や機密情報を扱う場合は、技術的な対応だけでなく、情報管理体制や作業内容の説明についても確認することが重要です。

NAS・RAID・サーバー対応のデータ復旧会社を比較する

法人向けデータ復旧会社を条件別に比較する

フォレンジック調査やセキュリティ対応も必要になるケース

次のような状況では、データ復旧だけでなくフォレンジック調査やセキュリティ対応も検討しましょう。

• 攻撃者の侵入経路が不明
• 個人情報や機密情報の窃取が疑われる
• 複数のサーバーや拠点に被害が及んでいる
• 管理者アカウントが不正利用された可能性がある
• 復旧したシステムの安全性を確認できない

復旧業者へ問い合わせる際は、データの復旧だけでなく、調査や再感染防止との連携が必要かどうかも伝えましょう。

データ復旧業者への問い合わせテンプレートを見る

身代金を支払えば暗号化されたデータは戻る？

ランサムウェアでは、攻撃者が暗号化したデータを戻すことと引き換えに身代金を要求する場合があります。

しかし、身代金を支払ってもデータが復旧する保証はありません。

身代金を支払っても復号できる保証はない

攻撃者が身代金を受け取っても、復号鍵を提供するとは限りません。

また、復号鍵が提供されたとしても、すべてのファイルが正常に戻るとは限らず、破損などによって利用できない可能性があります。

JPCERT/CCも、攻撃者の要求には応じず、バックアップからの復旧を基本方針として示しています。

身代金の支払いと情報漏えいの問題は分けて考える

ランサムウェア攻撃では、データを暗号化する前に情報が窃取される場合があります。

仮に暗号化されたファイルを復号できても、すでに外部へ持ち出された情報を取り戻せるわけではありません。

また、身代金を支払うことで攻撃者が窃取した情報を削除するという保証もありません。

情報漏えいが疑われる場合は、データ復旧とは別に被害範囲の調査や必要な報告・通知を検討しましょう。

まず公的機関の情報や正規の復号ツールを確認する

暗号化されたファイルの復旧を検討する場合は、警察庁、JPCERT/CC、No More Ransomなどの公式情報を確認しましょう。

警察庁は特定のランサムウェアに対応する復号ツールについて情報を公開しています。

ただし、利用条件はツールごとに異なるため、すべての被害で復号できるわけではありません。

重要なデータを扱う場合は、専門家への相談や原本保全を検討したうえで利用可否を判断してください。

ランサムウェアのデータ復旧に関するよくある質問

ランサムウェアで暗号化されたファイルは元に戻せますか？

正常なバックアップがある場合や、対応する復号ツールが利用できる場合は、元に戻せる可能性があります。

ただし、バックアップがなく強固に暗号化された場合は、復号鍵なしで元に戻すことが困難です。

バックアップがなければ復旧できませんか？

バックアップがなくても、別のPCや外部ストレージ、クラウドのバージョン履歴などに正常なデータが残っている可能性があります。

また、一部のランサムウェアでは正規の復号ツールを利用できる場合があります。

ただし、すべての被害で復旧できるわけではありません。

無料の復号ツールはありますか？

No More Ransomなどでは、一部のランサムウェアに対応する無料の復号ツールが公開されています。

警察庁も特定のランサムウェアに関する復号ツールを公表しています。

対応する種類や利用条件を確認し、公式に案内された方法で利用することが重要です。

データ復旧ソフトで暗号化されたファイルを元に戻せますか？

通常のデータ復旧ソフトで、強固に暗号化されたファイルの内容を元に戻せるとは限りません。

一般的なデータ復旧ソフトは、削除されたファイルなどの復旧を目的とするものであり、暗号化を解除するものではありません。

NASがランサムウェアに感染した場合はどうすればよいですか？

まず被害の拡大を防ぐため、NASや関連機器の接続状況を確認します。

そのうえで、正常なバックアップや未感染データの有無を調べます。

NASやRAIDに障害が重なっている場合は、専門業者への相談も検討しましょう。

データ復旧業者なら必ず暗号化を解除できますか？

必ず解除できるわけではありません。

専門業者でも、復号鍵のない強固な暗号化を解除することは困難な場合があります。

復号、残存データの抽出、障害媒体の復旧のうち、どの作業に対応できるかを確認しましょう。

ファイルを復旧できれば、そのまま安全に利用できますか？

データを取り戻せても、システム全体が安全な状態になったとは限りません。

攻撃者の侵入経路や不正なプログラムが残っている場合は、再び被害を受ける可能性があります。

安全な環境でデータの正常性を確認し、必要なセキュリティ対策を実施してから利用を再開しましょう。

ランサムウェアの復号ツールはいつ公開されますか？

復号ツールの公開時期は決まっていません。

捜査機関やセキュリティ専門企業による解析などによって後から利用可能になる場合もありますが、公開されないランサムウェアもあります。

将来の復号ツールの公開だけに頼らず、現在利用できるバックアップや残存データを確認しましょう。

まとめ｜ランサムウェアのデータ復旧は「復元できる条件」の確認から

ランサムウェアによってファイルが暗号化された場合でも、必ずしもすべてのデータが復旧不能になるわけではありません。

正常なバックアップや対応する復号ツールがあれば、元のデータを取り戻せる可能性があります。

一方、バックアップも復号手段もない場合は、強固に暗号化されたデータを元に戻すことが困難になることがあります。

ランサムウェア被害では、まず次の3点を確認しましょう。

• 正常なバックアップが残っているか確認する
• 対応する復号ツールや未感染のデータが存在するか調べる
• 復旧可能性が不明な場合は、原本を保全し、専門業者に相談する

また、データを取り戻せても、攻撃者の侵入経路や不正なプログラムが残っている場合は、安全にシステムを利用できません。

特に法人の被害では、必要に応じてデータ復旧、フォレンジック調査、セキュリティ対応を組み合わせることが重要です。

復旧後はバックアップやアクセス管理を見直し、再発防止にも取り組みましょう。

データ復旧後に行う再発防止｜バックアップ・冗長化・運用見直しチェックリスト

法人向けのデータ復旧会社を比較したい場合は、以下のページも参考にしてください。

法人向けデータ復旧会社を条件別に比較する

NAS・RAID・サーバー対応のデータ復旧会社を比較する

参考資料・情報確認日

本記事は、以下の公的機関・プロジェクトの公開情報を参考に作成しています。

• 警察庁「ランサムウェア被害防止対策」
• 警察庁「ランサムウェアPhobos/8Baseにより暗号化されたファイルの復号ツールの利用について」
• JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
• No More Ransom 公式サイト

情報確認日：2026年10月28日

※本記事は、ランサムウェア被害時の一般的なデータ復旧の考え方を解説するものです。実際の復旧可能性は、ランサムウェアの種類やバージョン、バックアップの状態、ファイルの破損状況などによって異なります。重要なデータを扱う場合は、専門家と連携して判断してください。

• その復元をあきらめない！本当に信頼できるデータ復旧Navi
• データ復旧業者に関するよくある質問
• 「RDRSP:2022 基準」とは
• ISO27001認証とは
• データ復旧の費用相場｜媒体別料金と料金体系を解説