ランサムウェアに備えるWebサイトのバックアップ構成【Kopia + Backblaze B2】

「レンタルサーバーが自動でバックアップしてくれているから大丈夫」。そう考えていませんか？

多くのレンタルサーバーには便利なバックアップ機能があります。しかし、万が一サーバーや管理用のアカウントが攻撃されたとき、そのバックアップだけで確実に復旧できるでしょうか。

アップルップルでは、こうしたリスクに備えて、ホスティング会社のバックアップとは独立したバックアップの仕組みを自社で構築し、毎晩運用しています。この記事では、ランサムウェアや改ざんに強いバックアップの考え方と、私たちが実際に使っている仕組み・運用の方法をご紹介します。

この記事でわかること

• ランサムウェア・Webサイト改ざんの最近の状況
• バックアップがあっても復旧できない理由
• ランサムウェアに強いバックアップの考え方「3-2-1-1-0ルール」
• 改ざんされたサイトを、クリーンな環境で作り直すときのバックアップの使い方
• アップルップルのWebサイトのバックアップの仕組みと、使っているサービス
• 自社のバックアップを見直すためのチェックリスト

ランサムウェア・Webサイト改ざんのリスク

ランサムウェアは、データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する攻撃です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」の組織編では、「ランサム攻撃による被害」が11年連続で選ばれ、今年も1位でした。

警察庁の令和7年におけるサイバー空間をめぐる脅威の情勢等についてによると、2025年に報告されたランサムウェアの被害は226件で、高い水準が続いています。被害に遭った組織の約6割は中小企業で、規模の大きな会社だけが狙われるわけではありません。

Webサイトの改ざんも、自治体や企業、学校などで繰り返し起きています。総務省は、改ざんされた場合は速やかに改ざん前の状態に戻すことを呼びかけており、そのためには信頼できる時点のバックアップが欠かせません。

さらに、10大脅威 2026では「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました。攻撃者がAIを悪用することで、攻撃が行いやすくなり、手口も巧妙になるおそれがあると指摘されています。侵入を完全に防ぐことが難しくなるほど、「攻撃を受けても元に戻せる」備えの大切さが増しています。

バックアップがあっても復旧できない3つの理由

警察庁がランサムウェアの被害に遭った組織に行った調査では、回答した116件のうち105件（約9割）がバックアップを取っていました。ところが、バックアップからの復元の結果を回答した99件のうち、被害の直前の状態まで戻せたのは20件（約2割）にとどまっています。戻せなかった理由として最も多かったのは「バックアップも暗号化された」で、理由を回答した72件のうち48件（約3分の2）を占めました（警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 統計編）。

バックアップがあっても戻せない原因は、主に次の3つです。

1. 本番と同じ場所にある：サイトと同じサーバーや、同じ管理画面から操作できる場所にバックアップがあると、乗っ取られたときに一緒に暗号化されたり消されたりするおそれがあります。
2. 消されない仕組みがない：管理者の権限を奪われると、バックアップも削除できてしまいます。
3. 戻せるかを試していない：バックアップのファイルがあっても、実際に戻してみるまで、壊れていないか・必要なものがそろっているかは分かりません。

レンタルサーバーの自動バックアップは、誤操作やサーバーの障害から復旧するための大切な仕組みです。事業者によっては、サイトとは別のサーバーにバックアップを保管しているところもあります。そのうえで、サイバー攻撃への備えとして考えると、同じ事業者の管理下にあることに変わりはなく、事業者側の大きな障害や、契約しているアカウントが乗っ取られた場合の影響を受けないとは言い切れません。何日分を残すか、どう戻すかも事業者の仕様で決まり、自分で確かめられる範囲は限られます。

安全なバックアップの考え方「3-2-1-1-0ルール」

バックアップの基本として広く知られているのが「3-2-1ルール」です。近年は、ランサムウェアへの備えとして、これに「消せないこと」と「戻せることの確認」を加えた「3-2-1-1-0ルール」も提唱されています。

数字	内容
3	データを3つ以上持つ（本番のデータと、2つ以上のバックアップ）
2	2種類以上の異なる保存先に置く
1	1つは別の場所（オフサイト）に置く
1	1つは変更・削除できない状態（イミュータブル）か、ネットワークから切り離した状態で置く
0	復元を試して、エラーがないことを確かめておく

ここで出てくる「イミュータブルバックアップ」とは、保存したデータを、決められた期間は変更・削除できないようにしたバックアップのことです。

アップルップルが実践している3つの対策

アップルップルのバックアップは、この3-2-1-1-0ルールを参考に、次の3つの対策で設計しています。ホスティング会社のバックアップも併用したうえで、それとは独立した「別の場所」「消せない」「戻せることを確認済み」のバックアップを持つ形です。

1. 別の場所に、毎晩とる

Webサイトのデータベースとファイルを毎晩バックアップし、サイトのサーバーとは別の事業者のクラウドストレージに保存しています。

前回から変わったデータだけを保存する仕組みのため、転送量や保存容量を抑えながら、保存している各晩の時点の状態に戻せます。

2. 保護期間中は、管理者でも消せない

保存先のクラウドストレージでは、データを一定期間、変更・削除できなくする「Object Lock」を、管理者でも解除できないモード（コンプライアンスモード）で使っています。万が一、管理用のアカウントが侵害されても、保護期間内のバックアップは削除されません。

保護期間は毎晩の処理の中で延長しています。延長が止まっていないか、過去のバックアップが消えたり見えなくなったりしていないかも毎晩確かめ、異常があれば翌朝の報告で警告します。

3. 戻せることを、毎月確かめる

毎月1日に、すべてのサイトの最新のバックアップを使って「復元の訓練」を自動で行っています。

• データベース：バックアップから取り出し、検証用のデータベースに実際に取り込めるかを確かめます。
• ファイル：必要なファイルがバックアップに含まれているかを、一覧で確かめます。

結果はチームに通知されるので、「いざ戻そうとしたら使えなかった」という事態を前もって防げます。

改ざんからの復旧にも：クリーンな環境で作り直すために

このバックアップが役立つのは、ランサムウェアだけではありません。Webサイトが改ざんされたときや、不正なファイルを仕込まれたときの復旧にも使えます。

改ざんされたサイトは、改ざんされたファイルを直したり、バックアップを上から書き戻したりするだけでは、安全とは言えません。見つけられなかった不正なファイルや、侵入口になった古いソフトウェアが残っていれば、再び被害に遭うおそれがあるためです。そこで、安全な環境を用意してサイトを作り直す「クリーンインストール」が確実な方法になります。

手順	内容
1. 止める	サイトを一時的に非公開にし、被害が広がらないようにする
2. 時点を選ぶ	いつ改ざんされたかを調べ、それより前のバックアップを選ぶ
3. 作り直す	新しいサーバー（または初期化した環境）に、OS・ミドルウェア・CMSの本体を、公式の最新版から入れ直す
4. データを戻す	選んだ時点のバックアップから、データベースや画像などのデータを戻す。不正なファイルが紛れていないかも確かめる
5. 塞ぐ	パスワードを変え、侵入口になった脆弱性や設定を直してから、公開を再開する

アップルップルのバックアップは、この作り直しを支える条件をそろえています。

• 改ざん前の状態が信頼できる：バックアップはサイトのサーバーの外に保存し、保護期間中は管理者でも消せません。サイトのサーバーを乗っ取った攻撃者が、過去のバックアップまで書き換えることはできません。
• 戻す時点を選べる：毎晩の時点ごとに保存しているため、保存している期間の中から、改ざんされる前の時点を選んで取り出せます。
• 元のサーバーを使わずに取り出せる：バックアップは、改ざんされたサーバーを経由せずに、別の環境へ取り出せます。毎月の復元の訓練も、サイトのサーバーとは別の環境で行っています。
• 本番に勝手に書き戻さない：バックアップから本番のサイトへ自動で書き戻すことはありません。どの時点のどのデータを戻すかを確かめてから、作り直した環境に戻せます。

バックアップの仕組みと使用サービス

毎晩の流れは、次の3ステップです。

1. バックアップ専用のサーバーが、各サイトのサーバーからデータベースとファイルを取得します。ファイルは、前の晩から変わった分だけを転送します。
2. 取得したデータを暗号化し、クラウドストレージに保存します。
3. すべてのサイトの結果を、毎朝1通にまとめてチームのSlackに届けます。一時的な通信の失敗などで取得できなかったサイトは、自動で1回やり直します。

使っている主なサービスと、それを選んだ理由は次のとおりです。

サービス	役割	選んだ理由
Kopia	バックアップの本体	オープンソースのバックアップツールです。暗号化や世代の管理といった、間違えると致命的になる部分を自作せず、広く使われている道具に任せています。データは保存する前に暗号化されるため、保存先の事業者にも中身は見えません
Backblaze B2	バックアップの保存先	Object Lockに対応したクラウドストレージです。バックアップを動かすサーバーとは別の事業者を選び、保存先と管理の環境を分けています
AWS（Amazon EC2・Amazon CloudWatch）	バックアップ専用のサーバー、止まったときの検知	Webサイトとは別のサーバーでバックアップを動かします。バックアップが実行されなかったときや失敗したときは、サーバーの外から検知して知らせます
Slack	結果の通知	毎朝の結果と毎月の訓練の結果を、チームが毎日見ている場所に届けます

一方が侵害されても、バックアップを守るために

別の事業者を使うだけでは、安全とは言い切れません。そこで、次の対策を組み合わせています。

• 権限を絞る：バックアップ専用のサーバーには、サイトごとに保存場所を限ったキーだけを置き、ストレージ全体を管理するキーは置いていません。保存場所と暗号化の鍵はサイトごとに分けています。
• 消せない状態で守る：上で紹介したObject Lockにより、バックアップ専用のサーバーが乗っ取られても、保護期間内のバックアップは削除できません。
• サイトのサーバーを危険にさらさない：バックアップのための接続は、決められた読み出しの操作しかできないように制限しています。万が一バックアップ専用のサーバーが乗っ取られても、その接続を使ってサイトを書き換えたり消したりはできません。保存先のキーや暗号化のパスワードは、サイトのサーバーには置きません。

自社のバックアップを確認するチェックリスト

いまのバックアップで十分かどうか、次の項目で確かめてみてください。1つでも「いいえ」があれば、見直す余地があります。

• データベースとファイルの両方をバックアップしているか
• サイトとは別の場所（別の事業者や別のアカウント）にも保存しているか
• 管理者の権限を奪われても、消されない・書き換えられない状態で保管しているか
• 1つの時点だけでなく、複数の時点に戻せるか
• バックアップが失敗したり止まったりしたときに、気づける仕組みがあるか
• 実際に戻せるかを、定期的に試しているか
• いざというときに、誰がどの手順で戻すかが決まっているか

バックアップでできること・できないこと

バックアップは、攻撃そのものを防ぐものではありません。被害を受けたときに「元に戻す」ための手段です。

サイトを守るには、CMSやサーバーのソフトウェアを最新に保つこと、管理画面のアクセスを制限すること、パスワードや多要素認証を適切に管理することなど、侵入を防ぐ対策が欠かせません。バックアップは、それでも被害を受けてしまったときに事業を止めないための、最後の備えです。

よくある質問

レンタルサーバーの自動バックアップがあれば十分ですか？

レンタルサーバーの自動バックアップは、誤操作やサーバーの障害から復旧するための大切な仕組みで、まずはこれを活用することが基本です。そのうえで、ランサムウェアや改ざんに備えるなら、事業者の外にも、消されない状態のバックアップをもう1つ持っておくことをおすすめします。

バックアップがあれば、ランサムウェアに感染しても大丈夫ですか？

戻せる状態のバックアップがあれば、被害から立ち直れる可能性は大きく上がります。ただし、侵入された原因を取り除かないまま戻すと、再び被害に遭うおそれがあります。まずサイトを止めて被害の範囲と原因を確かめ、侵入口を塞いでから、被害を受ける前の時点のバックアップで戻すのが基本です。

イミュータブルバックアップとは何ですか？

保存したデータを、決められた期間は変更・削除できないようにしたバックアップです。管理者でも解除できない設定にしておけば、管理者の権限が奪われても、その期間内のバックアップは消されません。

まとめ・お問い合わせ

ランサムウェアや改ざんをはじめとするサイバー攻撃は、もはや大企業だけの問題ではありません。「侵入を防ぐ」対策とあわせて、「被害を受けても戻せる」備えが欠かせません。

アップルップルでは、「別の場所に毎晩とる」「保護期間中は管理者でも消せない」「戻せることを毎月確かめる」という3つの対策で、Webサイトのバックアップを運用しています。ランサムウェアの被害だけでなく、改ざんされたサイトをクリーンな環境で作り直すときにも、信頼できる「改ざん前の状態」として役立ちます。

この仕組みは、お客さまのWebサイトにも導入できるよう、ご相談を受け付けています。サイトごとに保存場所と暗号化の鍵を分け、サイトのファイルや設定には手を入れずに導入できます。サーバーの環境によっては導入できない場合もあるため、まずは現在のサーバーやサイトの構成をお聞かせください。「今のバックアップで大丈夫か不安」という段階でもかまいません。

お問い合わせはこちら

参考

• 情報セキュリティ10大脅威 2026（IPA）
• プレス発表「情報セキュリティ10大脅威 2026」を決定（IPA）
• サイバー空間をめぐる脅威の情勢等（警察庁）：「令和7年におけるサイバー空間をめぐる脅威の情勢等について」本編、統計編 P128〜P130
• 事例2 ホームページが書き換えられた（総務省 国民のためのサイバーセキュリティサイト）