Googleworkspace でランサムウェア対策はできる？機能や対策方法のポイントも解説

「クラウドにデータを置いているから、うちはランサムウェアなんて関係ない」もしそうお考えでしたら、非常に危険な状態かもしれません。

実は、クラウドストレージを使っていても、ランサムウェアの被害を受ける可能性はあります。パソコンが感染すれば、デスクトップ版GoogleドライブやOnedriveを通じて暗号化されたファイルがクラウドに同期されてしまうケースがあるのです。さらに、共有ドライブや外部共有の範囲が広いほど、被害が組織全体に波及するリスクも高まります。

この記事では、ランサムウェアの基礎知識からGoogle Workspaceの標準対策機能、プラン別の違い、管理者が最初にやるべき設定、感染時の復旧フロー、そして標準機能の限界と外部バックアップの判断基準まで、一気通貫で解説します。読み終えたら、今日から管理コンソールで何を設定すればいいかが分かる内容です。

ランサムウェアとは？感染のリスクや被害は？

まずは「ランサムウェアとは何か」の基本を押さえたうえで、Google Workspace・Googleドライブ特有のリスクを整理しましょう。

ランサムウェアの仕組みと主な感染経路

ランサムウェアとは、パソコンやサーバー内のファイルを勝手に暗号化し、「元に戻してほしければ身代金（ランサム）を払え」と要求するマルウェア（悪意のあるソフトウェア）の一種です。

主な感染経路：

メールの添付ファイルやリンク — 請求書や配送通知を装ったメールに仕込まれるケースが多い
不正なWebサイトへのアクセス — 改ざんされたサイトを閲覧しただけで感染することもある
リモートデスクトップ（RDP）の脆弱性 — テレワークの普及で狙われやすくなった
ソフトウェアの脆弱性の悪用 — OSやアプリの更新を怠っていると侵入口になる
OAuthアプリの悪用 — 正規のアプリを装ってGoogleアカウントへのアクセス権を要求し、ドライブのファイルを操作する

ランサムウェアに感染すると何が起きるか

一般的な被害：

パソコン内のファイルが暗号化され、開けなくなる
「身代金を払えば復号キーを渡す」という脅迫メッセージが表示される
近年は暗号化に加えてデータの窃取・公開（二重脅迫） も増加

デスクトップ版GoogleドライブやOnedriveなどクラウドストレージ特有のリスク：

デスクトップ経由の同期汚染 — パソコン上の暗号化されたファイルがクラウドに同期され、クラウド上のファイルも上書きされる
共有ドライブへの波及 — 感染ユーザーが編集権限を持つ共有ドライブ内のファイルも影響を受ける
外部共有先への拡散 — 社外に共有しているファイルが暗号化されると、取引先にも影響が出る
OAuthトークンの悪用 — Googleアカウントに接続された不正アプリが、クラウド上のファイルを直接暗号化する

重要なポイント： Googleドキュメント・スプレッドシート・スライドなどのGoogle形式のファイルは、端末上にファイル実体が存在しないため、Drive for desktop経由の同期汚染の影響を受けにくいという特徴があります。一方、Word・Excel・PDFなどの非Google形式のファイルは同期対象となるため、暗号化のリスクがあります。

Google Workspace のランサムウェア対策機能でできること

Google Workspace には、ランサムウェアに対して「守る」「戻す」「残す」の3つの層で対策機能が用意されています。それぞれの役割と限界を理解しておきましょう。

Drive for desktop のAIランサムウェア検知

2026年3月に一般提供（GA）が開始された、Google Workspace の最新セキュリティ機能です。

仕組み：

数百万のランサムウェアサンプルで訓練された専用AIモデルが、ファイル同期時に異常な変更パターンを検知
VirusTotalの最新脅威情報を取り込み、未知のランサムウェアにも対応
ベータ版と比較して、検知精度は14倍に向上

検知時の動作：

ランサムウェアの兆候を検出すると、クラウドへのファイル同期を自動停止
ユーザーにメールとDrive内通知で警告
管理コンソールのアラートセンターに通知が表示される

前提条件：

パソコン版Googleドライブ（Drive for desktop）v.114以降が必要
デフォルトで有効化されている（管理者が無効化しない限り動作）

注意： この機能はDrive for desktop を経由した同期時に検知する仕組みです。ブラウザから直接アップロードされたファイルや、OAuthアプリ経由の操作には対応していません。

Googleドライブの複数ファイルの一括復元

ランサムウェアで大量のファイルが暗号化された場合に、過去25日以内の任意の時点にファイルを一括で巻き戻す機能です。

対象範囲：

マイドライブ
共有アイテム
内部・外部の共有ドライブ

利用手順：

ブラウザでGoogleドライブを開く
右上の 設定（歯車アイコン）> 「ファイルのバージョンを復元」 を選択
復元したい時点を選び、対象ファイルを確認して実行

〈ここに画像を挿入：Googleドライブの「ファイルのバージョンを復元」画面〉

制限事項： 復元対象は過去25日以内に変更されたファイルに限られます。また、個別のファイルを選んで復元することはできず、指定した時点以降に変更されたすべてのファイルが巻き戻されます。

変更履歴（バージョン）からの個別復元

個別のファイルであれば、ファイルの変更履歴（バージョン履歴）から特定の時点に戻すことも可能です。

手順：

対象ファイルを右クリック >「版を管理」（または「バージョン履歴」）
復元したいバージョンを選択
「この版を復元」をクリック

Google形式のファイル（ドキュメント・スプレッドシートなど）は、変更履歴が無期限で保存されます。非Google形式のファイルは、デフォルトで100バージョンまたは30日間保存されます。

ゴミ箱と管理者によるファイル復元

ファイルが削除された場合の復元手段です。

状態	復元可能期間	操作者
ゴミ箱にあるファイル	30日間	ユーザー自身
ゴミ箱を空にした後	さらに25日間	管理者のみ
ユーザーアカウント削除後	20日間	管理者のみ

管理者による復元手順：

管理コンソール > 「ディレクトリ」>「ユーザー」 で対象ユーザーを選択
「その他のオプション」>「データを復元」 をクリック
復元する期間を指定して実行

注意： 管理者復元では個別のファイルやフォルダを選択できません。指定した日付範囲内に削除されたデータがすべて復元されます。

Google Vaultで残す・探す（バックアップではない点に注意）

Google Vaultは、メール・ドライブ・チャットなどのデータを保持・検索・書き出しするためのコンプライアンスツールです。

できること：

保持ルールを設定して、ユーザーが削除したデータも一定期間保持する
訴訟ホールド（法的保全）でデータの自動削除を防止する
保持されたデータを検索し、書き出す（エクスポート）

できないこと：

Vaultから直接Googleドライブにファイルを復元することはできません
Vaultはバックアップツールではなく、あくまで記録保持・調査用のツールです

Vaultで書き出したデータは手動でドライブにアップロードし直す必要があり、共有設定やフォルダ構造は復元されません。

2段階認証・共有設定など認証と権限の基盤対策

ランサムウェア対策の土台となるのが、不正アクセスを防ぐ認証強化と、被害の拡散範囲を抑える共有制限です。

2段階認証（2SV） — パスワードだけでなく、セキュリティキーや認証アプリによる追加認証を全社に必須化
外部共有の制限 — 組織外への共有を許可リスト制にする、またはリンク共有を無効化
OAuthアプリの制限 — 信頼できるアプリのみをホワイトリストに登録し、不審なアプリのアクセスをブロック
エンドポイント管理 — 会社端末のみにDrive for desktopのインストールを許可

プラン別に見るGoogle Workspaceランサムウェア対策機能の違い

Google Workspaceは契約プランによって利用できるセキュリティ機能が異なります。自社のプランで何ができるかを把握しておきましょう。

ランサムウェア検知と一括復元が使えるエディション

機能	Business Starter	Business Standard	Business Plus	Enterprise Standard	Enterprise Plus
AIランサムウェア検知	非対応	対応	対応	対応	対応
複数ファイルの一括復元ツール	対応	対応	対応	対応	対応

ポイント：

AIランサムウェア検知はBusiness Starterでは利用できません。

Business Standard以上（Frontline Standard/Plus、Business Standard/Plus、Enterprise Standard/Plus、Education Standard/Plus）で利用可能です

複数ファイルの一括復元は、すべてのGoogle Workspaceエディションで利用できます（個人のGoogleアカウントでも利用可能）
一括復元の対象は過去25日以内に変更されたファイルに限られ、個別のファイルを選択して復元することはできません

Google Vaultが使えるエディション

エディション	Vault
Business Starter	非対応（アドオンで追加可能）
Business Standard	非対応（アドオンで追加可能）
Business Plus	標準搭載
Enterprise Standard	標準搭載
Enterprise Plus	標準搭載

Business Starter・Business Standardでは標準搭載されていませんが、アドオンライセンスとして追加購入が可能です
Vaultの役割は保持・検索・書き出しであり、直接ドライブにファイルを復元する機能ではありません

DLP・コンテキストアウェアアクセス・Security Centerが使えるエディション

機能	Businessプラン全般	Enterprise Standard	Enterprise Plus
DLP（データ損失防止）	非対応	対応	対応
コンテキストアウェアアクセス	非対応	対応	対応
Security Center（調査ツール）	非対応	対応	対応
セキュリティヘルスページ	非対応	非対応	対応
クライアント側暗号化	非対応	非対応	対応

DLP・コンテキストアウェアアクセス・Security CenterはBusinessプラン（Starter/Standard/Plus）では利用できません
これらの機能を利用するには、Enterprise Standard以上へのアップグレードが必要です

自社プランの見直しを考えるときの判断材料

プラン選定は「復旧性」「機密制御」「調査性」の3つの軸で考えると整理しやすくなります。

判断軸	求める対策	必要なプラン
復旧性	ランサムウェア検知＋一括復元	Business Standard以上
復旧性＋保持	上記＋Vaultによるデータ保持	Business Plus以上
機密制御	DLPで機密ファイルの外部流出を防止	Enterprise Standard以上
調査性	Security Centerで共有状況を可視化	Enterprise Standard以上

※ 料金は2026年4月時点のGoogle Workspace公式料金ページを参照。プランや価格は変更される場合がありますので、公式ページで最新価格をご確認ください。

【優先順位つき】Google Workspace管理者が最初に実装したいランサムウェア対策

「何から手をつければいいか分からない」という管理者の方に向けて、影響の大きい設定から順に解説します。

1. 2段階認証（2SV）を全社に必須化する

ランサムウェア対策の第一歩は、アカウントの乗っ取りを防ぐことです。

管理コンソールでの設定：

「セキュリティ」>「認証」>「2段階認証プロセス」 を開く
「ユーザーが2段階認証プロセスを有効にできるようにする」をオン
「適用」を 「今すぐ適用」 に変更
保存

段階導入のコツ： いきなり全社に適用するとログインできなくなるユーザーが出る可能性があります。まず特定の組織部門（OU）に適用し、問題がないことを確認してから全社に展開しましょう。設定の反映には最大24時間かかることがあります。

2. 外部共有を絞り込みAccess Checkerの動作を調整する

外部共有の範囲が広いほど、ランサムウェアの被害が社外に波及するリスクが高まります。

推奨設定：

管理コンソール > 「アプリ」>「Google Workspace」>「ドライブとドキュメント」>「共有設定」
組織外との共有を「許可リストに登録されているドメインのみ」に制限
Access Checkerの動作を「受信者のみ」に設定

3. 重要データを共有ドライブへ移して所有権を組織化する

マイドライブ内のファイルは個人に所有権があるため、退職や異動時にデータが失われるリスクがあります。

重要な業務データは共有ドライブに移行し、所有権を組織に帰属させる
共有ドライブのメンバー権限を適切に設定（「編集者」「閲覧者」など）
マイドライブの外部共有を制限し、共有ドライブでの管理を推奨する

4. Drive for desktopを認可端末に限定しミラー同期を見直す

Drive for desktopは便利な反面、端末感染時にクラウドへ被害が波及する経路になります。

対策：

エンドポイント管理で、会社が管理する端末のみにDrive for desktopの利用を許可
ミラー同期（ファイルを端末にコピー） よりもストリーミング同期（ファイルをクラウドに保持） のほうが、端末上にファイル実体が少ないためリスクが低い
ストリーミング同期を組織のデフォルトとして設定する

設定パス： 管理コンソール > 「アプリ」>「Google Workspace」>「ドライブとドキュメント」>「パソコン版ドライブの設定」

5. ランサムウェア検知と複数ファイル復元を有効化する

デフォルトで有効化されていますが、念のため設定を確認しましょう。

確認手順：

管理コンソール > 「アプリ」>「Google Workspace」>「ドライブとドキュメント」
「マルウェアとランサムウェア」>「ランサムウェアの検出」 がオンになっていることを確認
「ドライブのファイル復元」>「複数のファイルバージョンの復元を許可」 がオンになっていることを確認

6. アラートセンターの通知先と確認頻度を決める

ランサムウェアが検知されたとき、誰が最初に対応するかを事前に決めておくことが重要です。

管理コンソール > 「セキュリティ」>「アラートセンター」 で通知メールの送信先を確認
ランサムウェア検知アラートの通知先に、IT担当者のメールアドレスを追加
少なくとも営業日は毎日1回、アラートセンターを確認する運用を定める

Enterpriseプランで追加できる高度なGoogle Workspaceランサムウェア対策

以下の機能はEnterprise Standard以上のプランで利用できます。Businessプラン（Starter/Standard/Plus）では利用できません。

DLPで機密ファイルの外部共有をブロックする

DLP（データ損失防止）は、機密情報を含むファイルの外部共有やダウンロードを自動的にブロックする機能です。

ランサムウェア対策としての活用：

マイナンバーやクレジットカード番号を含むファイルの外部共有を自動検知・ブロック
二重脅迫型ランサムウェアによるデータ流出リスクを軽減
ルール違反時にユーザーへ警告メッセージを表示

コンテキストアウェアアクセスでBYODのダウンロードや印刷を制限する

コンテキストアウェアアクセスは、ユーザーのデバイスやネットワーク環境に応じてアクセスを制御する機能です。

活用例：

会社支給端末以外（BYOD）からはドライブのファイルを閲覧のみ許可（ダウンロード・印刷・コピーを禁止）
社外ネットワークからのアクセス時に追加の認証を要求
管理対象外のデバイスからのDrive for desktopの利用をブロック

Security Centerで共有状況・OAuth付与を可視化する

Security Centerは、組織全体のセキュリティ状況をダッシュボードで把握できる管理者向けツールです。

ランサムウェア対策としての活用：

外部共有されているファイルの一覧を確認し、不要な共有を解除
組織内のユーザーが許可しているOAuthアプリの一覧を確認し、不審なアプリを無効化
ファイルの共有状況の変化を時系列で追跡

Google Workspace・Googleドライブがランサムウェアに感染したときの復旧フロー

「感染したかもしれない」と気づいたら、以下の手順で対応しましょう。

1. 感染端末を切り離しDrive for desktop からログアウトする

最優先で行うこと：

感染が疑われる端末をネットワークから切断（Wi-FiオフまたはLANケーブルを抜く）
Drive for desktop を終了し、Googleアカウントからログアウト
管理コンソールから対象ユーザーのパスワードをリセットし、全セッションを強制ログアウト

Drive for desktop のランサムウェア検知が有効であれば、同期は自動停止されているはずですが、念のため手動でも切断してください。

2. 影響範囲を確認する（個人Drive・共有ドライブ・外部共有・OAuth）

確認ポイント：

対象ユーザーのマイドライブで、暗号化・破損されたファイルの有無を確認
対象ユーザーが編集権限を持つ共有ドライブの被害状況を確認
外部共有しているファイルが影響を受けていないか確認
管理コンソールで対象ユーザーのOAuthアプリ一覧を確認し、不審なアプリのアクセスを取り消す

3. 状態別にGoogleドライブの復旧経路を選ぶ

状態	復旧方法	操作者
ファイルが暗号化されている（25日以内）	一括復元で感染前の時点に巻き戻す	ユーザーまたは管理者
ファイルが削除されゴミ箱にある	ゴミ箱から復元（30日以内）	ユーザー
ゴミ箱を空にした	管理者復元（ゴミ箱を空にしてから25日以内）	管理者
25日を超えている	Vault で保持データを検索・書き出し（Vault対応プランのみ）	管理者
Vaultにもない	サードパーティバックアップから復元	管理者

注意： 一括復元を実行すると、復元時点以降に正常に編集されたファイルも巻き戻されます。復元前に、影響範囲を慎重に確認してください。

4. 復旧後の再共有・整合性確認・社内報告

復旧作業が完了したら、以下を忘れずに行いましょう。

共有設定の確認 — 復元されたファイルの共有設定が元通りかを確認（管理者復元では共有設定が復元されない場合がある）
ファイルの整合性チェック — 復元したファイルが正常に開けるか、内容が正しいかを確認
社内への報告 — 発生日時、影響範囲、対応内容、再発防止策をまとめて社内に共有
感染端末の対応 — ランサムウェアの駆除・OSの再インストールが完了するまでネットワークに接続しない

Google Workspace 標準機能では足りない場面とサードパーティバックアップの判断基準

Google Workspace の標準機能は強力ですが、すべてのケースをカバーできるわけではありません。

25日・20日を超える復旧が必要なケース

Google Workspaceの復元には明確な時間的制約があります。

復旧手段	期限
一括復元（バージョン復元）	過去25日以内の変更
管理者復元（ゴミ箱削除後）	ゴミ箱を空にしてから25日以内
削除ユーザーのデータ復元	アカウント削除から20日以内

これらの期限を過ぎると、Google 標準機能では復旧できません。ランサムウェアの感染に気づくのが遅れた場合や、潜伏期間が長いランサムウェアの場合、この窓を超えてしまうリスクがあります。

Vaultを「バックアップ代替」にしてはいけない理由

Google Vault は「バックアップの代わりになる」と誤解されがちですが、以下の理由からバックアップの代替にはなりません。

直接復元ができない — Vault からドライブに直接ファイルを戻すことはできず、書き出し（エクスポート）→手動アップロードが必要
フォルダ構造・共有設定は復元されない — 書き出されるのはファイル単体であり、元の構造は再現できない
ポイントインタイム復元ができない — 「この日時の状態に戻す」という操作ができない
保持ルールが外れるとデータも消える — Vault の保持期間が切れたデータは自動的に削除される

サードパーティバックアップを検討する判断基準

以下に当てはまる場合は、Google Workspace 標準機能に加えてサードパーティのバックアップソリューションの導入を検討しましょう。

復旧の時間窓（25日）を超えるデータ保持が必要 法規制や社内ポリシーで長期保存が求められる
ポイントインタイム復元が必要 任意の日時の状態に完全復元したい
フォルダ構造・共有設定を含めた完全復元が必要 手動での再構築を避けたい
Google Workspace 以外のデータも一元管理したい Microsoft 365やSalesforceなど複数SaaSのバックアップを統合したい
独立したコピーが必要 Google 環境とは別の場所にデータの複製を保持したい

中小企業向けGoogle Workspaceランサムウェア対策の運用ポリシーとチェックリスト

設定を入れるだけでは十分ではありません。「誰が」「どの頻度で」「何を」確認するかを決めておきましょう。

役割分担と見直し頻度の決め方

タスク	推奨頻度	担当者例
アラートセンターの確認	毎営業日	IT担当者
外部共有ファイルの棚卸し	月次	IT担当者＋部門長
OAuthアプリの確認・整理	四半期	IT担当者
2段階認証の適用状況チェック	四半期	IT担当者
復旧テストの実施	四半期	IT担当者
ランサムウェア対策ポリシーの見直し	年次	経営層＋IT担当者