「レンタルサーバーが自動でバックアップしてくれているから大丈夫」。そう考えていませんか？

多くのレンタルサーバーには便利なバックアップ機能があります。しかし、万が一サーバーや管理用のアカウントが攻撃されたとき、そのバックアップだけで確実に復旧できるでしょうか。

アップルップルでは、こうしたリスクに備えて、ホスティング会社のバックアップとは独立したバックアップの仕組みを自社で構築し、毎晩運用しています。この記事では、ランサムウェアや改ざんに強いバックアップの考え方と、私たちが実際に使っている仕組み・運用の方法をご紹介します。

この記事でわかること

• ランサムウェア・Webサイト改ざんの最近の状況
• バックアップがあっても復旧できない理由
• ランサムウェアに強いバックアップの考え方「3-2-1-1-0ルール」
• 改ざんされたサイトを、クリーンな環境で作り直すときのバックアップの使い方
• アップルップルのWebサイトのバックアップの仕組みと、使っているサービス
• 自社のバックアップを見直すためのチェックリスト

ランサムウェア・Webサイト改ざんのリスク

ランサムウェアは、データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する攻撃です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」の組織編では、「ランサム攻撃による被害」が11年連続で選ばれ、今年も1位でした。

警察庁の令和7年におけるサイバー空間をめぐる脅威の情勢等についてによると、2025年に報告されたランサムウェアの被害は226件で、高い水準が続いています。被害に遭った組織の約6割は中小企業で、規模の大きな会社だけが狙われるわけではありません。

Webサイトの改ざんも、自治体や企業、学校などで繰り返し起きています。総務省は、改ざんされた場合は速やかに改ざん前の状態に戻すことを呼びかけており、そのためには信頼できる時点のバックアップが欠かせません。

さらに、10大脅威 2026では「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました。攻撃者がAIを悪用することで、攻撃が行いやすくなり、手口も巧妙になるおそれがあると指摘されています。侵入を完全に防ぐことが難しくなるほど、「攻撃を受けても元に戻せる」備えの大切さが増しています。

バックアップがあっても復旧できない3つの理由

警察庁がランサムウェアの被害に遭った組織に行った調査では、回答した116件のうち105件（約9割）がバックアップを取っていました。ところが、バックアップからの復元の結果を回答した99件のうち、被害の直前の状態まで戻せたのは20件（約2割）にとどまっています。戻せなかった理由として最も多かったのは「バックアップも暗号化された」で、理由を回答した72件のうち48件（約3分の2）を占めました（警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 統計編）。

バックアップがあっても戻せない原因は、主に次の3つです。

1. 本番と同じ場所にある：サイトと同じサーバーや、同じ管理画面から操作できる場所にバックアップがあると、乗っ取られたときに一緒に暗号化されたり消されたりするおそれがあります。
2. 消されない仕組みがない：管理者の権限を奪われると、バックアップも削除できてしまいます。
3. 戻せるかを試していない：バックアップのファイルがあっても、実際に戻してみるまで、壊れていないか・必要なものがそろっているかは分かりません。

レンタルサーバーの自動バックアップは、誤操作やサーバーの障害から復旧するための大切な仕組みです。事業者によっては、サイトとは別のサーバーにバックアップを保管しているところもあります。そのうえで、サイバー攻撃への備えとして考えると、同じ事業者の管理下にあることに変わりはなく、事業者側の大きな障害や、契約しているアカウントが乗っ取られた場合の影響を受けないとは言い切れません。何日分を残すか、どう戻すかも事業者の仕様で決まり、自分で確かめられる範囲は限られます。

安全なバックアップの考え方「3-2-1-1-0ルール」

バックアップの基本として広く知られているのが「3-2-1ルール」です。近年は、ランサムウェアへの備えとして、これに「消せないこと」と「戻せることの確認」を加えた「3-2-1-1-0ルール」も提唱されています。

ここで出てくる「イミュータブルバックアップ」とは、保存したデータを、決められた期間は変更・削除できないようにしたバックアップのことです。

アップルップルが実践している3つの対策

アップルップルのバックアップは、この3-2-1-1-0ルールを参考に、次の3つの対策で設計しています。ホスティング会社のバックアップも併用したうえで、それとは独立した「別の場所」「消せない」「戻せることを確認済み」のバックアップを持つ形です。

1. 別の場所に、毎晩とる

Webサイトのデータベースとファイルを毎晩バックアップし、サイトのサーバーとは別の事業者のクラウドストレージに保存しています。

前回から変わったデータだけを保存する仕組みのため、転送量や保存容量を抑えながら、保存している各晩の時点の状態に戻せます。

2. 保護期間中は、管理者でも消せない

保存先のクラウドストレージでは、データを一定期間、変更・削除できなくする「Object Lock」を、管理者でも解除できないモード（コンプライアンスモード）で使っています。万が一、管理用のアカウントが侵害されても、保護期間内のバックアップは削除されません。

保護期間は毎晩の処理の中で延長しています。延長が止まっていないか、過去のバックアップが消えたり見えなくなったりしていないかも毎晩確かめ、異常があれば翌朝の報告で警告します。

3. 戻せることを、毎月確かめる

毎月1日に、すべてのサイトの最新のバックアップを使って「復元の訓練」を自動で行っています。

• データベース：バックアップから取り出し、検証用のデータベースに実際に取り込めるかを確かめます。
• ファイル：必要なファイルがバックアップに含まれているかを、一覧で確かめます。

結果はチームに通知されるので、「いざ戻そうとしたら使えなかった」という事態を前もって防げます。

改ざんからの復旧にも：クリーンな環境で作り直すために

このバックアップが役立つのは、ランサムウェアだけではありません。Webサイトが改ざんされたときや、不正なファイルを仕込まれたときの復旧にも使えます。

改ざんされたサイトは、改ざんされたファイルを直したり、バックアップを上から書き戻したりするだけでは、安全とは言えません。見つけられなかった不正なファイルや、侵入口になった古いソフトウェアが残っていれば、再び被害に遭うおそれがあるためです。そこで、安全な環境を用意してサイトを作り直す「クリーンインストール」が確実な方法になります。

アップルップルのバックアップは、この作り直しを支える条件をそろえています。

• 改ざん前の状態が信頼できる：バックアップはサイトのサーバーの外に保存し、保護期間中は管理者でも消せません。サイトのサーバーを乗っ取った攻撃者が、過去のバックアップまで書き換えることはできません。
• 戻す時点を選べる：毎晩の時点ごとに保存しているため、保存している期間の中から、改ざんされる前の時点を選んで取り出せます。
• 元のサーバーを使わずに取り出せる：バックアップは、改ざんされたサーバーを経由せずに、別の環境へ取り出せます。毎月の復元の訓練も、サイトのサーバーとは別の環境で行っています。
• 本番に勝手に書き戻さない：バックアップから本番のサイトへ自動で書き戻すことはありません。どの時点のどのデータを戻すかを確かめてから、作り直した環境に戻せます。

バックアップの仕組みと使用サービス

毎晩の流れは、次の3ステップです。

1. バックアップ専用のサーバーが、各サイトのサーバーからデータベースとファイルを取得します。ファイルは、前の晩から変わった分だけを転送します。
2. 取得したデータを暗号化し、クラウドストレージに保存します。
3. すべてのサイトの結果を、毎朝1通にまとめてチームのSlackに届けます。一時的な通信の失敗などで取得できなかったサイトは、自動で1回やり直します。

使っている主なサービスと、それを選んだ理由は次のとおりです。

一方が侵害されても、バックアップを守るために

別の事業者を使うだけでは、安全とは言い切れません。そこで、次の対策を組み合わせています。

• 権限を絞る：バックアップ専用のサーバーには、サイトごとに保存場所を限ったキーだけを置き、ストレージ全体を管理するキーは置いていません。保存場所と暗号化の鍵はサイトごとに分けています。
• 消せない状態で守る：上で紹介したObject Lockにより、バックアップ専用のサーバーが乗っ取られても、保護期間内のバックアップは削除できません。
• サイトのサーバーを危険にさらさない：バックアップのための接続は、決められた読み出しの操作しかできないように制限しています。万が一バックアップ専用のサーバーが乗っ取られても、その接続を使ってサイトを書き換えたり消したりはできません。保存先のキーや暗号化のパスワードは、サイトのサーバーには置きません。

自社のバックアップを確認するチェックリスト

いまのバックアップで十分かどうか、次の項目で確かめてみてください。1つでも「いいえ」があれば、見直す余地があります。

• データベースとファイルの両方をバックアップしているか
• サイトとは別の場所（別の事業者や別のアカウント）にも保存しているか
• 管理者の権限を奪われても、消されない・書き換えられない状態で保管しているか
• 1つの時点だけでなく、複数の時点に戻せるか
• バックアップが失敗したり止まったりしたときに、気づける仕組みがあるか
• 実際に戻せるかを、定期的に試しているか
• いざというときに、誰がどの手順で戻すかが決まっているか

バックアップでできること・できないこと

バックアップは、攻撃そのものを防ぐものではありません。被害を受けたときに「元に戻す」ための手段です。

サイトを守るには、CMSやサーバーのソフトウェアを最新に保つこと、管理画面のアクセスを制限すること、パスワードや多要素認証を適切に管理することなど、侵入を防ぐ対策が欠かせません。バックアップは、それでも被害を受けてしまったときに事業を止めないための、最後の備えです。

よくある質問

レンタルサーバーの自動バックアップがあれば十分ですか？

レンタルサーバーの自動バックアップは、誤操作やサーバーの障害から復旧するための大切な仕組みで、まずはこれを活用することが基本です。そのうえで、ランサムウェアや改ざんに備えるなら、事業者の外にも、消されない状態のバックアップをもう1つ持っておくことをおすすめします。

バックアップがあれば、ランサムウェアに感染しても大丈夫ですか？

戻せる状態のバックアップがあれば、被害から立ち直れる可能性は大きく上がります。ただし、侵入された原因を取り除かないまま戻すと、再び被害に遭うおそれがあります。まずサイトを止めて被害の範囲と原因を確かめ、侵入口を塞いでから、被害を受ける前の時点のバックアップで戻すのが基本です。

イミュータブルバックアップとは何ですか？

保存したデータを、決められた期間は変更・削除できないようにしたバックアップです。管理者でも解除できない設定にしておけば、管理者の権限が奪われても、その期間内のバックアップは消されません。

まとめ・お問い合わせ

ランサムウェアや改ざんをはじめとするサイバー攻撃は、もはや大企業だけの問題ではありません。「侵入を防ぐ」対策とあわせて、「被害を受けても戻せる」備えが欠かせません。

アップルップルでは、「別の場所に毎晩とる」「保護期間中は管理者でも消せない」「戻せることを毎月確かめる」という3つの対策で、Webサイトのバックアップを運用しています。ランサムウェアの被害だけでなく、改ざんされたサイトをクリーンな環境で作り直すときにも、信頼できる「改ざん前の状態」として役立ちます。

この仕組みは、お客さまのWebサイトにも導入できるよう、ご相談を受け付けています。サイトごとに保存場所と暗号化の鍵を分け、サイトのファイルや設定には手を入れずに導入できます。サーバーの環境によっては導入できない場合もあるため、まずは現在のサーバーやサイトの構成をお聞かせください。「今のバックアップで大丈夫か不安」という段階でもかまいません。

お問い合わせはこちら

参考

• 情報セキュリティ10大脅威 2026（IPA）
• プレス発表「情報セキュリティ10大脅威 2026」を決定（IPA）
• サイバー空間をめぐる脅威の情勢等（警察庁）：「令和7年におけるサイバー空間をめぐる脅威の情勢等について」本編、統計編 P128〜P130
• 事例2 ホームページが書き換えられた（総務省 国民のためのサイバーセキュリティサイト）

2026年9月25日(金)に開催されたZohoのユーザー向けイベント Zoholics Japan 2026 に、弊社代表とスタッフの2名で参加しました。スタッフの私は初めての参加でしたが、たいへん活気があって楽しいイベントでした。毎年全国からのユーザーが参加し、年々規模が大きくなっているようです。

実用的なセッションと刺激的なセッション

操作画面のUIを簡単にカスタマイズできる Headless CRM、Applets といった新機能や、カスタマーサポートの品質を高め、サポート担当の負担を減らす Zoho Desk などについてのセッションでは実用的ですぐに試してみたい機能が紹介されていました。また、AI についての最新の知見が得られるセッションもあり、たいへん刺激的でした。

製品ブース、パートナーブースではセッションで分からなかった点について質問したり、実際の活用について相談したりもできました。

AIとの着実な向き合い方

Zoho の AI アシスタントと言えば2017年に正式リリースされた Zia ですが、開発開始から数えればすでに10年以上が経っているそうです。これからも長期的な視野で AI と向き合っていくという姿勢が各セッションから伝わってきました。AI を業務に取り入れていくことはどの業種でもこれから必須になりますが、Zoho の UI を使うことである意味「むき出し」ではない AI に、それとは気づかないほど快適にサポートされることが可能になりそうです。

イベント参加を終えて

平素は格別のご愛顧をいただき、心から御礼申し上げます。
誠に勝手ながら以下の期間を夏季休業日とさせていただきます。
期間中の通常業務（CMS関連事業・Webサイト制作事業・CRM関連事業）は休業となります。


休業期間：2026年8月11(火)〜8月16日(日) 迄

休業中に頂いたお問い合わせについては、休業期間終了後に順次回答させていただきます。
ご迷惑をおかけしますが、ご了承のほどよろしくお願いいたします。

※コワーキングスペースの休業日については、ベースキャンプ名古屋のWebサイトをご覧ください。

6月の3日間、去年に引き続き、SANU 2nd Home for Business を利用して社員旅行に行ってきました。今年の行き先は、奄美大島です！

1日目

奄美自然観察の森

SANU 2nd Home 奄美大島1st

ナイトサファリツアー

夜はゆっくりと食事を楽しむチームとナイトサファリツアーに参加するチームに分かれて行動。ナイトサファリツアーではジープに乗ってガイドの説明をききながら、さまざまな野性動物を観察しました。アマミノクロウサギはもちろん、お昼に聞いた謎の鳴き声の主、リュウキュウアカショウビンにも遭遇してテンションが上りました。

2日目

金作原原生林散策トレッキング

マングローブカヌー体験

3日目

奄美パーク

奄美大島での3日間、非常に楽しく、チームの親睦も深まりました。フレッシュな気持ちで今年後半のお仕事に取り組んでまいります！

4月1日（水）に、2026年度入社式が行われ、フロントエンドエンジニアとして 山中 弥琴（やまなか みこと）さんを迎え入れました。

実は山中さんと私たちの出会いは、今から約半年前の2025年夏に遡ります。
最初は3日間の短期インターンからのスタートでした。その後、今年の春まで長期インターンとして、熱心に業務に取り組んでくれました。

入社式では、少し緊張しながらも、インターン時より一層たくましくなった山中さんの表情が印象的でした。
地道な努力を積み重ね、一つひとつスキルを自分のものにしていく姿を間近で見てきたからこそ、今日という日を迎えられた喜びもひとしおです。

新しいメンバーと共に、より一層パワーアップしたアップルップルを今後ともよろしくお願いいたします！