今回は、Windows 11に標準で備わっている「コントロールされたフォルダーアクセス」を使って、ランサムウェアから大切なファイルを守る方法を紹介します。オンにする手順だけでなく、保護するフォルダーの追加方法や、普段使いのアプリがブロックされたときの対処法、あわせて取り入れたい対策もまとめました。
コントロールされたフォルダーアクセスとは
ランサムウェアは、パソコン内のファイルを勝手に暗号化して開けない状態にし、元に戻すことと引き換えに金銭を求めてくる不正なプログラムです。見知らぬ相手からの添付ファイルや、偽のWebサイト、SNSやメッセージに貼られた不審なリンクなどが入り口になることがあります。
コントロールされたフォルダーアクセスは、Windows セキュリティ（Microsoft Defender ウイルス対策）に含まれる機能で、指定したフォルダー内のファイルを書き換えたり削除したりできるアプリを、信頼できるものだけに絞り込みます。信頼されていないアプリが保護対象のフォルダーに手を加えようとすると、その動きを止めて通知で知らせてくれます。Windows 11 Homeを含むエディションで利用でき、追加のソフトを入れる必要はありません。
初期状態で保護されるフォルダー
機能をオンにすると、主に次のような場所が自動的に保護の対象になります。
- ドキュメント
- ピクチャ
- ビデオ
- ミュージック
- お気に入り
- パブリックのドキュメント、ピクチャ、ビデオ、ミュージック
これらのフォルダーをOneDriveに移動している場合は、移動先のフォルダーが保護されます。また、パソコンの起動情報を記録しているディスクの領域への書き込みもあわせて保護されます。なお、最初から保護されているフォルダーを一覧から外すことはできません。
機能を使うための前提条件
この機能は、Microsoft Defender ウイルス対策がメインのウイルス対策として動いていることが前提です。市販のセキュリティソフトを導入していてDefenderが無効になっている場合や、リアルタイム保護がオフになっている場合は働きません。設定画面で項目が見当たらないときは、まずウイルス対策の状態を確認してみてください。
コントロールされたフォルダーアクセスをオンにする手順
初期状態ではオフになっているため、自分でオンに切り替える必要があります。
- スタートメニューから「Windows セキュリティ」を開きます。
- 「ウイルスと脅威の防止」を選択します。
- 画面を下へ進み、「ランサムウェアの防止」の項目にある「ランサムウェア防止の管理」を選択します（「ウイルスと脅威の防止の設定」の「設定の管理」からも同じ画面に進めます）。
- 「コントロールされたフォルダー アクセス」のスイッチをオンにします。
- ユーザーアカウント制御の確認画面が出たら「はい」を選びます。
画面に表示される項目名は、Windowsのバージョンによって「フォルダー アクセスの制御」のように表記が少し異なる場合があります。スイッチをオンにすると、その下に「保護されているフォルダー」と「コントロールされたフォルダー アクセスによるアプリの許可」という2つの項目が使えるようになります。
保護するフォルダーを追加する方法
仕事のデータを「D:\仕事」のような独自のフォルダーにまとめている場合、そのままでは保護の対象になりません。大事なデータを置いている場所は、自分で追加しておくと安心です。
- ランサムウェア防止の画面で「保護されているフォルダー」を選択します。
- ユーザーアカウント制御の確認画面で「はい」を選びます。
- 「保護されているフォルダーの追加」を選び、対象のフォルダーを指定します。
フォルダーを追加すると、その中にあるサブフォルダーもまとめて保護されます。ネットワーク上の共有フォルダーやネットワークドライブも追加できますが、ファイルの読み書きのたびにチェックが入るため、動作が重く感じることがあります。共有フォルダーを追加したあとは、普段の作業に支障がないかを確かめておくとよいでしょう。
追加するフォルダーを選ぶコツ
- 写真や書類など、失うと取り戻せないデータを置いているフォルダーを優先する
- ダウンロードフォルダーのように、アプリが頻繁にファイルを書き込む場所は、ブロックが増えやすいので様子を見ながら追加する
- 外付けドライブやデータ用ドライブに大切なファイルを保管している場合は、そのフォルダーも忘れずに含める
アプリがブロックされたときの対処法
この機能をオンにすると、信頼性の情報が少ないアプリや、自分で導入したフリーソフトなどが、保護されたフォルダーへの保存を止められることがあります。たとえば「ドキュメントに保存しようとしたのにエラーになる」という場合は、この機能によるブロックが原因かもしれません。
ブロックが起きると画面の右下に通知が表示され、Windows セキュリティの「保護の履歴」にも記録が残ります。保存に失敗したときは、まず保護の履歴を開いて、どのアプリが止められたのかを確認しましょう。
信頼できるアプリを許可する手順
- ランサムウェア防止の画面で「コントロールされたフォルダー アクセスによるアプリの許可」を選択します。
- ユーザーアカウント制御の確認画面で「はい」を選びます。
- 「許可されたアプリの追加」を選びます。
- 「最近ブロックされたアプリ」から対象を選ぶか、「すべてのアプリを参照」で実行ファイル（.exeなど）を指定します。
「最近ブロックされたアプリ」から選ぶと、実際に止められたアプリをそのまま指定できるので、実行ファイルの場所を探す手間が省けます。許可したアプリは、一度終了してから起動し直すと設定が反映されます。
許可するときに気をつけたいこと
- 出どころがはっきりしないアプリは許可しない
- 許可は「その場所にある実行ファイル」に対して行われるため、アプリを別の場所に入れ直したときは再度の許可が必要になることがある
- 使わなくなったアプリは、許可の一覧から外しておく
よく知られたアプリの多くは、Defender側で自動的に信頼されるため、手作業で追加する場面はそれほど多くありません。ブロックされて困ったときにだけ追加する、という運用で十分です。
あわせて取り入れたいランサムウェア対策
コントロールされたフォルダーアクセスは心強い機能ですが、これだけですべての被害を防げるわけではありません。次のような対策を組み合わせると、守りがより確かなものになります。
- Windows Updateで常に最新の状態を保つ：セキュリティ上の弱点を修正する更新を早めに適用します。
- OneDriveに大切なファイルを保存する：OneDriveにはファイルの以前のバージョンを復元する仕組みがあり、万一の際に元の状態へ戻しやすくなります。
- 外付けドライブにもバックアップを取る：バックアップ後はパソコンから取り外しておくと、ランサムウェアの影響を受けにくくなります。
- 心当たりのない添付ファイルやリンクを開かない：差出人名やURLのつづりに不自然な点がないかを確かめる習慣をつけます。
- 定期的にパソコンを再起動する：更新の適用が進み、保護の仕組みが正しく働きやすくなります。
万一、身代金を求める画面が表示されても、お金を支払うのは避けましょう。支払ってもファイルが戻る保証はありません。Windows セキュリティでスキャンを実行して不正なプログラムを取り除いてから、バックアップを使って復元を試みるのが基本の流れです。
まとめ
Windows 11のコントロールされたフォルダーアクセスは、信頼できないアプリによるファイルの書き換えを止めることで、ランサムウェアの被害を抑える機能です。ポイントを振り返っておきます。
- Windows セキュリティの「ウイルスと脅威の防止」から、ランサムウェア防止の画面を開いてオンにする
- ドキュメントやピクチャなどは自動で保護され、独自のフォルダーは手動で追加できる
- 保存がブロックされたら「保護の履歴」で原因を確認し、信頼できるアプリだけを許可する
- OneDriveや外付けドライブへのバックアップ、Windows Updateと組み合わせて使う
設定は数分で終わります。大切なデータを置いているパソコンでは、一度オンにして、普段の作業との相性を確かめながら使ってみてください。