Ransomware Frontline Report V2

エグゼクティブ・サマリー

ランサムウェアを「ファイルを暗号化して身代金を要求する不正プログラム」とだけ説明しても、現場での意思決定を支えることはできない。現在の主要な危険は、暗号化という一つの処理ではない。実際には、侵入、認証情報の悪用、管理権限の掌握、横展開、データ持出し、復旧資産の妨害、そして業務停止と情報公開の脅迫を組み合わせた、事業中断・恐喝の運用である。

2025年版Verizon DBIRは、分析対象の侵害全体の44%でランサムウェアが確認されたと報告しており、規模別では大規模組織39%、中小組織88%であったとしている。2026年版の公開要約では48%と報告されている。両者は同じ母集団・定義で単純比較してはならないが、ランサムウェアが周辺的な問題ではない点では一致している。IPAの「情報セキュリティ10大脅威 2025」でも、組織向け第1位は「ランサム攻撃による被害」であり、2016年から10年連続で扱われた。[S03][S04][S05] 2026年版でも同ランキングの第1位を維持しており、組織向け第1位は2021年から2026年まで6年連続である。[CE1] また、Top10の選定自体は、2016年から2026年まで11年連続、11回目となる。

被害を「感染」だけで測ってはならない。止まるのはPCではなく、受発注、物流、医療請求、製造計画、決済、問い合わせ、委託先連携、そして意思決定である。復旧の難しさは、暗号化されたデータ量よりも、侵害範囲を確定できるか、ID基盤を再び信頼できる状態に戻せるか、バックアップを安全に戻せるか、手作業で事業を維持できるかといった条件に左右される。

このレポートが重視すること

こうした前提から、本レポートでは、侵入を防ぐことだけでなく、侵害の拡大を抑え、早期に異常を捉え、安全に復旧し、事業を継続できる状態をどう設計するかを重視している。

• 防御の中心は、ID、端末、サーバー、クラウド管理面、バックアップ、委託先接続までを含む攻撃面全体の管理にある。
• MFAだけで完結せず、特権IDの分離、認証の強化、条件付きアクセス、セッションと端末の信頼確認、例外の棚卸しまで含めて考える。
• バックアップは保管ではなく、分離、変更不能性、復元試験、復旧順序、認証・鍵・設定の保全までを含む復旧能力として設計する。
• 検知は暗号化の瞬間を待たず、異常な認証、権限変更、管理面へのアクセス、横展開、データ収集・外部転送を早期に捉える。
• インシデント対応は技術だけで完結させず、事業継続、法務、広報、経営、保険、外部専門家、捜査機関との連携まで平時から準備する。

このレポートで扱うこと

• ランサムウェアの歴史と、収益化、侵入経路、分業、脅迫材料の変化をたどり、現在の防御設計を支える原則を整理する。
• 侵入、認証情報の悪用、権限拡大、横展開、管理面への到達、データ持出し、暗号化と恐喝が連なる現在の攻撃構造を捉える。
• 外部公開資産、ID・認証、端末・サーバー、ネットワーク、クラウドや管理面、バックアップ、委託先接続を横断した防御設計を扱う。
• 暗号化前の兆候を含む検知、証拠保全、封じ込め、再構築、復旧・監視までの対応と、関係者との連携や事業継続を踏まえ、復旧の過程を考える。
• 実例から、事件名の暗記ではなく、侵入経路、権限、復旧可能性、接続先、業務影響を検証するための教訓を取り出す。
• 将来の不確実な変化を断定せず、二重恐喝、ID・クラウド管理面、委託先、生成AI、復旧能力に備える方向を示す。

本レポートの目的と範囲

本レポートは、ランサムウェアを単なるマルウェア感染ではなく、侵入、権限悪用、データ窃取、復旧妨害、事業停止を含む組織的リスクとして理解し、防御・対応・復旧に関する意思決定を支援することを目的として作成されたものである。攻撃手法の再現、侵入手順の提供、回避手法の提示、マルウェア実装を目的とするものではない。

利用上の注意

本レポートは防御・教育用の情報であり、実際のインシデントにおける組織固有の調査、判断、対応を代替するものではない。法務、規制対応、保険、インシデント対応などの判断は、必要に応じて関係者・専門家および関係当局に確認すること。

想定読者

対象は、運用・インフラ・クラウド・セキュリティを担うエンジニア、IT管理者、CSIRT参加者、経営層へ説明する担当者である。

調査基準と情報の限界

本レポートの初版調査基準日は2026年7月16日である。Current Editionでは、2026年8月20日までに確認した重要な一次資料の更新を限定的に反映している。脅威グループ名、リークサイト、支払額、帰属は流動的で、報道だけで確定しない。本文では、事実は原則として出典台帳の資料に紐づけ、判断と見通しにはラベルを付す。

フルレポート

本レポートでは、ここで示した要点をもとに、ランサムウェアの歴史、現在の攻撃構造、防御設計、検知、復旧、インシデント対応、実例、今後の変化と備えまでを詳しく整理しています。詳細な根拠と分析については、フルレポートをご覧ください。