エグゼクティブ・サマリー

ランサムウェアを「ファイルを暗号化して身代金を要求する不正プログラム」とだけ説明しても、現場での意思決定を支えることはできない。現在の主要な危険は、暗号化という一つの処理ではない。実際には、侵入、認証情報の悪用、管理権限の掌握、横展開、データ持出し、復旧資産の妨害、そして業務停止と情報公開の脅迫を組み合わせた、事業中断・恐喝の運用である。

2025年版Verizon DBIRは、分析対象の侵害全体の44%でランサムウェアが確認されたと報告しており、規模別では大規模組織39%、中小組織88%であったとしている。2026年版の公開要約では48%と報告されている。両者は同じ母集団・定義で単純比較してはならないが、ランサムウェアが周辺的な問題ではない点では一致している。IPAの「情報セキュリティ10大脅威 2025」でも、組織向け第1位は「ランサム攻撃による被害」であり、2016年から10年連続で扱われた。[S03][S04][S05] 2026年版でも同ランキングの第1位を維持しており、組織向け第1位は2021年から2026年まで6年連続である。[CE1] また、Top10の選定自体は、2016年から2026年まで11年連続、11回目となる。

被害を「感染」だけで測ってはならない。止まるのはPCではなく、受発注、物流、医療請求、製造計画、決済、問い合わせ、委託先連携、そして意思決定である。復旧の難しさは、暗号化されたデータ量よりも、侵害範囲を確定できるか、ID基盤を再び信頼できる状態に戻せるか、バックアップを安全に戻せるか、手作業で事業を維持できるかに左右される。

このレポートの結論

1. 防御の中心は境界機器だけではない。 ID、端末、サーバー、クラウド管理面、バックアップ、委託先接続を一つの攻撃面として管理する。
2. MFAだけでは終わらない。 特権IDの分離、耐フィッシング性の高い認証、条件付きアクセス、セッションと端末の信頼確認、例外の棚卸しが必要である。
3. バックアップは「ある」では足りない。 分離、変更不能性、復元試験、復旧順序、復旧に必要な認証・鍵・設定の保全までを設計する。
4. 検知は暗号化の瞬間を待たない。 異常な認証、権限変更、管理面へのアクセス、横展開、データ収集・外部転送を早期に見つける。
5. インシデント対応は技術チームだけの仕事ではない。 事業継続、法務、広報、経営、保険、外部専門家、捜査機関との連携を平時から決める。
6. 身代金支払いは復旧計画ではない。 支払っても復号、漏えい防止、再侵入防止を保証しない。制裁・法務・保険・倫理・事業継続を含む経営判断である。[S01]

図1　現在のランサム攻撃を捉える最小モデル

図の左から右へ進むことは典型的な理解枠組みであり、すべての事件が同じ順序・同じ技術で起きるという意味ではない。特に、暗号化を使わず窃取データの公開を脅す「ノーウェアランサム」も存在する。[S07]

想定読者と到達点

対象は、運用・インフラ・クラウド・セキュリティを担うエンジニア、IT管理者、CSIRT参加者、経営層へ説明する担当者である。読了後は、次を自分の言葉で説明できるようになることを目標とする。

• なぜランサムウェアが「マルウェア対策」だけでは防げないのか。
• 暗号化、データ窃取、二重恐喝、RaaS、サプライチェーンリスクの関係。
• 自組織の優先順位を、ID、外部公開資産、特権管理、バックアップ、監視、復旧演習に落とし込む方法。
• 発見当日の技術・経営・対外連携の判断を、混線させずに進める方法。

読み方と安全上の境界

本書は防御・教育用であり、攻撃を再現できるコマンド、回避手順、侵入設定、マルウェア実装は記載しない。一方で、防御設計のために必要な攻撃の目的と観測点は説明する。

本レポートの初版調査基準日は2026年7月16日である。Current Editionでは、2026年8月20日までに確認した重要な一次資料の更新を限定的に反映している。脅威グループ名、リークサイト、支払額、帰属は流動的で、報道だけで確定しない。本文では、事実は原則として出典台帳の資料に紐づけ、判断と見通しにはラベルを付す。

実務判断：最初に予算を投じるべきは、製品の追加購入とは限らない。資産台帳、特権ID一覧、外部公開面、バックアップ復元、連絡網、復旧優先順位を可視化しない限り、既存製品の有効性も測れない。