1. ランサムウェアはどう変わってきたのか

ランサムウェアの歴史は、単なる暗号技術の高度化ではない。収益化、侵入経路、標的選定、分業、脅迫材料、国家・法執行との関係が変化してきた。本章は、個々のファミリー名を暗記するためではなく、現在の防御設計がなぜ必要かを理解するための歴史である。

1.1 前史：画面ロックから暗号化へ

1989年の AIDS Trojan（PC Cyborg）は、身代金要求型マルウェアの初期例として広く参照される。今日の攻撃と同列には置けないが、利用者のアクセス制限と支払い要求を結び付ける発想はすでにあった。[S14] その後、偽の警告画面で端末をロックし、罰金を装って支払いを要求する「scareware」やロッカー型が広がった。

この段階の防御は、単一端末のマルウェア駆除・再インストールに比較的寄っていた。しかし企業環境では、端末がファイル共有、認証、業務サーバー、バックアップ、外部委託先と結びついている。被害者が一人ではなく組織全体になった時点で、問題の性質は変わった。

1.2 2013年前後：暗号化と匿名決済の結合

2013年に出現した CryptoLocker は、被害者の重要ファイルを暗号化して支払いを要求するランサムウェアとして、米司法省の国際共同摘発資料にも記録されている。[S15] 暗号化と暗号資産による支払いの結合は、攻撃者が国境を越えて要求・受領を行う際の摩擦を下げた。

事実の読み方：暗号資産が存在するから攻撃が成立した、という単因論は正確ではない。脆弱な認証、未更新の機器、見えない資産、過剰な権限、復旧不能なバックアップが揃うと、支払い手段を問わず恐喝は成立する。暗号資産は収益化の摩擦を下げた一要素である。

1.3 2016～2017年：自己増殖型拡散と社会インフラへの衝撃

2017年の WannaCry は、世界規模で多数の組織に影響を及ぼした。CISAは、Microsoftが修正プログラムを公開済みだった脆弱性を悪用し、ネットワーク内で自己伝播したと説明している。[S16] 英国NCSCは、WannaCryと同年のNotPetyaを、暗号化と自己伝播を組み合わせた破壊的攻撃と整理し、いずれも支払いによって復号鍵を得られる状態ではなかったと説明している。[S17] これは、外見だけで「支払えば復旧できる通常の恐喝」とみなす危険を示す。

この時期から現場は、次の二つを学んだ。

1. 単一の脆弱性管理漏れが、横展開可能なネットワークでは全社障害になり得る。
2. 「支払うかどうか」以前に、攻撃の目的、影響範囲、復旧可能性を検証しなければならない。

図2　脅威の重心の変化

図は代表的な転換点を示すための整理であり、各年に一斉に旧手法が新手法へ置き換わったことを意味しない。暗号化中心、データ恐喝、RaaSなどは現在も併存する。

1.4 2018～2020年：人手による侵入と「大規模狩猟」

この時期、攻撃者が組織へ侵入した後に環境を調べ、価値の高い対象に絞って被害をもたらす「human-operated ransomware」という見方が定着した。攻撃者は、単に添付ファイルをばらまくのではなく、入手した認証情報、公開されたリモートアクセス面、脆弱な境界機器、委託先接続などを起点に、到達できる管理権限と重要データを調べるようになった。

ここで防御側の盲点になったのが、可用性のために例外運用していた仕組みである。常時接続VPN、共有の管理者アカウント、古いファイルサーバー、見過ごされたリモート管理ツール、監視対象外のバックアップ管理面は、平時には便利でも侵害時には拡大器になる。

1.5 2019年以降：二重恐喝、三重恐喝、ノーウェアランサム

データを事前に窃取し、暗号化の解除だけでなく公開停止にも支払いを要求する二重恐喝が一般化した。CISAの共同勧告は、PlayやInterlockなど特定の攻撃者について、窃取と暗号化を組み合わせる二重恐喝を報告している。[S08][S20]

さらに、被害組織への直接要求に加え、顧客・取引先への連絡、DDoSによる追加圧力、リークサイトでの公開を組み合わせる例も知られる。ただし「三重恐喝」という語は分類上の便利な呼称で、すべての攻撃で同じ手順が使われるわけではない。

暗号化せず、窃取データの公開を脅すノーウェアランサムもある。東京都の教材は、2024年に公表された例として、不正侵入やデータ消失が確認されず、公開データを根拠に脅迫したとされる事例も紹介している。[S07] このため、恐喝メールを受けた際は、暗号化痕跡の有無だけで「被害なし」と結論付けない。一方、攻撃者の主張だけで漏えいを確定しないことも同じく重要である。

図3　恐喝モデルの違い

1.6 2021年以降：RaaSと供給網・管理面

RaaSは、開発者・運営者と侵入担当者が分業するモデルである。これにより、侵入能力、交渉、暗号化、リークサイト運営、資金洗浄が一つの集団に閉じないことがある。名称変更・離合集散も起きるため、防御側は「どのグループか」だけでなく、「どの入口、どの権限、どの管理面が悪用されたか」を中心に検証する必要がある。

同時に、委託先、MSP、SaaS、ソフトウェア配布、クラウドテナント管理、リモート監視管理は、組織の境界を越えた信頼関係を作る。Verizon 2025 DBIR は第三者が関与する侵害の割合が前年から倍増したと報告した。[S03] これは「外部委託は危険」という結論ではない。接続・権限・ログ・終了時の無効化・インシデント通知を、契約と技術の双方で設計する必要を示す。

1.7 歴史から導く四つの不変原則

歴史を振り返る目的は、「次のWannaCry」を当てることではない。毎回変わる表面の背後にある、資産の見えなさ、権限の集中、復旧の未検証、信頼関係の放置を見つけることである。