「ランサムウェア」と聞くと、パソコンのファイルが突然暗号化されて、
「解除したければ身代金を払え」
と表示される攻撃を思い浮かべる人は多いと思います。
もちろん、それもランサムウェアです。
ただ、2026年現在の攻撃をそこだけで理解すると、かなり大事な部分を見落とします。
企業ネットワークへ侵入し、内部を調査する。強い権限を持つアカウントを奪い、機密データを盗み、復旧に使うバックアップまで狙う。最後に暗号化し、盗んだ情報の公開もちらつかせて金銭を要求する。
しかも、一連の作業を同じ犯罪グループが担当するとは限りません。
侵入経路を確保して売る人、ランサムウェアを提供するグループ、実際に企業を攻撃する人、盗んだ資金を移動させる人。犯罪側にも分業があります。
ENISA、Europol、Chainalysis、Sophosの調査を追っていくと、現在のランサムウェアは「悪いプログラム」というより、侵入・窃取・恐喝・資金化までがつながった犯罪エコシステムとして見るほうが実態を捉えやすくなります。
ランサムウェアは暗号化だけを指すものではない
一般的なランサムウェアは、コンピューターやデータを使えなくし、元に戻すことと引き換えに金銭を要求するマルウェアとして説明されます。
ENISAは、もう少し広い範囲で捉えています。
攻撃者が対象の資産を支配し、その可用性を取り戻すことや、盗んだデータを公開しないことなどと引き換えに身代金を要求する攻撃です。
現在の攻撃では、暗号化の前にデータ窃取が行われるケースがあります。
企業ネットワークへ侵入
↓
内部を調査する
↓
強い権限を奪う
↓
機密データを盗む
↓
復旧手段を妨害する
↓
データを暗号化する
↓
情報公開でも脅す
↓
身代金を要求する
すべての攻撃がこの順番になるわけではありませんが、ファイル暗号化だけを検知しても遅い場合がある理由はここにあります。
ENISAも、ランサムウェアが「ロック」「暗号化」「削除」「窃取」といった方法によって、情報の機密性・完全性・可用性を損なう攻撃になっていると整理しています。
暗号化される前から、攻撃は始まっている
企業へ侵入した攻撃者が、すぐにランサムウェアを実行するとは限りません。
まず内部を調べます。
- どのサーバーに重要な情報があるか
- どのアカウントが管理者権限を持つか
- バックアップがどこに保存されているか
- ネットワーク内をどこまで移動できるか
- どのようなセキュリティ対策が入っているか
この段階で攻撃者を見つけられれば、暗号化や大規模な情報窃取まで進む前に止められる可能性があります。
Sophosの2026年版調査でも、暗号化だけを見るのではなく、認証情報の窃取、ネットワーク偵察、不審な管理操作など、一連の攻撃行動を検知する考え方が扱われています。
昔ながらの「悪いファイルを見つけて削除する」というウイルス対策だけでは拾いにくい部分です。
侵入口は怪しいメールだけではない
ランサムウェア対策というと、フィッシングメールへの注意がよく挙げられます。
フィッシングは今も大きな侵入経路です。
ENISAのThreat Landscape 2025では、サイバー攻撃全体の侵入経路としてフィッシングが60％、脆弱性の悪用が21.3％を占めると報告されています。
この数字はランサムウェアだけに限定したものではないため、そのまま「ランサムウェアの60％がフィッシング」と読むことはできません。
一方、SophosのState of Ransomware 2025では、調査対象となったランサムウェア被害の32％で、悪用された脆弱性が攻撃の根本原因として挙げられています。
フィッシングでは「アカウントを奪う」ことも狙われる
フィッシングの目的は、悪意のあるファイルを開かせることだけではありません。
偽サイトへ誘導し、IDやパスワードなどの認証情報を入力させる。奪った正規アカウントで企業システムへログインする。
この場合、入口では「マルウェア感染」が発生しないこともあります。
公開システムの脆弱性も狙われる
VPN、外部公開サーバー、ネットワーク機器などに未修正の脆弱性があれば、そこから侵入される可能性があります。
社員教育だけで守ることも、ソフトウェア更新だけで守ることもできません。
人間を狙う攻撃と、システムを直接狙う攻撃を両方考える必要があります。
犯罪者側では、すでに仕事が分業されている
Europolは「Cyber-attacks: the apex of crime-as-a-service」で、現在のサイバー犯罪をCrime-as-a-Serviceという視点から分析しています。
犯罪に必要な機能がサービスとして分業される構造です。
侵入経路を確保する
↓
アクセス権を売る
↓
内部へ侵入・横展開する
↓
データを盗む
↓
ランサムウェアを実行する
↓
恐喝する
↓
資金を移動・洗浄する
この各段階を、別々の人物やグループが担当できるようになっています。
その代表的な仕組みがRansomware-as-a-Service（RaaS）です。
Ransomware-as-a-Service（RaaS）とは
RaaSは、ランサムウェアのマルウェアや攻撃インフラなどを犯罪サービスとして提供する仕組みです。
ランサムウェア自体を開発・運営する側と、それを利用して実際の企業を攻撃する側を分けられます。
当然ながら合法的なサービスではありません。
この分業によって、攻撃に参加する全員が高度なマルウェア開発能力を持つ必要はなくなります。
Europolがcrime-as-a-serviceを重視する理由の一つは、こうした犯罪サービスがサイバー犯罪への参入障壁を下げるためです。
Initial Access Brokerは「企業への入口」を売る
ランサムウェアの分業構造で、もう一つ知っておきたいのがInitial Access Broker（IAB）です。
IABは企業ネットワークへアクセスできる状態を作り、そのアクセス権を別の犯罪者へ提供する存在です。
盗まれた認証情報などを使って企業へ侵入できる状態を確保し、その「入口」そのものを売る。
これによって、侵入経路を確保する人物と、ランサムウェアによる恐喝を実行する人物が別になります。
Chainalysisの2026年分析では、IABへの資金流入増加が、その後のランサムウェア支払い額や被害者リークの増加に先行する傾向が示されており、IAB市場がランサムウェア経済の一部として扱われています。
ランサムウェアは巨大組織より「分散した市場」に近づいている
ENISAのThreat Landscape 2025は、2024年7月から2025年6月までのランサムウェア環境について、エコシステムの断片化が続き、新しいランサムウェアやRaaSプログラムが登場していると分析しています。
同期間にEU加盟国の組織を対象として確認されたランサムウェアは82種類。Akiraが11.6％、SafePayが10.1％、Qilinが7.5％でした。
Europolも、法執行機関による摘発の後にグループが分裂したり、改名したりする動きを指摘しています。
大きな犯罪組織を一つ摘発すれば、ランサムウェア自体がなくなるという構造ではありません。
マルウェア、侵入口、攻撃インフラ、資金化などを別々のプレイヤーが提供できるため、一部が消えても別のグループが組み直せます。
2025年は被害者が増えた一方、支払い総額は減った
犯罪経済を見ると、少し複雑な動きもあります。
Chainalysisによると、2025年に確認されたランサムウェアのオンチェーン支払い額は約8億2,000万ドルで、2024年の推計値から約8％減少しました。
その一方、公表されたランサムウェア被害者数は前年比50％増加しています。
攻撃や被害者数が増えれば、支払い総額も同じ比率で増えるわけではありません。
Chainalysisは背景として、インシデント対応能力の向上、規制当局の監視、法執行機関による摘発などを挙げています。
ただし、2025年の身代金支払い額を中央値で見ると前年比368％増の約6万ドルでした。
支払い総額、被害件数、1件あたりの金額は、それぞれ別の指標として読む必要があります。
身代金を払っても、被害が元に戻るとは限らない
攻撃を受けた企業にとって、身代金を支払うかどうかは簡単に答えを出せる問題ではありません。
ただし、支払えば必ず安全に復旧できるわけではありません。
データを盗まれていた場合、復号鍵を受け取ってファイルを戻せたとしても、攻撃者がデータを持っているという問題は残ります。
Sophosの2026年版調査では、攻撃の56％がデータ暗号化まで成功し、平均的な復旧コストは170万ドル、身代金支払いの中央値は76万9,000ドルと報告されています。
ここでいう復旧コストには、身代金だけではなく、システム復旧、調査、業務停止、顧客対応などが関わります。
ランサムウェア被害の経済的な影響を、身代金額だけで測ることはできません。
バックアップは「あるか」より「攻撃後に使えるか」
バックアップはランサムウェア対策の中心ですが、保存しているだけでは十分ではありません。
攻撃者から同じ権限でアクセスできる場所へバックアップを常時接続していれば、本番データと一緒に削除・暗号化される可能性があります。
ENISAはランサムウェア対策として3-2-1ルールを紹介しています。
- データを3つ持つ
- 2種類の異なる媒体に保存する
- 1つは別の場所に保管する
ただし「3・2・1」という数字を満たせば終わりではありません。
実際に復元できるかを定期的に確認する必要があります。
バックアップが存在していても、障害時に復元できなければ復旧手段として機能しません。
ランサムウェア対策は一つのセキュリティ製品では完成しない
攻撃者側が複数の段階に分かれている以上、防御側も一つの場所だけを守ればよいわけではありません。
侵入口を減らす
- OSやソフトウェアを更新する
- 外部公開サービスを整理する
- 不要なリモートアクセスを停止する
認証情報と権限を守る
- 多要素認証を利用する
- 管理者権限を必要以上に与えない
- 日常利用のアカウントと管理用アカウントを分ける
侵入後の動きを検知する
- EDRなどで端末の挙動を監視する
- 不審な認証や管理操作を検知する
- ネットワークを適切に分離する
復旧できる状態を作る
- 攻撃者から分離されたバックアップを用意する
- 復元テストを行う
- インシデント対応手順と連絡先を決めておく
- システム復旧の優先順位を決めておく
どこか一つを突破されても、次の防御層で攻撃を止める。いわゆる多層防御です。
管理者権限を減らすだけでも攻撃者の自由度は下がる
セキュリティ対策では、新しい製品や高度な検知技術に目が向きやすいところです。
ただ、権限管理のような基本的な対策も効きます。
普段使うユーザーが強い管理者権限を持っていれば、そのアカウントを奪った攻撃者も同じ権限を利用できる可能性があります。
必要な人に、必要な期間だけ、必要な権限を与える。
一度侵入されても、すぐネットワーク全体を支配できる状態にしないための基礎になります。
「怪しいメールを開かない」だけでは守れない
利用者へのフィッシング教育は必要です。
それでも、人間が一度も間違えない前提で防御を組むことはできません。
脆弱性の悪用なら、メールを一通も開かなくても侵入される可能性があります。
盗まれた認証情報が再利用されるケースもあります。
教育、パッチ管理、認証、端末監視、ネットワーク、バックアップを別々の対策として見るより、一つの防御システムとして組み合わせる必要があります。
目標は暗号化された瞬間に検知することでもない
暗号化を検知できるのは大切です。
ただ、そこまで進めば、すでにデータ窃取や権限奪取が終わっている可能性があります。
攻撃者がネットワークを偵察している。不自然なアカウントでログインしている。普段使われない管理ツールが動いている。
こうした前段階の異常を見つけるほうが、被害を小さくできる可能性があります。
現在のランサムウェア対策では「ランサムウェアというファイルを探す」だけでなく、「端末やアカウントで起きている行動は正常か」を見る発想が必要です。
それでも100％侵入を防ぐことは難しい
どれだけ対策しても、絶対に侵入されない環境を作れるとは限りません。
攻撃者は新しい脆弱性を悪用し、盗んだ認証情報を使い、場合によっては正規の管理ツールやクラウドサービスも利用します。
そのため防御では、侵入を防ぐことに加えて、侵入された後の被害範囲を制限します。
侵入を難しくする
↓
侵入後の移動を制限する
↓
重要データへの到達を難しくする
↓
攻撃行動を検知する
↓
最後はバックアップから復旧する
どこか一つの対策が失敗しても、その時点で攻撃者の目的達成が決まらない構造にしておくわけです。
個人ユーザーでも考え方は同じ
ここまで企業向けの話が中心でしたが、個人でできる対策も基本構造は変わりません。
- OSやアプリを最新状態にする
- 多要素認証を使う
- パスワードを使い回さない
- 写真や仕事の書類などをバックアップする
- バックアップをPCへ常時接続したままにしない
- 不審なメールやリンクに注意する
特に失いたくないデータは、「コピーを作った」で終わらせず、本当に復元できるかまで確認しておくと復旧の確実性が上がります。
感染が疑われたら、まず被害の拡大を止める
ファイルが暗号化された、ランサムノートが表示されたなど、実際の感染が疑われる場合は、身代金の判断より先に被害範囲を広げない対応が必要です。
影響を受けた端末をネットワークから隔離する
↓
感染・侵害の範囲を確認する
↓
セキュリティ担当や専門組織へ相談する
↓
バックアップと復旧可能性を確認する
ENISAは、影響を受けたシステムの隔離、当局や法執行機関への相談、No More Ransom Projectの利用などを案内しています。
企業ネットワークでは、自分で暗号化ファイルだけを戻して終わりにするのも危険です。
暗号化より前から攻撃者が内部へ侵入していた場合、ファイルを復元しても、侵入経路や盗まれたアカウントが残っている可能性があります。
ランサムウェアを「犯罪ビジネス」として見ると防御も変わる
ランサムウェアそのものはマルウェアです。
ただ、現在の攻撃を成立させているのはマルウェアだけではありません。
侵入経路を売る市場、RaaS、データ窃取、攻撃インフラ、恐喝、暗号資産による資金移動まで、複数の機能がつながっています。
一つのランサムウェア亜種を削除しても、その市場すべてがなくなるわけではありません。
防御側も同じように、入口、アカウント、端末、ネットワーク、データ、バックアップ、復旧をつなげて考える必要があります。
完全に攻撃をなくすことだけを目標にすると、突破された時点で負けになります。
侵入されても横展開させない。重要データへ到達させない。暗号化前に見つける。それでも突破されたら復旧する。
現在のランサムウェア対策は、その積み重ねで攻撃者が利益を得るところまで進ませない設計になっています。
よくある疑問
ランサムウェアはファイルを暗号化するウイルスですか？
暗号化は代表的な手口ですが、現在のランサムウェア攻撃はそれだけではありません。データ窃取、バックアップ妨害、情報公開による恐喝などを組み合わせるケースがあり、ENISAも暗号化だけに限定せず広い攻撃として扱っています。
RaaSとは何ですか？
Ransomware-as-a-Serviceの略で、ランサムウェアや攻撃インフラなどを犯罪者向けに提供する仕組みです。マルウェアを開発・運営する側と、実際に企業を攻撃する側を分業できます。
バックアップがあればランサムウェア対策は十分ですか？
十分とは言えません。攻撃者からアクセスできるバックアップは、本番データと一緒に破壊される可能性があります。バックアップを分離し、実際に復元できるかを確認しておく必要があります。
身代金を払えばデータは戻りますか？
支払えば必ず安全に復旧できるとは限りません。また、データを盗まれている場合は、復号できても攻撃者が情報を保有しているという問題が残ります。
怪しいメールを開かなければランサムウェアを防げますか？
フィッシング対策は必要ですが、それだけでは防げません。脆弱性の悪用や盗まれた認証情報から侵入されるケースもあるため、パッチ管理、多要素認証、権限管理、端末監視、バックアップなどを組み合わせる必要があります。
コメント