暗号化はもはや時代遅れ？ 変質するランサムウェア攻撃

セキュリティベンダーの調査によれば、ランサムウェア攻撃の全体的な傾向が変化したという。暗号化は必須のものではなくなり、別の手段が目立ってきた。

[Eric Geller，Cybersecurity Dive]

　ランサムウェア攻撃と言えば暗号化による被害が大きいとされている。だが、セキュリティ企業の調査によれば、これは古い常識なのかもしれない。

　サイバーセキュリティ事業を営むSophosが2025年6月24日（現地時間、以下同）に発表したレポートによると（注1）、2025年に発生したランサムウェア攻撃のうち、データが暗号化されたケースは半数にとどまる。

企業規模により、受ける攻撃に違いがある

　さらに過去1年で要求される身代金の平均額は34％減少して、実際に支払われた平均額も50％減少した。

　調査において「身代金を支払った」と答えた回答者のうち、「最初の要求額と同額を支払った」と答えたのは3分の1未満だった。回答者の53％は要求額より少ない金額を支払い、18％は多く支払っていた。

　サイバー犯罪者の手口は時とともに変化していると言えるだろう（注2）。調査の結果、暗号化については次のような傾向も分かった。

　Sophosによると、2025年に判明した暗号化率50％という値は、2024年の70％から大きく低下した。同社はその理由も分析した。被害を受けた企業や組織が暗号化を実行する不正プログラムが動き出す前に攻撃を阻止できるようになってきたのではないかいう。

　暗号化による影響が最も深刻だったのは従業員数が3001〜5000人の企業や組織であり、65％の攻撃で暗号化に至った。組織の規模が大きい分、暗号化の試みに気が付いて防御するのが難しくなっている可能性があるとSophosは分析した。

　暗号化の割合が減る一方で、身代金のみを要求する攻撃は増加傾向にある。レポートによると、このようなサイバー攻撃の件数は2025年に倍増し、6％に達した。従業員数が100〜250人の小規模な企業や組織は同様の攻撃に直面する可能性が高い。小規模組織の13％が同様の攻撃を受けたのに対し、大規模組織（従業員数が3001〜5000人）の場合は3％だったからだ。

侵入口は脆弱性か、それとも盗まれた認証情報か

　AIを活用した脅威インテリジェンスサービスを提供するRecorded Futureのアラン・リスカ氏（脅威インテリジェンスアナリスト兼ランサムウェア専門家）は、『Cybersecurity Dive』の取材に対し、「攻撃の傾向について、Sophosのレポートに示された内容と当社の調査結果はほぼ一致している」と述べた。

　ただし、1点の注目すべき違いがあるという。Sophosはランサムウェアの攻撃者が被害者のシステムに侵入する際、最も一般的なのはソフトウェアの脆弱（ぜいじゃく）性を悪用する手口だと報告しているが、リスカ氏は「多くの報告において、漏えいまたは盗まれた認証情報が最初の侵入経路として挙げられている」と指摘した。

　Sophosの調査によると、認証情報の侵害から始まる攻撃の割合は2024年の29％から2025年には23％へと低下した。リスカ氏は、調査企業ごとに攻撃の全体像に対する見方が異なると指摘している。

精神攻撃を伴うランサムウェア

　Sophosのレポートは、ランサムウェア攻撃が人間に与える長期的な影響にも注目している（注3）。調査によると、ランサムウェア攻撃への対応を経験したITおよびサイバーセキュリティ担当者の41％は「その後、将来の攻撃についてより強いストレスや不安を感じるようになった」と答えている。

強いストレスや不安をなぜ感じるのだろうか

　ランサムウェア攻撃を受けると社内はめちゃくちゃになる。社内の各部門はもちろん、経営陣からシステムを復帰するように強い圧力がかかる。同時に個人情報や機密情報の漏えいを調べなければならず、攻撃についての分析も進めなければならない。いくら人手があっても足りないほどだ。

　だが、それ以外の要因もある。Cybersecurity Diveの報道によれば、企業を攻撃した際に攻撃者がわざわざCEOの妻に脅迫メールを送った事例がある。病院のシステムを狙ったランサムウェア攻撃では、患者に脅迫メールを送り、その患者の医療記録を漏えいさせると脅した。こうした困難を乗り越えて企業のITシステムを全て復帰させて業務を元通りにした後にも気は休まらない。攻撃者は企業の顧客に嫌がらせを続けたため、顧客は攻撃者よりも企業の方が悪いと思うようになったという。これらの悪事に対応しなければならないなら、担当者が強いストレスを感じるのは当然だろう（キーマンズネット編集部）

　「これは驚くべきことではないが、インシデント対応計画の中で十分に考慮されていない実情がある。攻撃からの復旧に従事する担当者がストレスにどのように対処すべきかについて、組織は丁寧に検討すべきだ」（リスカ氏）

出典：Fewer ransomware attacks encrypting data, report finds（Cybersecurity Dive）
注1：The State of Ransomware 2025（SOPHOS）
注2：Ransomware gangs shifting tactics to evade enterprise defenses（Cybersecurity Dive）
注3：Ransomware gangs incite fear in victims to fuel attacks（Cybersecurity Dive）

原文へのリンク