ランサムウェアとは？攻撃の仕組み、誰が支払うのか、そして身を守る方法

ランサムウェアとは何ですか？

米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、ランサムウェアを、端末上のファイルを暗号化し、ファイルとそれに依存するシステムを使えなくするよう設計されたマルウェアと定義しています。その後、犯罪者は復号と引き換えに身代金を要求します^[1]。ここでいう暗号化とは、攻撃者だけが持つ鍵でファイルをかき混ぜることです。英国の国家サイバーセキュリティセンター（NCSC）は、パソコン自体がロックされる場合もあれば、データが盗まれたり、削除されたり、暗号化されたりする場合もあると指摘しています。また、2017年5月にNHSを襲ったWannaCryのように、ネットワーク上の他のマシンに広がるランサムウェアもあります^[3]。

被害者は通常、匿名のメールアドレスやウェブページを通じて攻撃者に連絡し、Bitcoinなどの暗号資産で支払うよう指示されます^[2]。Microsoftによると、感染は通常、ウィンドウ、アプリ、または全画面のメッセージが金銭を要求するまで表に現れず、その時点ではすでにファイルが暗号化されていることが多いとされています^[7]。

二重恐喝とは何ですか？

攻撃者は時とともに、被害者のデータをコピーし、それを公開すると脅して支払いを迫るようにもなりました。暗号化と公開の脅しの両方を使うことは、二重恐喝と呼ばれます^[1]。犯罪者が暗号化をまったく行わず、盗んだデータだけを唯一の交渉材料にする場合もあります^[1]。

ランサムウェア攻撃はどのように行われるのですか？

NCSCは、典型的な流れを次のように説明しています^[2]。

1. 攻撃者がネットワークにアクセスし、制御を確立して、悪意ある暗号化ソフトウェアを仕掛けます。公開すると脅すためにデータをコピーすることもあります^[2]。
2. マルウェアが起動し、ネットワーク全体で端末をロックしてデータを暗号化します^[2]。
3. 画面上の通知で身代金と支払い方法が説明されます。通常は匿名のウェブページを通じて、暗号資産で支払うよう求められます^[2]。

攻撃者はどのように侵入するのですか？

CISAは、最も一般的な初期侵入の経路として、インターネットに面したシステムの脆弱性や設定ミス、侵害された認証情報、フィッシング、それ以前のマルウェア感染、高度なソーシャルエンジニアリング、サードパーティやマネージドサービスプロバイダーを挙げています^[1]。NCSCによると、リモートデスクトッププロトコル（RDP）などの公開されたサービスや、パッチが適用されていないリモートアクセス機器を通じてリモートアクセスを得た攻撃者がランサムウェアを展開するケースが増えています^[3]。家庭の利用者については、Microsoftが、メール、ソーシャルメディア、メッセージングアプリ、SMSに含まれる予期しない添付ファイルや悪意あるリンクを開くことをよくある経路として挙げています^[7]。

背後にいるのは誰ですか？

ブロックチェーン分析企業のChainalysisによると、ランサムウェアは現在、アクセス、インフラ、決済のサービスが相互につながった市場として運営されています^[5]。大手の「サービスとしてのランサムウェア」（RaaS）の運営は2025年に多数の小規模な独立した攻撃者へと分裂し、一部の分析では85もの恐喝グループの活動が追跡されています^[5]。初期アクセスブローカー（IAB）は侵害されたネットワークへの侵入を手引きし、実際にランサムウェアを展開する犯罪者であるアフィリエイトが比較的容易に攻撃できるようにしています。Chainalysisは、IABの活動が急増すると、通常はおよそ30日後にランサムウェアの支払いと情報公開が増えることを明らかにしました^[5]。

ランサムウェアの問題はどのくらい大きいのですか？

FBIのインターネット犯罪苦情センター（IC3）は2025年に3,611件のランサムウェアの苦情を受理しました。これは2024年の3,156件から増加しており、報告された損失額は32,320,105米ドルでした^[4]。FBIは、この損失額には通常、事業機会の損失、時間、賃金、ファイル、機器、サードパーティによる復旧作業の費用が含まれず、損失をまったく報告しない被害者もいるため、損失率が実際より不自然に低くなると注意を促しています^[4]。2025年に最も多く報告された亜種はAkira、Qilin、INC./Lynx/Sinobi、BianLian、Playで、上位10の亜種は重要製造業、医療・公衆衛生、政府施設に最も大きな影響を与えました^[4]。IC3はこの1年で63の新たな亜種を確認しています^[4]。

Chainalysisは、ランサムウェアの攻撃者が2025年に受け取ったオンチェーンの支払額は8.2億米ドルを超え、更新された2024年の推計値8.92億から約8%減少したと推計しています。一方で、犯行声明のあった被害者は50%増加し、記録上最も活発な年となりました^[5]。同社は、支払う被害者の割合が過去最低の28%にまで低下した可能性があるとしています^[5]。同時に、支払額の中央値は12,738米ドルから59,556米ドルへと368%上昇しました^[5]。これらはブロックチェーンの追跡による推計値であり、より多くの支払いが特定されるにつれて修正される可能性があります^[5]。

1件のインシデントが非常に大きな損害をもたらすこともあります。Chainalysisは、2025年のJaguar Land Roverへのサイバー攻撃を挙げています。この攻撃は生産ラインを停止させ、推定19億ポンドの経済的損害をもたらし、英国史上最も損害の大きいサイバー事案となりました^[5]。

身代金を支払うべきですか？

公的なガイダンスは一貫しています。避けられるのであれば支払わないことです。CISAとそのパートナー機関は支払いを推奨していません。支払っても、データが復号されること、システムがもう侵害されていないこと、データが公開されないことは保証されないからです^[1]。NCSCは、英国の法執行機関は支払いを奨励、支持、容認しないとし、支払ってもアクセスが回復する保証はなく、再び標的にされる可能性が高くなると警告しています^[3]。さらに、ランサムウェアを装っているだけのマルウェアもあると付け加えています。それはワイパー型マルウェアで、支払ってもファイルは復号されません^[3]。

法的なリスクは何ですか？

2021年9月、米国財務省外国資産管理局（OFAC）は、ランサムウェアの支払いを手助けすることに伴う制裁上のリスクについての勧告を更新し、米国政府はサイバー攻撃の身代金の支払いを強く思いとどまらせているとしたうえで、被害者に攻撃を報告するよう促しました^[10]。CISAのガイドも、身代金の支払いは制裁上のリスクを伴う可能性があると指摘しています^[1]。

英国では政府が2025年7月22日、パブリックコンサルテーションを経て、NHS、地方自治体、学校を含む公的機関と重要な国家インフラの運営者による身代金の支払いを禁止する措置を進めると発表しました^[9]。この提案のもとでは、それ以外の企業は支払う意向を政府に通知しなければならず、義務的な報告制度も策定中です^[9]。2026年11月3日時点で、これらの措置が法律になったかどうかは、GOV.UKで確認してください。

これは一般的な情報であり、法律上または金融上の助言ではありません。身代金の要求を受けた組織は、法執行機関、法律顧問、インシデント対応の専門業者に関与してもらうべきです。

家庭でランサムウェアから身を守るにはどうすればよいですか？

1. 大切なものをバックアップします。NCSCはバックアップを、クラウドストレージやリムーバブルメディアなど、別の安全な場所に保存された重要なデータのコピーと定義しており、アクセスを失う理由の1つとしてランサムウェアなどのマルウェアを挙げています^[8]。
2. 少なくとも1つのバックアップは接続を切っておきます。攻撃者は接続されたバックアップを狙うため、NCSCは外付けドライブやUSBメモリなどのバックアップ機器を常時接続しないよう勧めています^[3]。
3. バージョン履歴を使います。クラウドサービスは、ファイルが暗号化されたコピーに置き換えられた直後に同期してしまうことが多いため、以前のバージョンを保持するサービスを選んでください^[3]。Microsoftによると、OneDriveにはランサムウェアの検出機能とファイルのバージョン管理機能があります^[7]。
4. すべてを最新の状態に保ちます。Windowsやその他のソフトウェアにパッチを適用し、Windowsセキュリティを有効にしておいてください^[7]。NCSCは、可能な場合はオペレーティングシステム、アプリケーション、ファームウェアの自動更新を勧めています^[3]。
5. Windows 10または11でコントロールされたフォルダーアクセスを有効にし、重要なフォルダーを許可されていないプログラムから保護します^[7]。
6. メッセージングアプリやSMSを含め、予期しない添付ファイルやリンクに注意します^[7]。

組織はどのようにランサムウェアのリスクを減らせますか？

FBIが2025年に企業向けに示した推奨事項には、暗号化された不変の（変更も削除もできない）オフラインまたは外部のバックアップ、デフォルトのパスワードの削除、不要なプロトコルの無効化、管理者権限の制限、ウェブメール、VPN、重要なシステムでの多要素認証（MFA）、ネットワークのセグメンテーション、インターネットに面したシステムへの迅速なパッチ適用が含まれます^[4]。

ほとんどのランサムウェアの攻撃者はアクセス可能なバックアップを見つけて削除または暗号化しようとするため、CISAは、暗号化されたオフラインのバックアップを維持し、定期的にテストするよう勧めています^[1]。また、サーバーを迅速に再構築できる事前設定済みのシステムテンプレートである「ゴールデンイメージ」を保持し、RDPなどのサービスをインターネットに公開しないよう勧めています^[1]。NCSCはさらに、システムが使えなくなった場合に重要なサービスを継続する方法や、身代金の要求にどう対応するかを含め、組織は対応を計画して訓練しておくべきだとしています^[3]。英国政府も同様に、オフラインのバックアップと、長期間ITなしで業務を行うための検証済みの計画を求めています^[9]。

ランサムウェアの被害に遭ったらどうすればよいですか？

1. 影響を受けた端末を隔離します。CISAは、端末をネットワークから抜くかWi-Fiから切断し、ネットワーク全体が影響を受けている場合はスイッチのレベルでオフラインにするよう求めています^[1]。
2. 電源を切るのは、切断できない場合だけにします。CISAによると、電源を切るとメモリ内の証拠が失われるため、これは最後の手段です^[1]。
3. 帯域外の通信手段を使います。攻撃者がメールやチャットを監視している可能性があるため、CISAは対応の調整には電話を使うよう勧めています^[1]。
4. 復元する前に端末を駆除します。Microsoftは、ファイルの回復を試みる前にセキュリティソフトウェアでパソコンを完全に駆除するよう勧めています^[7]。NCSCは、バックアップをマルウェアスキャンし、問題がないとわかっている端末にのみ接続するよう求めています^[3]。
5. 無料の復号ツールを確認します。NCSCが紹介しているNo More Ransomプロジェクトは、一部のランサムウェアファミリー向けに復号ツールを提供していますが、すべての種類に解決策があるわけではありません^[6][3]。
6. 報告します。英国ではインシデントをNCSCとReport Fraudに報告でき^[3]、米国ではFBIが被害者にIC3への報告を求めています^[4]。Microsoftは、すでに支払ってしまった人はすぐに銀行と地元の当局に連絡するよう勧めています^[7]。

イランはランサムウェアの活動とどう関係しているのですか？

2024年8月、FBI、CISA、国防総省サイバー犯罪センターは、FBIがイラン政府と関係があると評価するイランを拠点とするサイバー攻撃者のグループが、米国や他国のネットワークへのアクセスを入手し、身代金の一定割合と引き換えに、NoEscape、Ransomhouse、ALPHV（BlackCat）などのランサムウェアのアフィリエイトと協力していたと警告しました^[12]。勧告によると、この攻撃者たちは多くの場合、Citrix NetScalerやF5 BIG-IPなどのネットワーク機器の脆弱性を突いて侵入していました^[12]。

2022年9月、米国財務省は、ランサムウェアを含む悪意あるサイバー活動を理由に、イスラム革命防衛隊と関係のある10人の個人と2つの団体に制裁を科しました。財務省によると、このグループは被害者のネットワークで許可なくMicrosoft BitLockerを有効にし、復号鍵を人質に身代金を要求していました^[11]。これらは米国の機関による認定です。この種の制裁指定は、OFACが身代金の支払いには制裁上のリスクが伴う可能性があると警告する理由の1つです^[10]。