ランサムウェア攻撃の完全ガイド

ランサムウェア攻撃とは何ですか？

ランサムウェアは、身代金が支払われるまでコンピューターシステムへのアクセスを妨げる、または価値のあるデータを暗号化する種類の悪意のあるソフトウェアです。フィッシングメール、悪意のあるダウンロード、未パッチの脆弱性の悪用などを通じてネットワーク内に拡散します。いったん有効化されると、ファイルやシステムをロックし、アクセスを解除するために支払いを要求します（多くの場合、暗号通貨）。

ランサムウェアは、あらゆる規模の組織を脅かす、被害が特に大きいタイプのマルウェアの1つです。業務の継続性に直結して影響を与え、業務運用を混乱させ、さらに経済的な損害と評判の毀損の両方を引き起こすためです。

ランサムウェアの亜種

ランサムウェアにはいくつかの形式と種類があり、それぞれが異なる手口で被害者に支払いを迫ります。これらは次のとおりです：

• 暗号化ランサムウェア（crypto）： ファイルを暗号化し、復号鍵のための支払いを要求します。
• ロッカー型ランサムウェア： システム全体へのアクセスを拒否し、ユーザーを完全に締め出します。
• リークウェア／ドックスウェア： 身代金を支払わなければ機密データを公開すると脅します。
• スケアウェア： ユーザーを騙して支払いをさせるために、偽の警告やセキュリティアラートを表示します。
• ワイパー: 身代金を要求するのではなくデータを恒久的に破壊し、取り返しのつかない損失を引き起こします。

ランサムウェアは大きく進化してきました。1989年の「AIDSトロイの木馬」（フロッピーディスクで拡散）から、2017年の「WannaCry」（ワーム化可能なエクスプロイトを用いて世界中のシステムを機能停止させた）までです。2025年までに攻撃者は、データの暗号化、データ漏えい、そして被害者の顧客やパートナーへの直接的な脅迫を組み合わせたトリプル・エクスオート（triple extortion）を採用しています。これにより、現代のランサムウェアはこれまで以上に攻撃的で、影響範囲も大きくなっています。

ランサムウェアはどのように動作しますか？

ランサムウェア攻撃は、侵入、暗号化、恐喝という構造化されたライフサイクルに従います。ランサムウェアがどのように動作するのか各段階を理解することで、組織は警告サインを早期に把握し、大規模な被害が発生する前に対応できます。

ステップ1：感染

攻撃は最初の侵害（初期侵入）から始まります。よくある侵入口には次が含まれます：

• 悪意のある添付ファイルまたはリンクを含むフィッシングメール
• 侵害されたWebサイトからのドライブバイダウンロード
• リモートデスクトッププロトコル（Remote Desktop Protocol、RDP）など、インターネットに公開されたサービスの悪用
• 盗まれた、または脆弱な認証情報の悪用
• ソフトウェア、VPN、またはサードパーティサービスにおける未パッチの脆弱性
• Emotet、QakBot、Bumblebee などの前駆マルウェア／汎用ローダーの展開
• マネージドサービスプロバイダー（MSP）やサプライチェーンのパートナーを侵害して、ランサムウェアを広く配布

侵入後、マルウェアは対象環境内に足場を築き、横方向への移動と権限昇格を進めます。

ステップ 2：実行

侵入の後、ランサムウェアはペイロードを実行します。まず、ローカルおよびネットワークドライブをスキャンして価値のあるファイルを探し、復旧を妨げるためにスナップショット（シャドウコピー）やバックアップを削除し、場合によっては権限昇格のために認証情報を盗みます。いくつかの亜種では、PowerShell や Windows Management Instrumentation (WMI) のような内蔵ツールを使って、こっそりと実行することがあります。現代のランサムウェアは、さらに進む前に、追加のツールやスクリプトを展開して、アンチウイルスやその他のセキュリティツールなどのセキュリティ防御を無効化することもあります。

ステップ 3：暗号化と恐喝

この攻撃フェーズでは、「ランサムウェアは自分が制御したファイルに対して何をするのか？」という問いに答えます。このフェーズでマルウェアはハイブリッド暗号化を使って、重要なファイルやシステムをロックします。ハイブリッド暗号化は、データを保護するための高速な対称暗号化と、鍵を保護するための強力な非対称暗号化を組み合わせたものです。鍵は、攻撃者が private key を用いて管理します。暗号化の前または最中に、攻撃者は交渉力を強めるために機密データを盗みます。その後、ファイルを解放するために必要な復号鍵と引き換えに支払いを要求します。時間の経過とともに手口は、単一の恐喝（ファイルの暗号化）から二重の恐喝（暗号化 + データの窃取）へと進化し、現在では三重の恐喝になっています。これは、被害者の顧客やパートナーを狙うといった脅威や、分散型サービス妨害（DDoS）攻撃の実行などによって、より強い圧力をかけるものです。

ステップ 4：身代金の要求

暗号化が完了すると、感染したシステム上に身代金メモが表示され、支払い手順と期限が示されます。攻撃者は匿名性のため、主に Bitcoin や Monero などの暗号通貨での支払いを要求します。身元や所在地を隠すために、通信は Tor ベースのポータルを経由してルーティングされます。これらのポータルは、身代金の支払いサイトや「リークサイト（leak sites）」をホストする用途にも使われ、支払い後には復号の手順が提供されます。

ステップ5：拡大

高度な攻撃では、ランサムウェアが盗んだ認証情報を使い、ドメインの信頼関係を悪用してネットワーク内に横方向に拡散します。攻撃者はその後、制御範囲を広げ、さらに多くのシステムを暗号化するために追加のエンドポイントを侵害します。さらに、被害を最大化し、復旧の選択肢を減らすために、バックアップ、クラウド環境、接続されたサプライチェーンを標的にしたり暗号化したりすることもあります。これらの手口により、身代金の交渉中に攻撃者の交渉力が高まります。

ステップ6：結果

攻撃が完了すると、被害者は（データ復旧が保証されないまま）身代金を支払うか、支払いを拒否して、バックアップ、復号ツール、または法執行機関やインシデント対応の支援を通じて復旧を選択します。どちらの道にも、費用、リスク、そしてその後の対応が伴います。

攻撃フロー図

以下の図と例のストーリーは、攻撃者の最初の侵入から最終的なビジネス上の結果に至るまで、ランサムウェア攻撃キャンペーンの進行を示しています。

金融サービス企業では、ランサムウェア攻撃は従業員がフィッシングメールを開いたことから始まりました。そのメールはマルウェアをインストールし、攻撃者にネットワークへのアクセスを許可しました。ほどなくして重要なファイルが暗号化され、機密データが攻撃者のサーバーに流出されました。

被影響を受けたシステムには身代金の要求文（ランサムノート）が表示され、支払いを要求し、盗まれたデータを漏えいすると脅しました。IT チームは攻撃を封じ、オフラインのバックアップからシステムを復旧し、警察当局も関与させました。

組織は身代金を支払う代わりに、影響を受けたシステムを再構築し、より良いバックアップ、MFA、そしてスタッフ向けのトレーニングによって防御を強化しました。

ランサムウェア攻撃の例

以下は、さまざまな戦術、影響、動機を示す、注目度の高い実際の大規模ランサムウェア（ransomware）インシデントの事例です。

ランサムウェア攻撃の影響

ランサムウェア攻撃は、データの暗号化や身代金の支払いを超えて、より広範な影響を及ぼします。組織の財務、運用、評判、法的な立場に与える影響は、長期的な課題につながり得ます。

ランサムウェア攻撃のよくある標的：誰が危険にさらされているのか？

率直に言えば、データの保存やサービス提供のためにデジタルシステムを頼りにしている組織なら、どこでもランサムウェア攻撃の被害に遭う可能性があります。とはいえ、データの価値が高いこと、業務が極めて重要であること、またはサイバーセキュリティのリソースが限られていることなどの理由により、特定の業界ではリスクがより高くなります。以下は、ランサムウェア攻撃でよく狙われる代表的なターゲットです。

リスク評価

ランサムウェア攻撃のリスクレベルを理解するには、潜在的な影響、実行のしやすさ、そして全体としての発生可能性を評価する必要があります。ここでは、各リスク要因とその根拠について説明します。

ランサムウェア攻撃を防ぐ方法

ランサムウェア攻撃を防ぐには、企業は強力な技術的コントロール、従業員の意識向上、そして事前の計画を組み合わせた防御戦略を実施する必要があります。単一のツールだけで攻撃を止めることはできませんが、システム、認証情報、そして人の行動にわたって脆弱性に対処することで、組織はリスクへのさらされ方を大幅に減らすことができます。

インターネットに接続されているシステム

攻撃者は、公開されているサービスや未パッチのシステムを悪用して初期アクセスを獲得することが観察されています。組織は次のことを行うべきです：

• 既知の脆弱性を解消するために、OS、Web アプリケーション、ファームウェアに対して定期的にパッチとアップデートを適用してください。
• ランサムウェアの拡散で悪用される SMBv1 などの古いプロトコルを無効化してください。
• 弱点を特定するために、定期的な脆弱性スキャンとペネトレーションテストを実施してください。
• リモート管理ポート（例: RDP、SSH）への一般公開アクセスを制限し、リモート接続には VPN またはセキュア ゲートウェイを使用してください。

資格情報

漏えいした資格情報は、ランサムウェアの運用者にとって簡単な侵入経路となります。組織は次の点を実施してください：

• フィッシング耐性のある MFA を適用してください。特に特権アカウントやリモート アカウントに対して重要です。
• ID およびアクセス管理（IAM）コントロールを導入し、ユーザーの権限を管理するとともに、プロビジョニング／プロビジョニング解除を自動化してください。
• パスワードマネージャーを使用して、強力で一意なパスワードを生成し保存してください。
• 管理者は日常業務には通常のアカウントを使用し、本当に管理者権限が必要な場合にのみ管理者アカウントへ切り替えて、横方向への移動（lateral movement）のリスクを抑えましょう。

フィッシングとソーシャルエンジニアリング

フィッシングは、最も広く使われているランサムウェアの配信（投函）手法です。防御を強化するには：

• 従業員がフィッシングメール、偽のログインページ、怪しい添付ファイルを見分けられるように訓練しましょう。
• DMARC、SPF、DKIM などの電子メール認証標準を導入して、なりすまし（スプーフィング）ドメインをブロックします。
• サンドボックス化と高度な脅威防止ツールを使用して、電子メールの添付ファイルやリンクをフィルタリングします。
• 模擬フィッシング演習を実施して、認識をテストし、強化します。

エンドポイント保護

エンドポイントはランサムウェアのペイロードにとって格好の標的です。保護するには：

• 行動を監視し、リアルタイムで悪意のある活動をブロックするために、エンドポイント検出・応答（EDR）ツールを導入します。
• 許可されていない実行ファイルが実行されないよう、アプリケーションのホワイトリスト／ブラックリストを導入します。
• 侵入検知システム（IDS）と Sysmon の設定を使用して、不審なシステムイベントを記録し、分析します。
• すべてのエンドポイント エージェントを一元管理し、定期的にアップデートします。

バックアップ

システムとデータをバックアップするための、強固な戦略を考案する必要があります。これにより、攻撃を受けた場合でも迅速に復旧でき、被害を最小限に抑えられます。攻撃者はバックアップを削除しようとするため、バックアップが安全に保管されていることを確認してください。

• 攻撃者が改変したり削除したりできない、オフラインまたは不変（immutable）のバックアップを維持してください。
• 重要なシステムのゴールデンイメージ（golden images）を作成し、迅速に復元できるようにします。
• SaaS およびクラウド上のワークロードには、クラウド間（cloud-to-cloud）のバックアップソリューションを使用してください。
• MFA やファイアウォールなどの Identity and Access Management（IAM）システムを使用して、バックアップが保存されているシステムを保護します。
• バックアップの復元プロセスを定期的にテストし、必要なときに確実に機能することを確認してください。

全般的な強化

攻撃対象領域（アタックサーフェス）を減らすために、全体的なセキュリティ体制を強化しましょう。

• ゼロトラスト アーキテクチャを採用し、すべてのユーザーとデバイスを所在地に関係なく必ず検証してください。
• 部門やシステム間でランサムウェアが拡散する可能性を抑えるため、ネットワークをセグメント化してください。
• 資産インベントリを維持して、環境に接続されているすべてのデバイス、ソフトウェア、およびサービスを追跡します。
• 管理者権限を制限し、すべてのアカウントにわたって最小権限の原則を徹底します。

前兆となるマルウェアとエンドポイント保護

多くのランサムウェア攻撃は、TrickBot、Emotet、または QakBot などの別のマルウェアに先行されます。これらはランサムウェアの展開に備えてシステムを準備します。組織は次のことを行うべきです：

• ヒューリスティック検出および行動検出を備えた、集中管理型のアンチウイルスおよび EDR ソリューションを使用します。
• 承認されていないスクリプトや実行ファイルをブロックするために、アプリケーションのホワイトリストとブラックリストを実装してください。
• 侵入検知システム（IDS）と Sysmon の設定を用いて、初期の警告サインを監視してください。
• 初期段階でマルウェアをすばやく除去し、影響を受けたシステムを隔離して、攻撃の拡大を止めましょう。

サードパーティおよびマネージドサービスプロバイダー（MSPs）

攻撃者は、信頼されたベンダーや MSP を狙って、一度に複数の顧客へ到達しようとすることがあります。

• データまたはインフラを取り扱うあらゆる第三者に対して、セキュリティ上の義務を明確に記載した契約書を作成してください。
• ベンダーに対して最小権限のアクセスを適用し、ネットワークの可視性を制限します。
• 専用アカウント、暗号化、クラウド環境でのマルチテナント分離など、安全なクラウド運用（SCPs）を要求します。
• ベンダーの活動とアクセスログを継続的に監視し、不審な挙動がないか確認します。

ランサムウェア（ransomware）攻撃への備え

万全の防御策を講じていても、組織はランサムウェア攻撃（インシデント）に備えておく必要があります。準備ができているほど、復旧までの時間を短縮できます。

• 役割、エスカレーションの経路、封じ込め（コンテインメント）の手順を定義したインシデント対応計画（IRP）を作成し、テストしてください。
• メディアおよび顧客への通知を含めるべき、社内向け・社外向けのコミュニケーション計画を作成してください。
• 重要な連絡先や IRP 文書のコピーをオフラインで保存してください。これには、経営陣、IT 担当者、法執行機関（例：FBI や CISA）、および関連する Information Sharing and Analysis Centers（ISACs）が含まれる場合があります。
• 州法・連邦法・国際法に基づくデータ侵害（データ漏えい）通知の要件を理解してください。
• サイバー保険と法律顧問の役割を定義し、身代金（ランサム）の判断とインシデント後の復旧を導きます。

Netwrix はどのように支援できるか

Netwrix は、ランサムウェアに対するインシデント対応を強化し、防御をより堅牢にする一連のセキュリティツールを提供します。Netwrix Threat Manager が最前線の防御として機能する一方で、同社の他のソリューションも、可視性を高め、被害の拡大範囲を限定し、より迅速な復旧を可能にすることで、ランサムウェアから保護します。

Netwrix Threat Manager

Threat Manager はリアルタイムの脅威検知と自動化された対応を提供します。

• ファイルシステムとID（identity）関連のアクティビティの両方を、リアルタイムで継続的に監視します。高度な脅威モデルにより、ランサムウェアに似た挙動（大量のファイル操作、疑わしいRMMツールの使用、異常な書き込みまたは削除、異常な暗号化パターンなど）を検出します。また、このアプリケーションは Active Directory 全体での特権昇格の試み、アカウントの異常、疑わしい認証も特定し、ハイブリッド環境向けに Microsoft Entra ID とシームレスに統合します。
• 侵害されたアカウントを無効化したり、パスワードをリセットしたり、アクティブなセッションを終了したり、アカウントを「compromised（侵害済み）」としてマークしたりするなど、自動化された封じ込めアクションを実行します。
• さらに、電子メールまたはモバイル通知を通じて配信されるリアルタイムのアラートも発報します。
• PowerShellスクリプト、webhook、SIEM/アラートシステム（Slack、ServiceNow、Teams）を介して統合・カスタマイズすることもできます。
• Threat Manager は、オンプレミスの AD 環境に加えて、Microsoft Entra ID にも保護を拡張します。

Netwrix Threat Prevention

Threat Prevention Active Directory での疑わしい変更、リスクの高い認証イベント、重要なオブジェクトの変更を、侵害（ブリーチ）にエスカレートする前にアラートまたはブロックすることで、予防のためのレイヤーを追加します。

Netwrix Endpoint Protector

Endpoint Protector はエンドポイントの制御を提供し、データ損失を防止します。不正なUSB（ローグUSB）やその他の未承認デバイスをブロックし、ファイル転送を制御することで、データ転送を監視・制御します。さらに暗号化を強制し、オフラインでも動作できるため、データの不正持ち出し（エクスフィルトレーション）のリスクを軽減します。

Netwrix Auditor

Auditor はシステムの変更、ユーザーの活動、およびファイルの変更を追跡してレポートします。誰が何をいつ行ったのかを可視化できるため、ランサムウェア活動の初期兆候の検知や、インシデント後の調査に役立ちます。

検知、軽減、対応の戦略

ランサムウェア攻撃を迅速に検知して対応できる組織は、被害と復旧にかかる時間を抑えられます。

検知

ランサムウェアの感染が拡大する前に止めるには、早期検知が重要です。セキュリティチームは、次のような警告サインについて、システムとネットワークを継続的に監視する必要があります。

• 大量のファイル名の変更、暗号化、またはシャドウ コピーの削除（システム復元に使用されます）などの、不審なファイル活動。
• データ転送の予期しない急増や、既知のコマンド・アンド・コントロール（C2）サーバーとの通信などの、異常なネットワークトラフィック。
• Mimikatz などのツールを使った資格情報のダンプ試行、または LSASS へのアクセス。
• リモート監視・管理（RMM）ツールの異常な動作や、Cobalt Strike のビーコンが見られる場合。これは、横方向への移動（lateral movement）や攻撃者の継続的な侵入（persistence）を示している可能性があります。

EDR、SIEM、Sysmon のソリューションにより、プロアクティブな監視が可能になります。これにより、これらの指標を早期に検出し、調査のためのアラートを発報できます。

緩和（対応）手順

ランサムウェアのインシデントを検知したら、セキュリティチームは脅威を封じ込め、証拠を保全するために迅速に行動する必要があります。IT、法務、経営（エグゼクティブ）チームは、効果的かつ準拠した対応を確実にするために連携しなければなりません。

• 感染したシステム（個々のコンピューター、サーバーなど）を、さらなる拡散を防ぐために直ちにネットワークから隔離します。
• 必要に応じて、影響を受けたネットワークセグメントをオフラインにし、侵害されていないデバイスとの通信を遮断します。これは、特定のネットワークセグメント内で侵害が複数のデバイスに広がっている可能性がある場合、または影響を受けたすべてのシステムをすぐに特定できない場合に行います。
• 感染しているデバイスを特定して切断した後、アンチマルウェア（anti-malware）ツールを使用してランサムウェアを取り除きます。隠れたマルウェアが再び出現してさらに多くのファイルを感染させる可能性があるため、すべてのシステムがクリーンになるまで通常の運用を再開しないでください。
• ネットワークにランサムウェアがないことに確信が持てたら、フルシステムスキャンを実行して、復旧後に問題を引き起こす可能性のある残存マルウェアを確認してください。
• ランサムウェアまたはマルウェアの発生源を特定するようにしてください。これにより、感染がどのように広がったのかを判断しやすくなります。従業員に対して、自分のコンピューターで気付いた異常な挙動がないか、または疑わしいメール内の添付ファイルやリンクをクリックした可能性があるかを確認してください。
• 後の分析および調査のために、システムイメージ、メモリダンプ、ログファイルなどのフォレンジック証拠を保全してください。
• FBI、CISA、または業界の Information Sharing and Analysis Center（ISAC）など、適切な当局に連絡し通知してください。

対応

脅威を封じ込めた後は、システムを復旧し、再発を防ぐことに重点を移します。

• すべてのパスワードをリセットし、侵害された認証情報を無効化して攻撃者のアクセスを遮断します。
• 悪用された脆弱性をパッチし、システムを強化してセキュリティ上の隙間を塞ぎます。
• ゴールデン イメージ（マルウェアがないことを検証済みの信頼できるシステム標準）を使用して、影響を受けた端末をクリーンに再構築します。
• バックアップファイルがハックされた、または削除されている場合は、潜在的な復号ツールを探してください。いくつかの組織では、データの復号に役立つ無料のツールやプログラムによる支援を提供しています。これは Resources and government support セクションで説明されています。
• StopRansomware.gov や、あなたの業界の ISAC などの信頼できるプラットフォームを通じて、侵害の兆候（IOCs）をより広いコミュニティと共有しましょう。これにより、他の組織が同様の攻撃から防御するのに役立つ可能性があります。

身代金を支払うべきでしょうか？

FBI、CISA、NSA は、組織に対して身代金を支払わないよう強く勧告しています。支払いには重大なリスクがあります。

• データが復号される保証はありません。また、攻撃者が再び攻撃してこない保証もありません。
• 支払いは犯罪行為に資金を供給し、さらなる攻撃を促します。
• 一部のランサムウェアグループは制裁対象の組織であり、支払いによって連邦法に違反し、罰則が科される可能性があります。

支払う代わりに、次のようなより安全な代替手段を検討してください。

• オフラインで保管するか、変更不能なストレージに保存した安全なバックアップから復元します。
• No More Ransom プロジェクトで提供されている無料の復号ツールを使用します。
• 警察などの法執行機関に連絡してください。法執行機関は、規則に違反することなく復旧を支援したり、攻撃者と交渉したりすることがあります。

英国政府は、身代金の支払いを禁止することにまで踏み込んだ提案を行っています。これにより、公的機関および重要な国家インフラの運用者（NHS、地方自治体、学校を含む）は、身代金の要求に応じることが禁じられることになります。

リソースと政府の支援

組織がランサムウェアに一人で立ち向かう必要はありません。多くの政府および業界のリソースが、支援、インテリジェンス、復旧ツールを提供しています。

業界ごとの影響

ランサムウェアは業界ごとに異なる形で影響しますが、その結果はどの分野でも普遍的に深刻です。各業界には、サービスの中断、評判の毀損、公的な信頼の低下につながり得る、固有の運用面・財務面・規制面のリスクがあります。

Netwrix Data Classification がどのように役立つか

オンプレミスおよびクラウド環境全体で、機密データ（医療記録、金融情報、政府データ）を分類・タグ付けすることで、Netwrix Data Classification 組織は、保護やバックアップの取り組みを本当に重要なものに集中させることができます。このソリューションは、コンプライアンス業務の簡素化にも役立ちます。規制対象のデータ（HIPAA、GDPR、PCI DSS）をマッピングしてタグ付けするため、レポートの作成、データ主体からの要求への対応、データ取り扱いポリシーの証明がより容易になります。

攻撃の進化と今後のトレンド

ランサムウェア攻撃は、より高速になり、より適応的になり、さらに自動化が進む可能性があります。AIの活用が増えていること、クラウド環境への拡大、そして重要インフラへの標的化が進むことで、組織が攻撃を検知して封じ込めることはますます難しくなるでしょう。ランサムウェアの動向に先回りすることで、脅威に直面するための同等に強力な防御を準備できます。

主要な統計データとインフォグラフィック

ランサムウェア攻撃の件数や身代金の要求は、年を追うごとに増加しています。以下に示す主要な統計とグラフは、最近の傾向と経済的な影響を明らかにし、ランサムウェアがあらゆる業界の組織にとって依然として最重要の懸念であり続ける理由を、データに基づいて捉えるための視点を提供します。

• 調査によると、フィッシングは実際に支配的な攻撃ベクトルです。Guardz の 33 Phishing Attack Statistics in 2024 では、2023 年のデータ漏えいの 10 件中 9 件が、従業員を標的にしたフィッシング攻撃に起因しているとされています。
• StationX は、フィッシングがランサムウェアを届ける最も一般的な手段であり、すべてのランサムウェア攻撃の 45% を占めると述べています。
• ランサムウェアは、2023 年に報告されたサイバーインシデントの 70% 以上の原因になっていました。これは Cyberint が報告しています。 しかし Bright Defense は、2024 年にはランサムウェアが報告されたマルウェアインシデントの 32% を占めており、大幅な減少が見られたと述べています。
• 平均の身代金支払い額は、2024 年に大幅に増加しました。たとえば Sophos は、身代金を支払った組織について、平均支払い額が 2023 年の約 40 万ドルから 2024 年には約 200 万ドルに上昇したと報告しており、これは前年までと比べて急激な増加を示しています。 しかし、身代金の要求水準が高いままであったにもかかわらず、2024 年には支払いの総額が大きく減少しました。総額の金額でも、支払いに応じた被害者の割合でも低下が見られます。
• 世界全体のランサムウェア被害額は、2031 年までに年間 2,650 億ドルのコストになると見込まれています。これらの推計は、価格（身代金を含むコスト）が毎年 30% 増加するとする広く引用されている予測に基づいています。
• 医療は依然として最も標的にされている業界で、1 位です。次いで金融、政府、教育が続きます。FBI の 2024 年 Internet Crime Report によると、医療分野は他のどの重要インフラ業界よりも多くのサイバー脅威を抱えていました。報告された 444 件のインシデントのうち、238 件がランサムウェアの脅威でした。ただし、重要な製造業ではランサムウェアのインシデントが 258 件と、こちらのほうが多くなっています。

代表的な攻撃ベクターを示す円グラフ

ランサムウェア攻撃の地理的なホットスポット（米国、英国、EU、オーストラリア）

最終的な考察

ランサムウェア攻撃とは何かに立ち返りましょう。ランサムウェア攻撃の定義は、その犯罪的な意味合いを表すだけではありません。さらに、データが力を定義する時代において、支配（コントロール）をめぐる戦いがあることも示唆しています。

規模や業界を問わず、どの組織もこの脅威に対して無敵ではありません。数字は厳しく、現実を突きつけますが、良いニュースもあります。ほとんどのランサムウェア攻撃は、予防可能です。

ランサムウェアへの対策は、単一のソリューションで勝ち取ることはできません。むしろ、技術的なコントロール、従業員の意識、そして先を見据えたセキュリティの姿勢を組み合わせることで実現します。結局のところ、生き残れるかどうかは、次の攻撃を避けられる人ではなく、それからの復旧に備えられている人にかかっています。