うちのサイトがいつも発信している「サイバー攻撃は『防ぐ』時代から、『迅速に検知し - 大阪・関西万博

2025年11月1日

うちのサイトがいつも発信している「サイバー攻撃は『防ぐ』時代から、『迅速に検知し対応・復旧する』時代へ」というメッセージ。日々勉強させてもらっているのですが、最近、この考え方の重要性を改めて感じる場面が本当に増えたなと思います。特に、いよいよ来年に迫った大阪・関西万博のことを考えると、この「サイバーレジリエンス」という視点が非常に重要になるんじゃないかなって、個人的に非常に注目してるのです。

万博みたいな世界中が注目するビッグイベントって、残念ながらサイバー攻撃者にとっても格好のターゲットになるじゃないですか。金銭目当てのランサムウェア攻撃はもちろん、国家の威信をかけた妨害工作や、思想的なアピールを狙うハクティビストによる攻撃とか、あらゆる動機を持った攻撃が想定されますよね。実際、東京オリンピックの時も大会関連システムへのサイバー攻撃の試みは4億5000万回もあったそうですし、これはもう「攻撃は必ず来る」って前提で備えるしかないなと。公式サイトがダウンしたり、入場システムに障害が出たりしたら、せっかくの万博が台無しになっちゃいますから。

そこで活きてくるのが、まさにうちのサイトで先輩たちが口を酸っぱくして言っている「インシデントは起きるもの」という前提に立った対策だと思うんです。完璧な防御を目指すのはもちろん大事ですけど、それ以上に、万が一侵入された時にいかに早くそれを検知して、被害を最小限に食い止め、サービスを継続させられるか。万博の運営を止めないための「事業継続計画（BCP）」のサイバー版みたいなものが、成功の鍵を握っているんじゃないかなって。個々のパビリオンが攻撃されても、万博全体としては動き続ける、そんなしなやかで強いセキュリティ体制が求められているんだと感じます。

この業界に身を置く人間として、万博のサイバーセキュリティ対策がどう進んでいくのか、非常に興味があります。世界中の人たちが安心して楽しめる未来社会のショーケースにするためにも、裏側を支えるサイバー空間の安全は絶対不可欠です。ここで学んだ知識を総動員して、万博の動向をしっかり追いかけながら、自分なりに何ができるか考えていきたいなと思ってます。無事に開催される日を、本当に心から楽しみにしてます！

ランサムウェア攻撃が企業にとって深刻な脅威となっている今、多くの経営者やセキュリティ担当者が抱える疑問があります。「果たして被害企業は本当に犯罪者に身代金を支払っているのか？」「支払うとしたら、その相場はいくらなのか？」この記事では、こうした疑問に対して、最新のデータと現場の実態をもとに詳しく解説していきます。

ランサムウェア攻撃の実態：被害企業は支払っているのか？

結論から言うと、被害企業の約40〜50%が実際に身代金を支払っているというのが業界の現実です。2024年の複数の調査レポートによると、身代金支払い率は前年比でやや減少傾向にあるものの、依然として高い水準を維持しています。

企業が身代金を支払う理由

なぜ企業は犯罪者の要求に応じてしまうのでしょうか？主な理由は以下の通りです：

事業継続の緊急性：製造業や医療機関など、システム停止が直接的な損失や人命に関わる業種では、復旧を最優先せざるを得ない
バックアップの不備：適切なバックアップ戦略を実装していない、またはバックアップ自体も暗号化されてしまった
データ流出の二次被害：二重恐喝により、暗号化だけでなくデータ公開の脅迫を受けている
復旧コストとの比較：身代金額が復旧にかかる時間とコストより低いと判断される場合
サイバー保険の適用：保険会社が身代金支払いをカバーするケースがある

身代金の相場：いくら要求されるのか？

ランサムウェアの身代金額は、攻撃対象企業の規模や業種、攻撃者グループによって大きく異なります。2024〜2025年の傾向を見ると、以下のような相場が確認されています：

企業規模別の身代金相場

中小企業（従業員100人未満）：50万円〜500万円程度
中堅企業（従業員100〜1,000人）：500万円〜5,000万円程度
大企業（従業員1,000人以上）：5,000万円〜数億円程度
重要インフラ・医療機関：1億円〜10億円以上のケースも

特に注目すべきは、攻撃者が企業の財務情報を事前に調査し、「支払い可能な最大額」を計算して要求してくる点です。彼らは企業の年商、保険加入状況、過去の支払い事例などを徹底的にリサーチしています。

二重恐喝・三重恐喝の進化

近年のランサムウェア攻撃は、単なるデータ暗号化にとどまりません：

二重恐喝（Double Extortion）：データを暗号化すると同時に窃取し、支払いがない場合は公開すると脅迫
三重恐喝（Triple Extortion）：顧客や取引先にも直接連絡し、データ流出を通知して追加の圧力をかける
DDoS攻撃の併用：身代金交渉中にWebサイトをDDoS攻撃で停止させ、さらなる圧力をかける

このような多層的な脅迫手法により、企業は複数の側面から攻撃を受け、支払わざるを得ない状況に追い込まれるケースが増えています。

効果的なランサムウェア対策：多層防御の実装

ランサムウェアから組織を守るには、単一の対策ではなく、多層的な防御戦略が不可欠です。以下、現場で効果が実証されている対策を紹介します。

1. 強固なバックアップ戦略：3-2-1ルール

ランサムウェア対策の基本中の基本は、適切なバックアップです。推奨されるのは「3-2-1ルール」：

3つのコピー：本番データに加えて、最低2つのバックアップコピーを保持
2種類のメディア：HDD、クラウド、テープなど異なる媒体に保存
1つはオフサイト：物理的に離れた場所、またはエアギャップで隔離されたストレージに保管

さらに重要なのは、イミュータブル（変更不可能）バックアップの実装です。これにより、攻撃者がバックアップを暗号化・削除することを防ぎます。

2. ゼロトラストアーキテクチャの採用

「信頼せず、常に検証する」というゼロトラストの原則は、ランサムウェアの横展開を防ぐ上で極めて有効です：

マイクロセグメンテーション：ネットワークを細かく分割し、感染が広がりにくい構造に
最小権限の原則：ユーザーやシステムに必要最小限の権限のみ付与
多要素認証（MFA）：すべてのリモートアクセスとクリティカルシステムに必須化
継続的な監視と検証：すべてのアクセス要求をリアルタイムで評価

3. EDR・XDRによる早期検知

攻撃を早期に検知し、暗号化が実行される前に対応することが理想です：

EDR（Endpoint Detection and Response）：エンドポイントでの異常な挙動を検知
XDR（Extended Detection and Response）：エンドポイント、ネットワーク、クラウドを横断して脅威を検知
SOAR（Security Orchestration, Automation and Response）：検知後の対応を自動化し、初動対応を高速化

4. 従業員教育とセキュリティ意識の向上

技術的対策と同じくらい重要なのが、人的要素への対策です：

定期的なフィッシング訓練：実際の攻撃メールを模した訓練で従業員の警戒心を養う
セキュリティ意識向上プログラム：最新の脅威動向を定期的に共有
インシデント報告の奨励：疑わしいメールやアクティビティを気軽に報告できる文化の醸成
ソーシャルエンジニアリング対策：電話や対面での詐欺手法についても教育

5. インシデント対応計画の策定と訓練

万が一攻撃を受けた場合に備えて、明確な対応計画が必要です：

インシデント対応チーム（CSIRT）の編成：役割と責任を明確化
エスカレーションフロー：誰が、いつ、どのような判断をするかを文書化
定期的な訓練：年に最低2回は模擬訓練を実施
外部専門家との連携：フォレンジック業者、法律事務所、PR会社などと事前に関係を構築
コミュニケーション計画：顧客、取引先、監督機関への通知手順を整備

サイバー保険の活用と注意点

サイバー保険は、ランサムウェア被害の経済的影響を軽減する手段として注目されています。しかし、いくつかの重要な注意点があります：

保険でカバーされる範囲

身代金支払い：多くの保険が身代金額をカバー（ただし上限あり）
フォレンジック調査費用：原因究明と証拠保全のための専門家費用
システム復旧費用：暗号化されたシステムの復旧作業
事業中断損失：業務停止による逸失利益の補償
法的費用：訴訟対応や規制当局への報告に関連する費用
PR・危機管理：風評被害対策のための広報活動費用

保険加入時の注意点

セキュリティ対策の要件：MFA、EDR、定期的なバックアップなど最低限の対策が加入条件
免責事項の確認：既知の脆弱性を放置していた場合など、免責となる条件を把握
保険料の上昇傾向：ランサムウェア被害の増加に伴い、保険料も年々上昇
支払い承認プロセス：身代金支払いには保険会社の事前承認が必要なケースが多い

身代金を支払うべきか？：倫理的・実務的ジレンマ

身代金を支払うべきかどうかは、企業が直面する最も難しい判断の一つです。

支払いを推奨しない理由

犯罪組織への資金提供：支払いは犯罪インフラを強化し、さらなる攻撃を助長
復号化の保証なし：支払ってもデータが復元される保証はなく、約20%のケースで復号化に失敗
再攻撃のリスク：一度支払った企業は「支払い可能」として再度標的になる可能性
法的リスク：支払い先が制裁対象の組織だった場合、法的責任を問われる可能性
評判への影響：支払った事実が公になると、企業イメージに悪影響

支払いを検討せざるを得ない状況

一方で、以下のような状況では、現実問題として支払いを検討せざるを得ないケースもあります：

人命に関わる場合：医療機関で患者の生命維持装置が停止するなど
事業継続が不可能：製造ラインの完全停止など、企業存続に直結する場合
バックアップが機能しない：適切なバックアップがなく、復旧手段が他にない
二重恐喝で機密データ公開の脅威：顧客情報や企業秘密の流出が確実な場合

重要なのは、この判断を事前に組織として議論しておくことです。攻撃を受けてから初めて考え始めるのでは遅すぎます。

今後の展望：ランサムウェアの進化と対策

ランサムウェアの脅威は今後も進化し続けるでしょう。以下のトレンドに注目が必要です：

新たな脅威の兆候

AI活用の高度化：AIを使った標的選定、スピアフィッシングの自動生成
IoT・OTへの攻撃：産業制御システムへのランサムウェア攻撃の増加
クラウド環境の標的化：クラウドストレージやSaaSアプリケーションへの直接攻撃
四重恐喝以上：株主、顧客、規制当局など、あらゆるステークホルダーへの多角的な脅迫

防御側の進化

一方で、防御側も進化を続けています：

AI/MLによる異常検知：機械学習を活用した未知の攻撃パターンの検出
国際的な法執行協力：各国の警察機関が連携した犯罪組織の摘発
暗号通貨追跡技術：ブロックチェーン分析による身代金の追跡と凍結
業界間の情報共有：ISAC（Information Sharing and Analysis Center）を通じた脅威情報の共有

今日から始めるランサムウェア対策アクションプラン

ここまで読んでいただいた方のために、今日から実践できる具体的なアクションプランをまとめます：

今すぐ実施すべき対策（1週間以内）

現状のバックアップ確認：バックアップが正常に動作しているか、リストア訓練を実施
MFAの有効化：すべてのリモートアクセスとクリティカルシステムにMFAを設定
パッチ適用状況の確認：OS、アプリケーション、ネットワーク機器の脆弱性を修正
RDPの無効化または制限：不要なRDP接続を無効化、必要な場合はVPN経由に限定
管理者権限の見直し：不要な管理者権限を剥奪し、最小権限の原則を適用

短期的な対策（1〜3ヶ月）

EDR/XDRの導入検討：予算とリソースに応じたセキュリティツールの選定と導入
インシデント対応計画の策定：対応手順書の作成と関係者への周知
フィッシング訓練の実施：全従業員を対象とした模擬訓練
ネットワークセグメンテーション：重要システムの隔離と横展開の防止
サイバー保険の検討：自社のリスクプロファイルに合った保険商品の選定

中長期的な対策（3〜12ヶ月）

ゼロトラストアーキテクチャへの移行：段階的なゼロトラスト環境の構築
SOCの設置または外部委託：24時間365日の監視体制の確立
定期的な訓練とレビュー：四半期ごとのインシデント対応訓練
セキュリティ文化の醸成：トップダウンでのセキュリティ意識改革
業界団体への参加：脅威情報共有コミュニティへの加入

サイバーセキュリティの最新動向と実践的な対策について、さらに詳しく知りたい方はこちらもご覧ください：