ランサムウェア被害が深刻化する中、「身代金（恐喝金）を支払った経験がある企業が222社にのぼる」とする報道が注目を集めています。暗号化による業務停止、情報漏えいの脅迫、復旧コストの増大――こうした現実の前で、経営判断として“支払い”に傾く企業が一定数存在することが浮き彫りになりました。
しかし専門家の立場から言えば、身代金の支払いは「復旧」や「漏えい回避」を保証しないうえ、二次被害・再被害のリスクや法的・社会的な影響も伴います。本記事では、身代金支払いが生まれる背景を整理したうえで、企業が実務として整備すべき対策と意思決定のポイントを解説します。
身代金支払いは「復旧」も「漏えい防止」も確約しない
ランサムウェア攻撃の典型は、データを暗号化して業務を止め、復号鍵と引き換えに金銭を要求するものです。近年はこれに加え、盗み出した情報を公開すると脅す「二重恐喝（ダブルエクストーション）」、取引先や子会社へも圧力をかける「三重恐喝」も一般化しています。
ここで重要なのは、攻撃者との「取引」は契約ではなく、相手は犯罪者である点です。支払いを行っても、次のような事態は珍しくありません。
- 復号鍵が提供されない、あるいは動作しない
- 復号できても時間がかかり、結局はバックアップ復旧のほうが早い
- 盗まれたデータが「消去」された保証はなく、後日流出する
- 支払い実績が付くことで“支払う組織”として再標的化される
加えて、支払いにより攻撃者の資金源が強化され、攻撃がさらに拡大するという負の循環も生まれます。支払いは短期の痛みを軽減するように見えて、中長期では不確実性とリスクを積み上げる選択になり得ます。
なぜ企業は支払いに追い込まれるのか
それでも支払いが発生する背景には、技術だけでなく経営・運用の事情があります。
復旧時間（RTO）と許容損失の見積り不足
停止が1日延びるごとの売上損失、違約金、社会的信用の毀損などが大きい業種では、復旧の遅れが致命傷になります。平時にRTO（目標復旧時間）とRPO（目標復旧時点）を定義できていないと、被害時に「とにかく早く戻す」圧力が高まり、支払い判断に傾きます。
バックアップが“あるのに使えない”
バックアップが暗号化されていた、世代管理が不十分だった、復旧手順が検証されていない、そもそも重要システムが対象外だった――こうした運用上の欠陥で、最後に残る選択肢が支払いになってしまいます。
侵入経路の封じ込めができず、復旧しても再暗号化される
初動対応でネットワーク分離やアカウント停止、権限の棚卸しが遅れると、復旧作業の最中に再暗号化が起きます。結果として復旧コストが膨らみ、経営の意思決定を誤らせます。
身代金を払う前に確認すべき意思決定ポイント
実務では「支払う／支払わない」を感情で決めない仕組みが必要です。以下は、危機対応の意思決定で最低限押さえるべき観点です。
- 被害範囲の確定：暗号化対象、窃取の有無、ドメイン権限・特権IDの侵害有無
- 封じ込め状況：横展開（ラテラルムーブ）を止められたか、侵入経路の遮断ができたか
- 復旧可能性：バックアップの健全性（改ざん・暗号化の有無）、復元に必要な時間と手順
- 法務・規制対応：個人情報保護、業法、委託元への報告義務、取引先への通知方針
- 保険と契約：サイバー保険の適用範囲、支払い可否、委託契約の責任分界
- 社会的影響：顧客・株主・監督官庁への説明責任、再発防止策の妥当性
特に「侵害が続いている状態」での支払いは、復号しても再暗号化される可能性が高く、最悪の投資対効果になり得ます。まず封じ込め、次に証拠保全、並行して復旧設計――この順序が崩れると、意思決定は失敗しやすくなります。
いま優先して整備すべき技術・運用対策
ランサムウェア対策は「侵入させない」だけでなく、「侵入されても止める・戻す」設計が核心です。2000字規模で優先度の高い実務に絞ると、次の5点が要諦です。
バックアップの三原則（3-2-1）と復旧訓練
データを3つ保持し、2種類の媒体に分け、1つはオフラインまたはイミュータブル（改ざん困難）にする考え方が基本です。加えて、「復旧テストを定期的に行う」ことが最重要です。バックアップは“取得”より“復元可能性”が価値を決めます。
特権ID管理と多要素認証（MFA）の徹底
攻撃者は管理者権限を奪うことで一気に全社展開します。VPN、リモートデスクトップ、メール、クラウド管理画面など、主要経路へのMFAは必須です。特権IDは常用を避け、昇格運用（必要時のみ）とログ監査を組み合わせます。
ネットワーク分離と横展開の抑止
重要サーバー、バックアップ基盤、認証基盤（AD等）を論理的に分離し、管理系ネットワークを別セグメント化します。内部通信も最小権限で許可し、端末からサーバーへの到達性を制限することで被害を局所化できます。
EDR/SIEMによる“検知と初動”の強化
侵入をゼロにすることは現実的ではありません。検知・隔離のスピードが被害額を左右します。端末検知（EDR）とログ集約（SIEM）を軸に、深夜や休日でも動ける連絡網と手順（IRプレイブック）を整備します。
委託先・子会社を含めたサプライチェーン対策
攻撃者は防御の弱い関連会社や外部委託先を踏み台にします。セキュリティ要求事項（MFA、パッチ適用、ログ提供、インシデント時の報告SLA等）を契約に落とし込み、定期的に点検することが効果的です。
経営層が持つべき視点：ランサムウェアは「IT」ではなく「事業継続」
身代金を支払った企業が少なくないという事実は、攻撃の巧妙化だけでなく、企業側の事業継続設計（BCP/DR）とセキュリティ運用の成熟度が問われていることを示します。重要なのは、
- どの業務を何時間以内に復旧させるか（RTO）
- どこまでのデータ欠損を許容するか（RPO）
- 復旧のために誰が何を判断するか（権限と手順）
を平時に決め、訓練で現実に落とし込むことです。これができていれば、被害時に「支払い以外に道がない」という状況を大幅に減らせます。
まとめ
ランサムウェアの身代金支払いは、短期的な打開策に見えても、復旧や漏えい防止を保証せず、再被害や社会的・法的リスクを増幅させる可能性があります。企業に必要なのは、支払いの是非を場当たりで議論することではなく、侵入を前提にした封じ込めと復旧の設計、そして迅速な初動を可能にする体制整備です。222社という数字を“他人事”にせず、バックアップ検証、特権管理、分離、監視、サプライチェーン管理を今すぐ現実的な計画に落とし込みましょう。