ランサムウェア攻撃は、もはや一部の高度な犯罪者だけが行う“特別な事件”ではない。近年のインシデント分析から浮かび上がるのは、攻撃者側のコストが下がり、被害企業側の復旧コストが跳ね上がるという、極めて不均衡な経済構造である。侵入に必要な費用が数万円規模にまで低下する一方、復旧や事業再開に要する費用は数億円規模に達し得る。このギャップが、ランサムウェアを「持続可能なビジネス」に変えてしまった。
攻撃者の採算が合いすぎる「非対称性」
攻撃者にとってランサムウェアの魅力は、少ない投資で大きなリターンを狙える点にある。初期侵入の手段は、脆弱なVPN機器や公開サーバの既知脆弱性、認証情報の使い回し、フィッシングなど、既に“型”として確立している。さらに犯罪エコシステムが成熟し、攻撃の部品が分業化・サービス化したことがコスト低下を加速させた。
代表例がRaaS（Ransomware as a Service）である。開発者が暗号化マルウェアや管理パネル、リークサイト運営を提供し、侵入担当（アフィリエイト）が攻撃を実行、成功報酬を分配する。侵入に使う初期アクセスは闇市場で売買され、数万〜数十万円程度で入手可能なケースもある。結果として、攻撃者は高度な開発力や長期潜伏能力がなくても「仕組みを買って回す」だけで収益化できる。
被害企業の復旧コストが膨らむ理由
一方、被害を受けた企業が負担するのは、単なる身代金の問題ではない。暗号化による業務停止、データ復旧、調査、顧客対応、信用毀損、そして再発防止の投資まで含めた総費用が発生する。復旧費用が巨額化しやすいのは、次の要因が重なりやすいからだ。
業務停止の連鎖
基幹システム、ファイルサーバ、認証基盤（ADなど）、メール、業務端末が同時に影響を受けると、現場は代替手段を失う。生産停止や受発注停止、請求遅延などが起き、売上だけでなく取引先との契約や納期にも影響する。IT部門が復旧に集中するほど現場支援が追いつかず、停止期間が延びる悪循環に陥る。
調査と封じ込めのコスト
侵害範囲の特定、ログ収集、フォレンジック、マルウェア解析、侵入経路の追跡、バックドアの排除などは専門性が高い。外部のインシデント対応支援を利用すれば、工数と期間に応じて費用が積み上がる。さらに、封じ込めのためにネットワーク分離やアカウント無効化を行うと、復旧作業自体も複雑化する。
二重脅迫と情報漏えい対応
近年は暗号化に加えてデータを窃取し、「公開されたくなければ支払え」と迫る二重脅迫が一般化した。漏えいの可能性が出れば、事実確認、影響評価、顧客・取引先への連絡、法務対応、問い合わせ窓口の設置などが必要になる。結果として、暗号化の復旧だけでは終わらない。
「身代金を払えば解決」は成り立たない
身代金支払いは短期的に復旧を早めるように見えるが、実務では不確実性が大きい。復号ツールが不完全でデータが戻らない、復号に想定以上の時間がかかる、支払っても追加要求が来る、窃取データの削除が保証されないといった問題が起き得る。さらに、支払いは攻撃者の資金源となり、次の被害者を生む循環を強化する。
企業として重要なのは「払うか払わないか」の二択ではなく、払わずに復旧できる体制を平時から作り、支払いを意思決定の中心に置かないことである。
攻撃を“安く”させないための実装ポイント
攻撃者の侵入コストが低いのは、組織側に共通する弱点が残り続けているからだ。防御側は、攻撃者の成功確率を下げ、侵入後の横展開を難しくし、暗号化の実行前に検知・遮断することで、相手のコストを押し上げられる。
侵入経路の最小化
外部公開資産（VPN、RDP、管理画面、リモート管理ツール）を棚卸しし、不要なものは閉鎖する。必要なものは多要素認証を必須化し、条件付きアクセスやIP制限を併用する。パッチ適用は「重要度」だけでなく「悪用状況」を軸に優先順位を決め、インターネットに面する機器・サービスを最優先で更新する。
特権アカウントの防衛
ランサムウェア被害が致命傷になる典型は、認証基盤とバックアップが同時に奪われるケースだ。ドメイン管理者やバックアップ管理者など特権を分離し、日常業務用アカウントで特権操作をしない。管理操作は踏み台（PAW等）に限定し、ログオン経路と実行権限を厳格に制御する。
横展開の阻止と検知
ネットワークを用途別に分割し、サーバ間の通信を“必要最小限”にする。EDRやSIEMで端末・サーバの挙動を監視し、資格情報ダンプ、リモート実行、異常な圧縮・大量暗号化といった前兆を検出する。重要なのはツール導入だけでなく、アラートを運用で潰さない設計（優先度付け、当番体制、手順化）である。
バックアップを「最後の砦」にしない
バックアップは必須だが、攻撃者はバックアップ破壊を最初から計画に組み込む。オフラインまたはイミュータブルなバックアップを用意し、保管先の認証情報を本番環境と分離する。復旧手順はドキュメント化し、定期的にリストア演習を行い、RTO/RPOを現実の業務要件に合わせて見直す。
経営課題としてのランサムウェア対策
復旧に数億円単位の費用が発生し得る以上、ランサムウェア対策はIT部門だけの課題ではなく、事業継続と財務リスクの問題である。重要なのは、投資判断を「セキュリティの理想論」ではなく「停止した場合の損失」と比較して行うことだ。重要業務の停止時間をどこまで許容できるのか、代替手段はあるのか、顧客通知や契約上の義務は何か。これらを前提に、優先順位を付けて対策を積み上げるべきである。
まとめ
侵入が安く、復旧が高い。この構造が続く限り、ランサムウェアは“割に合う犯罪”であり続ける。だからこそ、防御側は「侵入されない」一点張りではなく、侵入されても横展開させず、暗号化を起こさせず、起きても事業を止めないという多層の現実解を実装する必要がある。攻撃者のコストを上げ、成功確率を下げ、復旧時間を短縮する。その積み重ねが、ランサムウェアを“持続可能ではないビジネス”へと追い込む最も確実な道だ。