オランダ警察や英エディンバラ大学などの研究者らは、ランサムウェア攻撃の交渉チャットや事件データを分析し、身代金を支払うかどうかを決める要因を検証した。約700件の記録から、交渉の過程と支払い率の関係が具体的に示された。
事案の詳細
研究者らが発表した論文「You Can’t Talk Your Way Out of Cyber Extortion: An Empirical Study of Ransomware Negotiations」は、ランサムウェア攻撃における犯行グループとの値引き交渉の実態と、身代金の支払いに関わる要因を分析した研究報告で、2026年11月にオランダ・ハーグで開かれる国際会議ACM CCS 2026で発表される予定だ（論文PDF）。論文が交渉業者の報告から引用したところでは、ランサムウェアの四半期ごとの平均支払額は、2018年第3四半期の6000ドルから2025年第2四半期には113万ドルへと増えているという。
攻撃手法自体は従来と大きく変わらない一方で、標的の支払い能力を見極めて金額を吊り上げ、チャットで値引き交渉を行うビジネスモデルが確立されているとされる。研究チームは、オランダ警察とインシデント対応（IR）企業1社が2019〜2023年に扱った事件を整理した461件のデータと、公開された237件の交渉チャット記録を用い、接触から値引き、支払い、事後のトラブルに至る6段階のプロセスを検証した。
支払いの実態としては、461件のうち払ったのは25.8％だった。犯行グループが交渉窓口を提示した253件に限ると、被害者が接触しなかった場合の支払率は7.6％にとどまるが、接触した被害者では66.7％、値引きまで至った事例では70.7％に上がっていた。やり取りの回数に着目すると、10通以下なら値引きも支払いもゼロだが、100通を超えると86％で値引きが出て、中央値で66％の減額になる。一方で、100通を超えた事例でも支払率は45％ほどだった。単純な集計では、やり取りが長い事例ほど支払率は高かったが、値引きの有無などほかの要因を考慮した分析では、交渉の長さは支払いの低さと関連していたという。
影響と背景
支払いとの関連で研究が強調するのは、交渉の巧拙や金額そのものよりも、被害者側の復旧手段だ。論文はバックアップの状態を「なし」「復旧不能」「一部復旧」「完全復旧」の4つに分けて分析した。その結果、攻撃を受けた後にバックアップから完全に復旧できた被害者では、身代金を支払う割合が大きく下がっていた。一方、一部しか復旧できなかった場合や、犯行グループにバックアップを壊されて復旧できなかった場合は、バックアップがない場合と比べて有意な差がなかった。完全に復旧できるバックアップの有無が、支払いの有無と最も強く関連していたことになる。なお、これは事件データの分析から見えた関連で、因果関係を直接示したものではない。
対策・今後の展望
- 完全に復旧できるバックアップの確保：研究では、完全に復旧できるバックアップの有無が支払いの有無と最も強く関連していた。一部しか戻せないバックアップや、攻撃で壊されるバックアップでは、ないのと大差がない。攻撃者に壊されない保管方法と、実際に戻せるかの確認が重要になる。
- 交渉の構造理解：接触や値引き交渉に進んだ事例ほど支払率は高いが、論文はこれを、もともと売上が大きく復旧手段を持たない被害者ほど後の段階まで進むためだと説明している。交渉したから払うことになるのではなく、払わざるを得ない被害者が交渉に進んでいる面がある。
- 支払い後のリスクの把握：身代金を支払った119件の事後調査では、復号鍵が届かなかったケースは2.5％（3件）、一部不具合や遅延があったケースは6.7％（8件）、支払い後に追加の金銭を要求されたケースは少なくとも7.6％（9件）だった。支払いが即時に完全解決につながるとは限らない。
CSRIからのアドバイス
ランサムウェア被害では、犯行グループが交渉窓口を示し、チャットでやり取りしながら金額や条件を詰める形が見られる。今回の研究では、接触・値引きといった段階に進んだ事例ほど支払率が高かったが、その背景には、復旧手段を持たない被害者ほど交渉に進まざるを得ないという事情がある。
例えるなら、データを人質に取られ「返してほしければお金を」と迫られる状況だ。つまり、交渉で値切れたとしても、そもそも自力で元に戻せる手段（完全に復旧できるバックアップ）があるかどうかが、支払う・払わないの分かれ目になり得る。
中小企業は、まず「完全に復旧できるバックアップ」があるかを確認し、復元手順まで含めて実行できる状態かを点検したい。次に、バックアップが一部しか戻らない状態になっていないか、保管場所や運用が攻撃で壊され得る前提になっていないかを担当者に共有する。
参照: ランサム攻撃で身代金を払う企業・払わない企業の違いとは？ オランダ警察などが約700件の記録から分析／論文「You Can’t Talk Your Way Out of Cyber Extortion」（著者版PDF）／エディンバラ大学 論文ページ