Semperisの「2026 Ransomware Risk Report」によると、ランサムウェア被害を経験した組織の回答者の37％が、従業員の家族または友人に対する脅迫があったと報告した。調査は、2026年前半に実施された、ランサムウェア攻撃によって業務が中断した組織のIT・セキュリティ担当者1,200人を対象とするもので、攻撃者が組織のシステムだけでなく、関係者やその周囲の人々にも圧力を加えている実態を示している。
事案の詳細
海外報道（CSO Online）によると、回答者の41％が心理的または身体的な威圧を受けたと報告し、37％が従業員の家族や友人への脅迫を報告した。なお、37％の母数（回答者全体か、威圧を受けた回答者か）は媒体によって説明が異なり、出典のScanNetSecurityは37％を「従業員に対する心理的または身体的な脅迫」の割合として伝えている。
Infosecurity Magazineによると、脅迫の手段として最も多かったのは、脅迫的なメッセージ、手紙、荷物の送付（57％）で、職場や自宅への物理的な侵入も19％で報告された。
また、従業員や家族の個人情報を公開するドクシングは25％、虚偽の緊急通報によって警察などを出動させるスワッティングは23％で報告された。調査では、脅迫を受けた組織の53％が、過去1年間に攻撃者が脅迫を実行したと回答している。ただし、これらは回答者が報告した脅迫や被害の割合であり、誘拐や身体的傷害が実際に発生した件数を示すものではない。
出典記事の見出しにある「自宅玄関にマトリョーシカ」は、Semperisのティム・ビーズリー氏の体験に由来する。ロシアの情報機関との関連が指摘される攻撃グループ「Midnight Blizzard」の攻撃を調査していた際、差出人不明のマトリョーシカなどのロシア土産が自宅玄関に届き、同氏は「居場所を知っている」という脅しと受け止めたという。
一方、Dark Readingは、この調査が回答者の自己申告に基づくもので数値を裏付けられないこと、前年の調査結果との間に食い違いがあることを指摘している。数値は傾向を示すものとして受け止める必要がある。
調査対象は、少なくとも1件の成功したランサムウェア攻撃を経験した組織に限られる。そのため、37％という数値をすべての企業やランサムウェア攻撃に一般化することはできない。
影響と背景
心理的・身体的脅迫が含まれる場合、被害は情報資産の侵害や業務停止だけにとどまらない。意思決定者や対応担当者、その家族が圧力を受けることで、身代金支払い、対外公表、復旧、警察への相談などに関する判断へ影響が及ぶ可能性がある。
Semperisの調査では、ランサムウェア攻撃の87％でアイデンティティー基盤が標的または悪用されたと報告されている。また、84％の回答者が、攻撃に何らかの形でAIが関与していたと回答した。攻撃者は、認証情報やアイデンティティー基盤を悪用して侵入・影響範囲を拡大するだけでなく、入手した個人情報や連絡先を利用して、従業員や家族への脅迫を組み合わせている。
この状況は、ランサムウェア対策をIT部門だけの課題とせず、経営層、総務、人事、法務、広報、物理セキュリティ、警察・外部専門機関との連携を含む組織全体の危機管理として扱う必要性を示している。
対策・今後の展望
組織は、復旧手順や連絡体制と同様に、従業員本人や家族への脅迫、ドクシング、スワッティング、物理的危害の脅しが発生した場合の相談・通報・保護手順を事前に定めておく必要がある。脅迫の証拠を保存し、個人が攻撃者と直接交渉せず、警察、弁護士、セキュリティ事業者などへ速やかに相談できる体制を整えることが求められる。
- 対応窓口の明確化：脅迫を受けた場合に、誰が受け止め、どこへ連絡し、組織としてどう判断するかを事前に定義する。緊急性のある身体的危害や自宅への接近が疑われる場合は、地域の警察・緊急通報機関への連絡を優先する。
- 連絡・判断の一本化：従業員が攻撃者へ単独で返信したり、個人の判断で身代金交渉を行ったりしないルールを設ける。脅迫メッセージ、送信元、日時、添付ファイル、通話記録などを改変せず保存する。
- 関係者の保護を含む計画：インシデント対応計画に、従業員と家族の安全確認、住所・電話番号などの個人情報の保護、必要な物理警備、医療・心理支援、社内外への情報共有基準を含める。
- 個人情報とアイデンティティーの防御：多要素認証、特権アカウントの分離、認証情報の監視、公開情報の棚卸し、退職者・委託先を含むアクセス権の見直しを実施する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIのMDR運用支援では、侵入後に責任者や担当者へ直接連絡を試みる動きが、対応の混乱や個人への圧力として表面化する可能性がある。今回の調査結果が示すように、攻撃者は従業員本人だけでなく、その家族や友人、居住地などへ脅迫の対象を広げる場合がある。
【観点②：平易な解説】例えるなら、鍵を壊して家に入るだけでなく、住人やその家族を脅して家の中の金庫を開けさせるようなものだ。つまり、システム防御だけでは終わらず、担当者の不安や焦り、個人情報へのアクセスを利用して判断を誤らせる危険がある。
【観点③：今週中にできること】まず、脅迫や不審な連絡を受けたときに「個人で返事をしない」ルールを社内で共有し、連絡先を一つに決める。次に、役員、総務、情報システム、法務・広報の関係者で、緊急時の一次窓口と警察・弁護士・セキュリティ事業者などの外部相談先を紙でも残す。最後に、担当者や役員、家族の自宅住所、電話番号、勤務先などの公開状況とアクセス権を棚卸しし、ドクシングやスワッティングを想定した安全確認手順を整える。
参照: 自宅玄関にマトリョーシカ ～ ランサムウェア攻撃の 37 ％で関係者個人に心理的・身体的脅迫 [グローバル調査]