ランサムウェアのライフサイクルは一般的に、「標的の選定と事前調査」「マルウェアの拡散と感染」「コマンド＆コントロール（C＆C）」「ネットワーク内の探索と横展開」「データの窃取と暗号化」「脅迫」「収束・復旧」の7段階で構成される。

段階1．標的の選定と事前調査

　攻撃者は標的を選定し、事前調査を実施する。この段階では、被害者やシステム、マルウェア拡散の標的とする従業員の情報を収集する。具体的な手法には、公開データの収集、ネットワークやポートの走査、標的企業のセキュリティ対策の把握などが含まれる。

段階2．マルウェアの拡散と感染

　この段階で攻撃者は被害者のシステムに侵入し、マルウェアに感染させる。主な攻撃経路には、ソーシャルエンジニアリング、侵害された認証情報、リモートデスクトップソフトウェア、ソフトウェアの脆弱（ぜいじゃく）性、悪質なWebサイトや不正広告（マルバタイジング）がある。

• ソーシャルエンジニアリング

　フィッシングは最も一般的なソーシャルエンジニアリングで、あらゆる種類のマルウェアで最大の攻撃経路であり続けている。攻撃者は本物に見せかけた電子メールに悪質なリンクや添付ファイルを仕込み、ユーザーをだましてマルウェアをインストールさせる。フィッシングメールのほか、スミッシング、ヴィッシング、スピアフィッシング、水飲み場型攻撃などの手口が使われる。

• 侵害された認証情報

　正当な認証情報を使用してアクセス権を得る手法は、標的システムにマルウェアを仕込む最も効果的な方法の1つだ。攻撃者はクレデンシャルスタッフィング、ダークWebでの購入、スピアフィッシング、キーロガーなどの手法で認証情報を入手する。

• リモートデスクトップソフトウェア

　Remote Desktop Protocol（RDP）やVirtual Network Computing（VNC）といったリモートデスクトップソフトウェアにより、管理者は世界中のどこからでもデスクトップにアクセスできる。しかし適切な保護がない場合、ランサムウェアの一般的な侵入口となる。パスワード総当たり攻撃やオフラインでのパスワード解読といった手法が使われる。

• ソフトウェアの脆弱性

　攻撃者は、パッチが適用されていないソフトウェアや古いソフトウェアを攻撃して侵入する。未更新のソフトウェアやハードウェアを備えたインターネット接続システムは、Webアプリケーションやサードパーティー製ライブラリと同様に脆弱だ。

• 悪質なWebサイトと不正広告

　現在では主要な攻撃経路ではないものの、一部の攻撃者は悪質なコードを埋め込んだWebサイトや広告を利用して被害者を感染させる。悪質なリンクや広告をクリックしたユーザーは、知らず知らずのうちにランサムウェアをダウンロードしてしまう。

段階3．コマンド＆コントロール（C＆C）

　攻撃者が構築・運用するC＆Cサーバは、標的システムに暗号鍵を送信し、追加のマルウェアをインストールしてランサムウェアのライフサイクルの他の段階を支援する。

段階4．ネットワーク内の探索と横展開

　この段階では、攻撃者は被害者のネットワークの深部に侵入する。権限を昇格させ、横展開（ラテラルムーブメント）攻撃を実行して影響範囲を広げる。

段階5．データの窃取と暗号化

　この段階で攻撃者は、後の脅迫攻撃で使用するために抽出したデータをC＆Cサーバへ送信する。その後、C＆Cサーバから送信された鍵を使用してデータやシステムを暗号化する。

段階6．脅迫

　攻撃者は身代金の支払いを要求する。企業はこの時点で自社がランサムウェア攻撃の被害に遭ったことを認識する。

段階7．収束・復旧

　被害に遭った企業は、攻撃への対処と復旧に向けた行動を起こす必要がある。これには、バックアップからのデータ復元、復旧計画の実行、身代金の支払い、攻撃者との交渉、システムのゼロからの再構築などが含まれる。

ランサムウェアの種類

　ランサムウェアは、提供方法と影響範囲によって定義／分類される。提供方法には、RaaS（Ransomware as a Service）、自動配信（非サービス型）、人手による手動配信がある。影響には、データの利用不可、データの破壊、データの削除、データの窃取と脅迫があり、場合によってはこれら全てが組み合わされる。

　以下の用語は、ランサムウェアの多様な形態を表している。

• ロッカー型ランサムウェア：被害者がデータやシステム全体に全くアクセスできない状態にする
• 暗号型ランサムウェア：被害者のファイルの一部または全てを暗号化する
• スケアウェア：端末がランサムウェアに感染していると被害者に思い込ませる偽警告。攻撃者はランサムウェアを駆除すると見せかけた不審なソフトウェアを購入させ、実際にはデータを盗んだり追加のマルウェアをダウンロードさせたりする
• エクストーションウェア（リークウェア、ドックスウェアとも呼ばれる）：攻撃者が被害者のデータを盗み出し、公開したりダークWebで売却したりすると脅迫する
• ワイパー：ランサムウェアのように振る舞うが、身代金を支払っても被害者のシステムからデータを消去する破壊的なマルウェアだ
• 二重脅迫（ダブルエクストーション）型ランサムウェア：被害者のデータを暗号化すると同時に外部に持ち出し、身代金を支払わなければデータを公開すると脅して二重に支払いを迫る
• 三重脅迫（トリプルエクストーション）型ランサムウェア：データの暗号化と持ち出しに加え、第3の脅迫手段を追加する。多くの場合、DDoS攻撃が使われる。また、被害者の顧客や取引先に身代金の支払いを迫ったり、初期被害企業に支払うよう圧力をかけさせたりする手口もある
• RaaS：分類というより配信モデルだが、一般的な種類一覧に含まれることが多い。サブスクリプション型のモデルで、開発者が攻撃実行者に有料でマルウェアを提供し、得られた利益の一部を受け取る仕組みだ

企業に対するランサムウェアの影響

　攻撃の精巧さ、攻撃者の動機、被害者の防御体制に応じて、ランサムウェアの影響はちょっとした不便から多額の費用を伴う困難な復旧、完全な壊滅まで多岐にわたる。

　「ランサムウェアの被害に遭った」と聞くと、多くの人は身代金の要求額に目を向ける。Sophosのレポートによると、2024年の平均身代金支払額は前年の150万ドルから増加し、400万ドル弱となった。

　しかし、ランサムウェア攻撃の総被害額は身代金そのものをはるかに上回る。IBMの調査レポート「Cost of a Data Breach Report 2024」によると、ランサムウェア攻撃1件当たりの平均被害額は537万ドル（約8億5000万円）に達しており、これには身代金の支払額自体が含まれていない。

　この金額の差は、以下の複数の要因によるものだ。

• データの漏えいまたは消失
• システムのダウンタイム
• 生産性の低下
• 収益の減少
• 法的処罰や規制違反による罰金

　さらに、次のような影響も懸念される。

• 企業の評判や信頼の失墜
• 従業員の士気低下
• 顧客の信頼失墜
• 将来的な関連攻撃の標的となる可能性

身代金を支払うべきか

　警察機関やサイバーセキュリティの専門家は、以下の理由から身代金の支払いを強く思いとどまるよう勧告している。

• 攻撃者を助長させるため
• 二重脅迫などの追加要求につながる恐れがあるため
• 一部の国や地域では支払いが禁止されており、倫理的・法的な問題が生じるため
• 要求に応じても盗まれたデータが戻るとは限らないため

　それでも身代金を支払う選択をする企業がある。復旧時間の短縮、収益損失や風評被害の軽減、復旧費用の抑制、顧客および従業員データの保護につながると期待するためだ。

ランサムウェアの通報と法的な問題

　支払いの有無にかかわらず、米国土安全保証省サイバーセキュリティインフラセキュリティ庁（CISA）や米連邦捜査局（FBI）といった政府機関や専門家は、被害に遭った全ての企業に当局へ通報するよう推奨している。通報により捜査機関は攻撃者や脅威の動向を追跡できるだけでなく、攻撃活動を阻止できる場合もある。多くの機関がインシデント対応やデジタルフォレンジックといった支援を提供している。

　なお一部の企業には、法令により攻撃の報告が義務付けられている。例えば米証券取引委員会（SEC）の規制では、SEC登録企業は、サイバー攻撃の被害が判明し、その重要性を判断してから4営業日以内に開示しなければならない。

　捜査機関への通報によって被害額を低減できるというデータもある。IBMの報告によると、ランサムウェアによるデータ侵害の平均被害額は537万ドルだが、捜査機関が介入した場合は438万ドルに減少したとしている。

　通報の要否に加え、公表の判断も必要となる。民間企業に対する一律の報告義務法は存在しないが、個人識別情報（PII）が影響を受けた場合、対象者への通知が義務付けられている。

ランサムウェア交渉サービス

　身代金の支払いを決定した企業が、交渉専門サービスを利用することがある。これらの第三者ブローカーは攻撃者と被害者の間で媒介役を務める。ランサムウェアグループやその要求手口に精通しているため、一般的な企業よりも交渉を進められる。

　交渉人は以下の業務を支援する。

• 相手が本物の攻撃者であるかの確認
• 身代金の減額交渉
• 攻撃の時限停止による被害状況把握の時間の確保
• 復号鍵が正常に機能するかの検証
• 攻撃の詳細情報と防御改善策の提供

　ただし交渉サービスが常に万能というわけではない。身代金支払いと同様、交渉自体が攻撃者を助長させるリスクがあり、データへのアクセスが確実に回復する保証はない。

ランサムウェアとサイバー保険

　サイバー保険は1990年代から存在していたが、ランサムウェア攻撃が急増した2020年前後から急速に普及した。サイバー保険は、事業中断損害、インシデント対応費用、データ復元費用、風評被害に加え、規制罰金、プライバシー賠償責任、契約違反、メディア賠償責任などを補償対象とする。また事前の対策として、セキュリティ意識向上トレーニングや脆弱性評価、机上訓練などを提供するプランもある。

　保険は財務的負担を軽減するが、加入は容易ではない。保険会社やブローカーは過去5年間で大きな損失をかぶっており、保険料の値上げ、一部顧客の引受拒否、さらには市場からの撤退が進んでいる。そのため加入を検討する企業は、免責事項、支払限度額、戦争免責条項、既存障害などの契約内容を精読する必要がある。また保険会社が要求する以下の加入前提条件を理解することが重要だ。

• 多要素認証（MFA）、エンドポイントでの検出と対応（EDR）、パッチ管理などのセキュリティ対策
• インシデント対応計画やセキュリティ教育などのガバナンスプロセス
• システムおよびデータのインベントリ、ログやSIEMデータ、事業継続・災害復旧計画などのドキュメント類い

主な標的

　重要インフラ、教育、医療などの業界が被害に遭うと大きく報道されやすいが、規模や業界を問わずあらゆる企業が標的になり得る。

　Sophosのレポートによると、主要な業界別標的は「中央政府・連邦政府機関」「医療機関」「エネルギー・ライフラインインフラ」「高等教育機関」「金融サービス」「製造・生産」「初等・中等教育機関」「メディア・エンターテインメント・レジャー」「建設・不動産」「流通・運輸」「IT・テクノロジー・通信」「ビジネス・専門職・法務サービス」「地方自治体」である。

対策と予防法

　ランサムウェアの予防はあらゆる企業にとって課題で、単一の決定打となる解決策は存在しない。被害を防ぎ影響を軽減するためには以下のベストプラクティスを実施することが推奨される。

• 多層防御の導入

　マルウェア対策・ウイルス対策ソフトウェア、許可リスト・拒否リスト、ファイアウォール、メールおよびWebフィルタリング、ネットワークトラフィック分析、SIEM、およびゼロトラストネットワークアクセス（ZTNA）やVPNなどの安全なリモートアクセス技術を最低限導入する。RDPやVNCの使用は制限またはブロックする。

• 高度なセキュリティ対策の活用

　XDR（Extended Detection and Response）、MDR（Managed Detection and Response）、SASE、ユーザーおよびエンティティの行動分析（UEBA）、ゼロトラストアキテクチャ、サイバーデセプション（欺瞞（ぎまん）技術）の導入を検討する。

• 強力なアクセス制御の実施

　多要素認証（MFA）と最小権限の原則を徹底する。定期的にユーザー権限とアクセス権の見直しを行う

• ワークロードとエンドポイントの保護：EDR、データ損失防止（DLP）、ブラウザ分離ツールなどを導入する。一括ファイル暗号化やメモリ上での挙動といった、マルウェアの兆候を監視する機能を備えたツールを配置する。USBメモリの使用を検出・監視し、脅威ハンティングを実施する。
• メールとコラボレーションツールの保護

DMARC、DKIM、SPFなどのメール送信ドメイン認証技術を導入し、メールセキュリティゲートウェイを活用する。

• パッチ適用の徹底

　パッチ管理の運用手順に従い、脆弱性への露出を減らす。

• データバックアップの活用

　3-2-1バックアップルールに従い、二次・三次のバックアップ保持を検討する。バックアップをランサムウェアから保護し、主要なIT環境から分離・隔離された状態を確保する。

• インシデント対応手順の見直し

　標準のインシデント対応計画にランサムウェア対策を含め、専用の対応計画を作成する。対応の各段階に応じたプレイブックを作成し、机上訓練を通じて計画の実効性を検証する。

• セキュリティ意識向上トレーニングの実施

　動的で実践的な教育プログラムを提供し、ランサムウェアの識別、予防、回避、発生時の対応方法を含める。

検出方法

　予防のベストプラクティスを徹底していても、攻撃を完全に防ぐことは難しい。専門家は「被害に遭うかどうかではなく、いつ遭うか」という前提で準備すべきだと指摘している。早い段階で攻撃を検出できれば、機密データを探し出されて暗号化や外部送信が行われる前に攻撃者を孤立させて排除できる可能性がある。

• アンチマルウェアツール：既知のランサムウェア変種をデジタル署名に基づいて検出する基本の防御線となる
• XDRやSIEMプラットフォーム：行動の異常を走査し、未知のランサムウェアやシグネチャのない脅威を検知する。異常なファイル実行、ネットワークトラフィック、API呼び出しなどは攻撃進行のサインとなり得る
• デセプション（欺瞞）技術：偽のIT資産をしかけて攻撃者を誘い込み、検知のわなとして機能させる。導入や維持にリソースが必要となるが、誤検知率が極めて低く強力な検出手法となる

攻撃発生時の対応

　予防や早期検出の取り組みに加えて、最悪の事態を想定した計画が必要だ。セキュリティイベントを調査するコアチームと、確認されたインシデントに対応するCSIRT（コンピューターセキュリティインシデント対応チーム）を組織する。

• コアチーム：主にセキュリティ担当者やIT運用スタッフで構成する
• 拡張CSIRT：法的助言者、広報・コミュニケーション担当者、経営陣を含める

　対応計画を作成したら、現実的なシナリオに基づいた机上訓練や脅威モデリングを定期的に実施する。どの段階でどのメンバーがどう介入するか、エスカレーション手順を明確にしておく。

　インシデント発生時には、以下の手順を迅速に実行する。

特定と調査

• コアチームのメンバー全員に通知する
• 可能であればランサムウェアの種類を特定し、攻撃についての情報を収集する
• 環境内での感染範囲を評価する
• 事業機能や財務への影響を評価する
• 感染源を特定する

封じ込め

• 影響を受けたシステムやデバイスをネットワークから切断し、隔離する
• バックアップおよびバックアップサーバの安全を確保する
• 共有データベースやファイル共有の分離を検討する
• 既知のC＆Cドメインのブロックなど、追加措置を実施する

根絶と復旧

• 検出された悪意のあるファイルや成果物を削除する
• バックアップが汚染されていないか確認する
• 感染したシステムやサービスを削除し、再構築する
• クリーンなバックアップデータを用いてエンドポイントを初期化・復元する
• エンドポイント保護ツールが最新化され有効になっているか確認する
• 影響を受けたシステムやOS、ソフトウェアに優先度の高いパッチを適用する
• 再感染の兆候がないか監視を継続する

コミュニケーションと評価

• 計画に従い、社内関係者（従業員や経営陣）および外部関係者（顧客、パートナー、保険会社、警察機関など）へ状況を報告する
• 法的開示義務を順守する
• 対応の経過を記録・ドキュメント化する
• 身代金支払いの可否を検討する。必要に応じて弁護士、保険会社、捜査機関、コンサルタントと相談する
• 全てのシステムやデータ、アプリケーションが正常かつ安全に稼働していることを確認する

主な被害事例

　ランサムウェアは数十年にわたり被害を与え続けている。主な事例は以下の通りだ。

• AIDS Trojan（1989年）

　ハーバード大学出身の生物学者ジョセフ・ポップ氏は、WHOの国際AIDS会議参加者2万人に感染フロッピーディスクを送付した。復号鍵はすぐに発見されたが、最初のランサムウェアとして歴史に記録された。

• CryptoLocker（2013年）

　2010年代に入り、CryptoLockerなどが高度な暗号化アルゴリズムを用いてデータを人質に取る手法を開発し、深刻な脅威となった。暗号資産での支払いを要求した初期の事例でもある。

• WannaCry（2017年）

　150カ国以上で数十万台のコンピューターが感染した大規模攻撃。米国家安全保証局（NSA）が開発しハッカー集団 Shadow Brokers が漏えいさせたエクスプロイト「EternalBlue」が悪用された。Microsoftは攻撃前に修正パッチを配布していたが、未適用のシステムが被害に遭った。

• NotPetya（2017年）

　WannaCryと同様にEternalBlueを悪用したが、実態は身代金を支払ってもファイルを破棄するワイパー（破壊型マルウェア）だった。世界中で推定100億ドルの損害が発生し、海運大手A.P. Moller-Maerskは約3億ドルの損害を受けた。

• REvil（2021年）

　RaaSを運営するREvilグループがIT管理サービス事業者Kaseyaを攻撃。サプライチェーン攻撃により100万台以上のデバイスが影響を受けた。

• Alphv/BlackCat（2024年）

　2024年初頭、FBIによる妨害工作を受けた同グループは医療機関を精力的に攻撃。医療決済大手Change Healthcareへの攻撃により、薬局や病院の業務に広範な混乱が生じた。

　近年では、資金力のある大手企業を標的にする「ビッグゲームハンティング」が急増している。Colonial Pipeline、Caesars Entertainment、MGM Resorts、JBS USA、コスタリカ政府、英国の国民保健サービス（NHS）などが被害に遭っている。

手法の進化と最新の傾向

　1989年にポップ氏がフロッピーディスクを郵送した時代から、ランサムウェアは大きく進化してきた。インターネットの普及に伴い不特定多数を狙う大量送信型へと移行し、近年では特定の大型企業を狙い撃ちする標的型攻撃が主流となっている。

　攻撃急増の背景には以下の要素がある。

• 端末を完全にロックして利用不能にするロッカー型の手法
• 解読が極めて困難な強力な暗号化アルゴリズム
• 匿名での資金移動を可能にする暗号資産の存在
• 専門知識がなくても攻撃を実行できるRaaSの登場
• 1回の攻撃で2度の支払いを迫る二重脅迫（ダブルエクストーション）
• 第3の脅迫手段を組み合わせる三重脅迫（トリプルエクストーション）
• 初期侵入の権利を専門に売買する初期アクセスブローカー（IAB）の存在

AIがもたらすランサムウェアの未来

　生成AIや大規模言語モデル（LLM）の登場により、攻撃の速度と規模が拡大している。攻撃者は以下の用途でAIを活用している。

• 事前調査や情報収集の効率化
• フィッシングメールやソーシャルエンジニアリングの精度向上
• システムの脆弱性の発見とエクスプロイトの作成
• マルウェアのコード作成と実行
• 機密データの自動識別と抽出
• セキュリティ対策の回避行動

　また、ターゲット企業の保険加入状況やバックアップ体制に応じて最適な身代金額を試算したり、チャットボットに交渉を代行させたりする動きも見られる。

　一方で、防衛側もAIを活用した行動分析、自動化されたインシデント対応・復旧、AIエージェントによるエンドポイント保護などを推進している。攻撃側と防御側によるAI技術を駆使した攻防は今後も続いていく。