多要素認証導入済みでもランサムウェア被害に 復旧費用は平均2億7000万円：被害企業の2割でセキュリティリーダーが交代

MFAを導入していればサイバー攻撃を防げるわけではない。Sophosによると、認証情報の侵害を許した被害企業の97％がMFAを有効化していたにもかかわらず、侵入を許している。被害を防ぐために見直すべきポイントとは。

[TechTargetジャパン]

　企業を悩ませるランサムウェア攻撃は、AI技術の台頭によって新たな局面を迎えている。サイバーセキュリティ企業のSophosは、調査レポート「ランサムウェアの現状2026年版」を発表した。本調査は、過去12カ月間に被害を受けた世界17カ国・15業界の企業（従業員数100〜5000人規模）におけるITおよびサイバーセキュリティ担当の意思決定者2158人を対象として、2026年1月〜3月に実施したものだ。

　同レポートによると、攻撃の初期侵入経路の79％が「乗っ取られたID」であることが判明した。2023年以降、攻撃の最大の起点となっていたのは「システムの脆弱（ぜいじゃく）性の悪用」だったが、本調査では4年ぶりにその傾向が変化した。代わりに「悪意のあるメール」（26％）と「フィッシング」（24％）が根本原因の首位になっている。AI技術を活用した攻撃の自動化や巧妙化が進む中、攻撃者はより突破しやすい従業員のIDやメールシステムへと標的を移している。

　巧妙化する攻撃の手口と、それに対抗する企業の復旧能力の実態をレポートから読み解き、企業が取るべき具体的な防衛策を解説する。

身代金は減少も復旧費用は170万ドルに悪化

併せて読みたいお薦め記事

サイバー攻撃の傾向

• アサヒGHDも標的に　被害1200％増のランサムウェア集団「Qilin」急拡大の裏側
• 製造業が5年連続で狙われる“真の理由”　IBM調査が暴いた、供給網の致命的な「穴」

　ランサムウェア攻撃が成功した場合の被害は依然として甚大だ。レポートによると、ランサムウェア攻撃を受けた企業の56％がデータの暗号化を許している。この数値は2024年から減少傾向にあったが、再び増加に転じた。攻撃を受けた企業全体の16％は、データの暗号化だけではなく窃取もされており、多重脅迫の実態が浮き彫りになっている。

　攻撃の起点が変化したとはいえ、システムの脆弱性が放置されているわけではない。ファイアウォールの脆弱性を悪用された場合の身代金要求額は、59％のケースで100万ドル（約1億6000万円）以上に達している。調査対象全体における100万ドル以上の要求割合は48％にとどまっており、境界防御が突破された場合、ネットワーク深部へのアクセスを許し、より高額な身代金を要求されるリスクが高まることが分かる。

　一方で、企業の復旧体制にも向上の兆しが見られる。データを暗号化された企業のうち、身代金を支払った割合は48％となり、2023年の調査に次いで低い水準となった。

　身代金を支払った企業のうち、51％が攻撃者の当初の要求額を下回る金額で交渉を成立させている。実際の身代金支払い額の中央値も76万9000ドルとなっており、2025年の調査（100万ドル）から大幅に低下した。これは、企業が事前のインシデント対策計画を整備し、攻撃者との交渉において戦略的に対処できるようになった結果といえる。

　バックアップを活用した復旧の割合も高まっている。暗号化されたデータをバックアップから復旧した企業は66％に達し、2025年の54％から大きく改善した。復旧に要する時間についても、55％の企業が1週間以内に復旧を完了させており、16％は1日未満で事業を再開している。

　しかし、身代金への支払いが減ったからといって、全体の被害額が減少したわけではない。ダウンタイムによる機会損失やシステム再構築などを含めた平均復旧費用は170万ドル（約2億7000万円）に達し、2025年比で増加している。攻撃を一度でも許せば多大な経済的損失を被る事実に変わりはない。

クラウドサービスの盲点とMFAの限界

　レポートでは、認証情報の侵害がどこで起きたのかも分析している。外部に公開されているアプリケーションやシステムが最も多く（38％）、次いでエンドユーザーのデバイス（30％）、ファイアウォール（21％）となっている。特に外部公開システムにおける認証情報侵害は59％に上り、クラウドサービスへの移行に伴って拡大する攻撃対象領域の管理が急務であることを示している。

　認証情報が侵害された企業の97％が、多要素認証（MFA）を導入していた点も特筆事項だ。具体的な認証手法としては、ワンタイムパスワード（52％）、プッシュ通知アプリケーション（51％）、パスキー（51％）などがあり、1社当たり平均2.5種類の手法を併用していた。MFAを導入していても、一部のシステムで適用が漏れて攻撃の隙を生んだり、MFAを回避（バイパス）する攻撃技術が進化したことで、「MFAの導入単体」では認証情報に基づく攻撃を防ぎ切れない実態が浮き彫りになった。

セキュリティチームへの精神的影響

　ランサムウェア攻撃の余波は、経済的損失だけではなく、復旧作業に当たる従業員の精神面にも及んでいる。データを暗号化された企業の99％が、ITおよびサイバーセキュリティチームに持続的な悪影響を及ぼしたと回答した。具体的には「将来の攻撃に対する不安やストレスの増加」（41％）、「経営陣からのプレッシャーの増加」（40％）などが挙げられている。被害を受けた企業の21％では、サイバーセキュリティのリーダー層が解任される事態にまで発展している。

　唯一ポジティブな変化としては「経営陣からの評価の向上」が36％と、2025年の31％から増えている。深刻なインシデントを通じて、サイバーセキュリティの重要性が経営課題として再認識され、適切な人員やツールへの投資につながるケースもあるようだ。

AI時代に向けた多層防御の再構築

　Sophosの最高情報セキュリティ責任者（CISO）であるロス・マッカーチャー氏は、「企業は2025年から2026年の間でランサムウェアに対する耐性を強化しており、その投資はおおむね成果を上げている」と述べる。その一方で、「監視されていないオープンウェイトAIモデルの進化によって、攻撃者はソフトウェアの脆弱性を発見・悪用する上で、ますます優位に立つだろう」と警鐘を鳴らす。

　企業が今後取るべき防衛策は、単にMFAを導入するだけにとどまらない。全てのアクセスポイントに対して例外なくMFAを適用することに加え、例外を排除する継続的な監査が求められる。メールとフィッシングが主要な侵入経路である以上、技術的なフィルターの導入だけではなく、従業員に対する継続的な啓発トレーニングが不可欠だ。

　AI技術によって攻撃のスピードと規模が拡大する中、企業もAI技術を活用した自動化や、24時間体制での脅威検出・防御サービスを組み合わせた包括的なサイバーセキュリティ戦略の構築が急務になっている。