「なぜうちが？」に答えはない ― 無差別化するサイバー攻撃の恐ろしさ｜Lazuli Executive Briefing 2026.10.22

こんにちは。
Lazuli CEOの萩原です。
いつもLazuli Executive Briefingをお読みいただき、ありがとうございます。

昨今、本当に深刻になっているサイバー攻撃について記事を書きます。

読んでくださっている方々の中でも被害に遭われた企業の方もいらっしゃると思うので、気分を害されたら申し訳ないと思いながらも、これは本当に深刻なもので、誰も対岸の火事ではないこと、デジタル・テクノロジーのExecutiveの方々にはAIトレンド以上に深刻かつ重要なことだと思いますので、すでに重々ご承知の方も多いと思いますが、整理しておきたいと思いました。

数字が示す「過去最多」の連続

世界：四半期ごとに記録を更新

まず世界の状況です。調査会社Comparitechによれば、2026年7〜9月に犯行声明が出されたランサムウェア攻撃は2,627件で、四半期として過去最多となりました。前期比で27%増、前年同期比では61%増です。

業種別に前期と比べると、増加はほぼ全方位に及んでいます。

• 金融：72%増

• テクノロジー：70%増

• 教育：50%増

• 医療：39%増

• 行政：36%増

• 電力・水道などの公益事業：32%増

同社の担当者は、通常は月ごとに上下するはずの数字が、今回は主要業種すべてで大きく伸びている点を「異例」だとしています。

月単位で見ても加速は明らかです。英NCC Groupの集計では、2026年7月のランサムウェア攻撃は894件で前月比22%増となり、年初来最多を記録しました。

複数年で見ると、さらに桁が変わります。

• Trend Microの報告では、確認されたランサムウェアによる侵害は2024年の1,518件から2025年は5,096件へ、235%増加

• Fortinetの2026年版レポートでは、ランサムウェアの被害者数は前年比389%増。同社はAIを活用したサイバー犯罪の拡大を主因に挙げています

• 公開された脆弱性の数も、2026年上半期は前年比51%増（Forescout）。攻撃者が使える「穴」そのものが増え続けています

国別：米国が4割、新興国で急増

7〜9月の攻撃を国別に見ると、最多は米国の1,066件で全体の41%を占め、前期比34%増でした。次いでドイツが121件。増加率ではアルゼンチン（150%増）とインド（116%増）が突出しており、攻撃の裾野が世界中に広がっていることがわかります。

金額：平均9,000万円規模、最大18億円超の要求

7〜9月の身代金要求額は平均で約60万ドル（約9,000万円）でした。

最高額は、スイスの鉄道車両メーカーStadler Railに対する1,230万ドル（約18億円）の要求です。同社は支払いを拒否し、攻撃グループは201GBの窃取データを公開しました。また、ドイツのベルリン州政府は230万ドルを要求され、支払いを拒否した結果、市民の個人情報を含む5.7TBものデータが公開されています。企業だけでなく、自治体も等しく標的になっています。

攻撃者：一部の巨大グループと、急伸する新興勢力

攻撃の主体を見ると、QilinとThe Gentlemenの2グループがそれぞれ7〜9月だけで350件前後の攻撃を主張し、全体を牽引しています。一方で、Clopは前期の1件から48件へ、Direwolfは14倍超へと、一気に活動を拡大したグループもあります。

日本：届け出だけで過去最多、伸び率はアジア最大

① 公的統計：届け出だけで過去最多

警察庁によれば、2026年上半期のランサムウェア被害報告は123件で、統計開始以来、半期として過去最多となりました。うち31件は大企業です。

• 半数超の組織で、復旧に1か月以上を要した

• 9件では事業全体が停止した

• 6割の組織で被害額が1,000万円を超えた

• 攻撃の下見とみられる不審なアクセスは1日約13,700件、前年から約5割増

背後にある犯罪の組織化も数字に表れています。暗号資産を使ったマネーロンダリング関連の検挙は1,945件で37%増え、サイバー犯罪検挙全体の約4分の1を占めました。

② 伸び率：アジアで最大、世界平均を上回る

Check Pointの分析では、2026年3月の日本への攻撃は1組織あたり週平均1,723件、前年同月比42%増で、アジア太平洋地域で最大の伸び率でした。Forescoutも、日本へのランサムウェア攻撃の伸び（39%増）が世界平均（25%増）を上回り、被害国ランキングは2年前の28位から14位に上がったと報告しています。

③ 被害の実態：4割超の企業が感染を経験

JIPDECが国内企業1,107社を対象に行った調査では、ランサムウェアの感染経験は45.8%にのぼりました。従業員300人以上の企業の被害割合は5,000人以上の大企業とほとんど変わらず、規模を問わず狙われていることがわかります。

被害の中身も重くなっています。

• 復旧期間：最も多いのは「1週間〜1か月」（34.7%）だが、1か月以上かかった企業も3社に1社

• 被害額：1億円以上が15.6%、うち10億円以上も4.3%

• 影響：最多は「復元不能なデータの喪失・破損」（51.3%）。次いで業務停止（36.7%）、顧客・取引先情報の漏えい（35.1%、前回から5.8ポイント増）

特に経営として目を留めていただきたいのが、身代金の効果です。同調査で身代金を支払った222社のうち、139社はシステムやデータを復旧できていません。払っても戻らないケースの方が多いのです。

④ 金額：身代金も復旧コストも跳ね上がる

Sophosが被害を受けた国内152組織を調べた2026年版レポートでも、悪化ははっきりしています。

• 身代金要求額の中央値は175万ドル（約2.6億円）で、前年の100万ドルから75%増。要求の6割超が100万ドル以上

• 身代金を除いた復旧コストの平均は188万ドル（約2.8億円）で、前年の67万ドルから約3倍に

• 復旧に1〜6か月かかった組織は23%で、前年の16%から増加

• データが暗号化された攻撃のうち36%ではデータも窃取されており、前年の21%から大きく増加

侵入経路はフィッシング（26.3%）、不審メール（25.7%）、認証情報の悪用（25%）がほぼ並びます。被害組織の74%が、ランサムウェア被害は「なりすまし（ID）攻撃」と同一の事案だったと回答しており、IDの防御が実質的な最前線になっています。

⑤ 狙われているのは製造業

Halcyonのレポートでは製造業が2年連続で最多業種となり、自動車、産業機械、電子機器、半導体といった日本の基幹産業に被害が集中していると指摘されています。Cisco Talosの分析でも、業種別では製造業が34%で、2位の3倍以上でした。

また、日本の製造業の多くは、グローバルなサプライチェーンの一部です。1社の停止は、取引先の大企業の生産やデータに影響が大きく波及します。

進化する攻撃ストラテジー

ご理解している方も多いと思いますが、改めて。

ひとことで言えば、「入る」「居座る」「逃げ道を断つ」「止める」「搾り取る」の5段階を、分業とAIで効率よく回すのが今の攻撃の型です。経営者の視点で押さえておくべき粒度で説明します。

段階1：入る（初期侵入）

攻撃者が最初に探すのは、技術的に難しい穴ではなく「楽に入れる入口」です。

• VPNなど境界機器の脆弱性：最も典型的な入口です。Cisco Talosの分析では、日本での攻撃はVPNの脆弱性、設定ミス、盗まれた認証情報が中心で、未知の脆弱性ではありません。
  The Gentlemenは、FortiGateやCiscoなどの外部公開機器を悪用しているとされます。つまり「パッチを当てていない」「使っていない機器が開いたまま」が狙われます。

• 保守用回線：取引先やベンダーが保守に使うリモート接続は、管理が手薄になりがちです。国内でも、保守用VPN経由で侵入され約13万人分の個人情報が漏洩した病院の事例があります。

• フィッシングと認証情報：Sophosの国内調査では、侵入の原因はフィッシング（26.3%）、不審メール（25.7%）、認証情報の悪用（25%）がほぼ並んでいます。AIで自然な日本語の文面が作れるようになったことが、ここを押し上げています。

• なりすまし：経営幹部やIT担当者の声をAIで再現してなりすます攻撃がすでに深刻な問題になっています。北朝鮮系の攻撃者は、偽の採用試験やディープフェイクを使って内部に入り込む手口も使っています。

重要なのは、侵入する人と、身代金を取る人が別だということです。侵入口だけを専門に見つけて売る「イニシャルアクセスブローカー」がいて、ランサムウェアの実行役はその入口を買います。

段階2：居座る（偵察と権限奪取）

入ってすぐに暗号化することはまずありません。数時間から数週間、静かに内部を調べます。

• 社内ネットワークの構造、重要なサーバー、バックアップの場所を把握する

• 社内の権限を管理するActive Directoryを調べ、管理者権限を奪う

この段階が見つかれば被害は防げますが、正規のIDで動くため検知が難しいのが実情です。Sophosの調査で、国内被害組織の74%がランサムウェア被害を「最も深刻なID攻撃と同じ事案」と答えているのはこのためです。

段階3：逃げ道を断つ（バックアップの破壊）

ここが現代の攻撃の最も「戦略的」な部分です。被害企業がバックアップから復旧できてしまえば身代金は取れないため、暗号化の前にまずバックアップを潰します。

Cisco Talosが国内で多数の被害を出しているQilinの関連環境から発見したツールには、バックアップソフト（Veeam）を無効化するものや、Active Directoryの仕組みを使って全社のPCに破壊プログラムを一斉配布するものが含まれていました。これらはAIの支援で作られた可能性が高いと評価されています。手法自体は以前からあるものですが、経験の浅い実行役でもこうしたツールを短時間で用意できるようになっています。

段階4：盗んでから止める（窃取と暗号化）

• まず重要データを外部に持ち出す

• その後、管理者権限を使って全社のシステムを一斉に暗号化する

暗号化は、担当者が手薄になる週末や連休中に実行されることが多いとされます。気づいたときには全社が止まっている、という状況をつくるためです。

段階5：搾り取る（多重恐喝）

身代金の取り方も段階的に強化されています。

1. 暗号化：「元に戻したければ払え」

2. 情報暴露：「払わなければ盗んだデータをリークサイトで公開する」

3. 関係者への恐喝（三重恐喝）：被害企業の顧客や取引先にまで直接要求する。南アフリカのIT企業が身代金を支払った後、その顧客がリークサイトに掲載された事例があります

4. さらに最近は、身体的な危害をほのめかす脅迫まで増えていると報じられています

交渉役は専門のスタッフで、被害企業の財務状況を調べたうえで「払える額」を提示してきます。払っても約束が守られる保証はなく、JIPDECの調査でも、身代金を支払った国内企業の過半がシステムやデータを復旧できていません。

攻撃戦略の裏にある「経済合理性」

全体を通して見ると、攻撃者は徹底して投資対効果で動いています。

• 入口は自動で大量に探す：インターネット全体をスキャンし、穴の空いた組織に機械的に当たる。だから無差別になる

• 防御の弱いところから狙う：Cisco Talosの分析では、国内被害の78%が資本金10億円未満の企業でした。大企業そのものより、そのサプライチェーンにいる中小企業の方が入りやすい

• インフラは使い捨て：警察庁の分析では、フィッシングメールの送信元の多くが1〜3日しか使われておらず、攻撃側は短期間で基盤を切り替えています

• AIで手間を削る：AIは新しい攻撃手法を生み出すというより、既存の手法を「誰でも、速く、大量に」実行できるようにしています

「無差別」の恐ろしさ

無差別というと「運が悪ければ当たる」程度に聞こえますが、実態はもっと深刻です。

① 「なぜうちが？」に答えがない

狙われた理由が存在しません。有名だから、儲かっているから、ではなく、「穴が開いていたから入った。」Cloud Security Allianceは、日本の中小企業への被害集中について、意図的な標的化なのか、単に数の多い層に当たっているだけなのか、データからは区別できないと述べています。言い換えれば、「うちは狙われるような会社ではない」という自己評価は、リスク判断として意味を持ちません。

② 一度入られたら、何度も売られる

侵入口は複数の買い手に売られることがあります。ある買い手がデータを盗んだ後、その入口を別の犯罪者に転売し、次の買い手がランサムウェアを仕掛ける、ということも起きます。侵入口が売りに出された時点で、その組織はすでに一度被害者であり、次の被害に向かっているという指摘もあります。業者が侵入した数か月後に、買い手が実際の攻撃を始めるケースもあります。「気づいていない侵入」がすでにあるかもしれない、ということです。

③ 被害の大きさと、攻撃者の関心は無関係

攻撃者は相手の社会的役割を気にしません。病院、学校、自治体、電力・水道。前回お伝えしたとおり、2026年7〜9月は医療で39%増、公益事業で32%増でした。攻撃者にとっては1件の「案件」でも、被害側では人命や地域生活に関わります。

④ 1社の被害が、取引先全体を止める

 日本の中小製造業の多くはグローバルなサプライチェーンの一部で、資本力の乏しい1社の停止が、はるかに大きな取引先の生産遅延やデータ流出に波及しうると指摘されています。自社が万全でも、取引先経由で止まる。逆に、自社が取引先を止める「加害者」にもなります。

⑤ 防御が進むほど、攻撃は広がる

 これが最も逆説的な点です。大企業が支払いを拒否し、対策を強化するほど、攻撃者は防御の手薄な層へ数で押し寄せます。業界全体の防御が上がるほど、対策が遅れている企業にリスクが集中する構造です。

⑥ 敵が見えない

 2025年には活動中の恐喝グループが85に増え、以前のように少数の大手が支配する市場ではなくなりました。前回お伝えしたとおり、日本でも1年で主要グループがほぼ入れ替わっています。相手を研究して備えることが極めて難しくなっています。

「起きたとき」をどう設計するか

ここまで読んでくださった皆さんには、対策の中身について改めて書くまでもないと思います。

日々この問題と向き合い、すでに多くの手を打たれていると思います。

なので、ここでは細かな施策ではなく、私自身が改めて確認した論点だけを短くまとめておきます。

• 論点を「防ぐ」だけでなく「立ち直る」へ：攻撃は組織化され、AIで自動化され、無差別に行われている。発生確率はゼロにならない

• 入口を塞ぐことは、それ自体が抑止になる：数を打つ攻撃者は、手間のかかる相手を後回しにする

• 勝負は暗号化の前の数時間：深夜や休日に、誰が気づき、誰が止める判断をするのか。一度やられるだけで終わらない前提で常に監視する体制を作れるか

• 「戻せる」ことが最大の交渉材料：払っても戻らないケースの方が多い。戻せる仕組みと訓練が大事。ただし個人情報はその範囲をはるかに超える苦労がある

• 自社の境界は、サプライチェーン全体：守られる側にも、波及させる側にもなりうる

すでに被害を経験された方の知見は、これから備える企業にとって何より貴重です。

差し支えない範囲で、復旧の過程で得た教訓などをお聞かせいただけるようでしたら、ぜひそのご苦労を教えてくださればありがたいです。