警察庁が公表した令和7年のサイバー情勢から、ランサムウェア被害の実態を整理。被害は 226 件で、侵入経路は VPN 機器が 6 割以上。復旧費用と期間、BCP の策定率、攻撃の流れのどこで止められるかを、情報処理安全確保支援士試験の観点から読み解きます。
警察庁が令和8年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、ランサムウェアを特集の一つに据えています。令和7年の被害報告件数は 226 件。報告書は「依然として高水準」と表現し、長期にわたって企業活動が止まり、国民生活にまで影響した被害が複数あったと述べています。このコラムでは数字を追うだけでなく、どこで止められたのかを防御側の目で整理します。
| 項目 | 報告書の記載 |
|---|---|
| 被害報告件数 | 226 件 |
| 被害企業の規模 | 中小企業が約 6 割 |
| 業種 | 製造業が約 4 割。続いて卸売・小売業、サービス業、情報通信業 |
| 侵入経路 | VPN 機器が 6 割以上（被害組織へのアンケート） |
| 復旧費用 | 総額 1,000 万円以上を要した組織が 5 割超 |
| 復旧期間 | 1 か月未満で復旧できた組織は 5 割強にとどまる |
| BCP | サイバー攻撃を想定した業務継続計画を策定済みの組織は約 18% |
目を引くのは侵入経路です。報告書は、近年は「インターネットに露出した箇所から遠隔操作で内部に侵入する手口が多くを占め」、標的型攻撃メールの添付ファイルによる感染は少なくなっていると書いています。入口として悪用されるのは、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備です。メールを開かせる攻撃への教育だけでは、主要な入口を塞げていないことになります。
報告書は代表的な流れを、侵入 → 管理者権限の奪取とセキュリティの無効化 → 内部の探索と重要データ・バックアップの物色 → データの窃取 → 暗号化（バックアップも一緒に）→ 脅迫状による要求 → 痕跡の消去、と整理しています。防御側から見ると、各段に別々の手当てが要ります。一つを厚くしても、他が空いていれば通られます。
| 段階 | 防御側の手当て |
|---|---|
| 侵入 | VPN 機器の更新を最優先で適用する。認証を多要素にする。使っていないアカウントを残さない |
| 権限の奪取 | 管理者権限を日常的に使わない。特権アカウントの利用を記録し、見る |
| 内部の探索 | ネットワークを分け、入った先から届く範囲を絞る。横の動きを検知する |
| 窃取 | 外向きの大量の送信に気づけるようにする |
| 暗号化 | バックアップを切り離して保管し、書き換えられない形にする。戻す手順を訓練しておく |
最後の段が特に重い意味を持ちます。報告書は「復旧を妨害するため、バックアップも一緒に暗号化される場合が多い」と書いています。同じネットワークから書き換えられる場所にあるバックアップは、攻撃者にとっても手の届く場所です。バックアップを取っていること自体ではなく、攻撃を受けた後にそこから戻せるかどうかが問われます。
報告書は、令和7年9月に飲料メーカー大手が、同年10月に通販大手が、それぞれランサムウェアによる攻撃を受けたと公表した事例を挙げています。前者は、当該企業の調査によれば、攻撃者がグループ内のネットワーク機器を経由してデータセンターのネットワークに侵入し、複数のサーバのデータを暗号化したとされます。製品の受注・出荷が止まり、顧客や従業員等の個人情報約 191 万件が漏えい又はそのおそれがあるとしています。
後者は、攻撃者が認証情報を窃取して複数のサーバにアクセスし、ランサムウェアを実行したとされます。受注・出荷に影響が出たほか、個人情報約 74 万件について漏えいのおそれがあると判明した、と記載されています。二つの事例は入口が異なりますが、どちらも「入られた後に、複数のサーバへ届いてしまった」点で共通しています。なお、このコラムでは報告書にならい、企業名は記しません。
報告書は、データを窃取したうえで「支払わなければ公開する」と迫る二重恐喝が被害の多くを占めること、さらに暗号化をせずに窃取だけで公開を予告する手口も発生していることに触れています。暗号化されなければ業務は止まりませんが、情報は出ていきます。バックアップからの復旧だけでは片付かない種類の被害です。
もう一つの論点が業務継続計画です。サイバー攻撃を想定した BCP を策定済みの組織は約 18% でした。報告書は、ランサムウェアによる暗号化は地震のような物理的な災害とは被害の状況が異なり、調査・復旧作業や広報の在り方も違う対応が求められると指摘しています。災害用の BCP を流用するだけでは足りない、ということです。