ランサムウェアの被害実態を知る

相次ぐランサムウェアの被害
アサヒグループホールディングスがランサムウェアグループ「Qilin」からランサムウェア攻撃を受けました。これによりアサヒビールやアサヒ飲料、アサヒグループ食品といった主要なグループ会社が大きな打撃を受けたことについて、メディアによる報道を通じて皆さんはご存じだと思います。また、同様にアスクルもランサムウェアの攻撃を受けました。こちらは「RansomHouse」というグループが犯行声明を出しているようです。アスクルに関しては、ASKUL LOGISTに配送を委託している良品計画などにも影響が出ているようです。

ランサムウェアの被害件数は横ばいだが要注意
警視庁は、国内におけるランサムウェア被害の報告件数を発表しています。グラフの通り2020年頃から増え始め、2022年上期には100件を超えました。毎年200件を超える被害が生じています。また同庁は2023年上期より「ノーウェアランサム」の被害件数を切り出しており、件数こそ少ないですが、被害が確認されています。一見するとランサムウェアの被害件数が横ばいになっているため、今後も同じレベルで推移するのではと思うかもしれません。しかしながらアサヒグループホールディングスやアスクルの被害事例が大きく取り上げられていますので、絶好のチャンスとばかり日本企業が狙われる機会が今後増えるのではないかと私は危惧しています。

最も被害件数が多いのは製造業
警視庁は業種別での被害件数も公開しています。2025年上期の116件のうち、製造業が半数弱の52件とトップです。次いで卸・小売業16件、建設業12件、情報通信業11件、サービス業8件となっています。データからは製造業が最も狙われやすいようですが、想定される理由として、サプライチェーン全体への影響が大きい点があるのではないでしょうか。また製造業は他の業種と比較してひょっとするとIT武装が脆弱である可能性も想定されます。とはいえ製造業以外も幅広く被害は確認されていますので、業種に関係なく大きなリスクとして捉えておく必要があるでしょう。

中小企業の被害件数は大企業の2倍以上
なお、警視庁は被害件数を企業規模別でも集計し公開しています。2025年上期の116件のうち、大企業は35件ですが、中小企業はなんとその2倍以上の77件となっています。またわずかですが団体等が4件となっています。ランサムウェアは入手したデータを「人質」として金銭を要求するサーバー攻撃の手段ですので、イメージ的には資本力のある大企業が狙われやすいと思うでしょう。しかしながら実態は必ずしもそうではなく、中小企業が狙われやすいようです。被害を受けた大企業が公表していないことも考えられますが、中小企業の場合「ランサムウェアの影響が経営に大きく影響しやすく安易に身代金を支払ってしまうのでは」と犯罪側が考えているかもしれません。

テレワーク環境に注意
警視庁は、ランサムウェアによる犯罪の特徴として「RaaS（Ransom as a Service）」と呼ばれるビジネスモデルが確立している点を挙げています。いわゆるSaaSの一形態ですので、知識が未熟な人間でも簡単にランサムウェアの犯罪を企てることができる環境があるということです。また同庁の発表では、ランサムウェアの感染経路はVPN機器やリモートデスクトップからの侵入が大半のようです。つまりテレワークの環境が狙われやすいということです。いずれにせよ、ランサムウェアは企業にとって脅威であり続けますので、業種や企業規模に関係なく、大きな経営リスクとして認識すべきでしょう。

ランサムウェア被害の報告件数の推移（半期毎）