ランサムウェアが加速している――しかし原因はAIではない

ランサムウェアは単に増加しているだけでなく、実際に加速しています。2025年10月から2026年3月にかけて活動が急増し、60を超える新たなグループがますます混雑を増す犯罪エコシステムに参入しました。

企業にとってこの急増は、単に攻撃件数が増えるだけでなく、追跡・防御すべき攻撃者の母集団がより大きく、絶えず変化し続けることを意味します。

インシデント件数が25%増加

Black Kiteは2025年4月1日から2026年3月31日までのランサムウェアインシデントを分析し、世界中で7,551件の既知の被害者を特定しました。これは前12カ月間と比べて25%の増加であり、その伸びの大部分は年後半に集中していました。Black Kiteの集計では、2025年4月から9月にかけての被害者数は2,904件、2025年10月から2026年3月にかけては4,647件で、報告されたランサムウェア被害者数は60%増加したことになります。最も件数が多かったのは2026年3月で、最大861の組織――1日あたり約28件――がランサムウェア攻撃の被害に遭いました。

「これは我々が封じ込められている問題ではありません」と、Black Kiteのチーフリサーチ・インテリジェンス責任者であるFerhat Dikbiyik氏は述べています。「今もなお儲かるビジネスであり、参入障壁はますます下がり続けています」

Black Kiteは、攻撃件数の増加を複数の要因の組み合わせによるものだとしています。ランサムウェアエコシステムの断片化、数十に及ぶ新規グループの出現、そして防御体制の手薄な中小組織への攻撃拡大などです。同社はまた、OracleやSalesforceが関与した事案のようなサードパーティ・サプライチェーン侵害についても指摘しており、攻撃者が単一の侵害を複数被害者にまたがるキャンペーンへとてこの原理のように利用できる点を挙げています。「Qilinのようなグループは、単一攻撃の姿を再定義しました。1件の[マネージドサービスプロバイダー、MSP]の侵害が韓国の金融機関32社に波及した例があります」とDikbiyik氏は指摘します。「1つのベンダーから、数十の被害者が生まれるのです」

多くの被害者に外部から見える弱点があった

Black Kiteが明らかにした一貫したパターンの一つは、多くの被害者がランサムウェア感受性指数(RSI)スコアで高い値を示していたという点です。これは同社が、露出した認証情報や未パッチの脆弱性といった外部から見える要因に基づいて、組織のランサムウェア攻撃に対する露出度を評価するために用いる指標です。調査期間中、RSIが0.8を超える企業のうち約41%がランサムウェアインシデントを経験した一方、スコアが0.2未満の組織ではわずか0.14%にとどまりました。被害者の90%以上が、攻撃を受ける直前にRSIスコアの顕著な急上昇を示していました。

感受性の高さは、露出度と素因の2つに帰結するとDikbiyik氏は指摘します。「露出度とは外部から見えるもの――設定ミス、露出したリモートアクセス、クレデンシャルスタッフィング、スティーラーのログなどです」と同氏は言います。「素因とは、その組織が何者であるか、所在地域、業種、収益規模、デジタルフットプリントの大きさを指します」。ほとんどの被害者は、特別に脆弱だったから侵害されたわけではない、とDikbiyik氏は付け加えます。「彼らが侵害されたのは、外部から見えやすく、露出しており、攻撃者が既に探していた条件に合致していたからです」

これまでもそうであったように、製造業は依然としてランサムウェア攻撃者の最大の標的であり続けており、1,660件の被害を占めました。それに僅差で続いたのが、専門・科学・技術サービス分野の1,389組織です。建設業は3番目に標的とされたセクターとして浮上しました。被害者の半数近く(49.3%)は米国拠点の組織でしたが、増加率で見ると欧州でのランサムウェア攻撃が米国を上回るペースで伸びていました。

大企業は依然として大きな標的であり続けているものの、もはや件数増加の主な牽引役ではなくなっている、とBlack Kiteは明らかにしました。むしろ活動の多くは、収益5,000万ドルから1億ドル規模の組織や、100万ドルから500万ドル規模の組織の間で発生しており、攻撃者にとって「標的として小さすぎる」企業は存在しないことを意味しています。

この分野の「民主化」なのか?

Qilin、Everest、Cl0p、World Leaksといった既存の大手脅威グループは引き続き被害者数を積み上げ、主に米国拠点の組織を標的としていました。一方、より小規模で新興のグループは、被害者の大半を欧州、南米、アフリカ、アジア、中東で獲得していました。AIがランサムウェアインシデントを加速させたわけではありませんが、技術力の低い脅威アクターがこの世界に参入しやすくしたことは確かです。ただし、必ずしも長く活動を続けられるわけではありません。Black Kiteが2025年4月から9月にかけて活動を開始したと観測したランサムウェア活動の中央値は、わずか4.9カ月で活動を停止していました。Black Kiteは現在活動中のランサムウェアグループの総数を146と推計しており、3月時点の127から増加しています。

最も驚くべき点は、ランサムウェアの件数増加が、新種の攻撃者を必要とすることなく起きているということだ、とDikbiyik氏は言います。「オープンソースのLLMやコードエージェントは、独自のオペレーションを構築するコストを引き下げました。暗号化ツールにAI支援によるコードが使われている初期の兆候も見られました」と同氏は述べます。ただし、AIがランサムウェア攻撃の加速を直接もたらしたかどうかは断定しにくいといいます。「はっきり言えるのは、この増加は人為的なものだということです。AIは単により多くの人々を一度に参入させただけなのです」

憂慮すべきことに、ランサムウェア攻撃の被害者の多くは、繰り返し被害に遭うリスクを全体的に低減するための対策をほとんど講じていないようです。Dikbiyik氏はこれを、被害者が標的にされた根本原因に対処することなく、インシデントを急いで収束させようとしている兆候だと見ています。

「私からのアドバイスは、インシデント発生後の期間を『終わった案件』ではなく『継続中の取り組み』として扱い、30日目、60日目、90日目に体系的な露出レビューを実施することです」と同氏は述べます。また、CVSSスコアのみに頼るのではなく、実際に悪用されているものを優先すること、そしてベンダーやSaaS(Software-as-a-Service)との関係にも可視性を広げ、継続的な監視を実施することを推奨しています。