Black Kiteの新たな調査によると、2023年以降にランサムウェアの被害に遭った組織のうち、実に4分の3近くが年間売上高1,000万ドルから10億ドル規模の中堅企業だったことが分かりました。
このサードパーティリスク専門企業は、2023年1月まで遡って開示済みのインシデント13,336件を分析するとともに、中堅企業120,128社を対象とした別のセキュリティスキャンも実施し、新たな報告書Mid-Market Is the Routing Targetとしてまとめました。
8月18日に公開されたこの報告書は、市場規模の定義にDun & Bradstreetの売上高基準を採用しています。具体的には、下位中堅市場を1,000万ドルから5,000万ドル、中核中堅市場を5,000万ドルから5億ドル、上位中堅市場を5億ドルから10億ドルとしています。
報告書によると、北米および欧州で発生したランサムウェア攻撃の73%が年間売上高1,000万ドルから10億ドルの企業を標的にしていました。2023年から2025年にかけてインシデント件数が44%増加したにもかかわらず、この割合はほとんど変わっていません。
ランサムウェア関連の関連記事: Verizon DBIR、中小企業がランサムウェア攻撃の矢面に
調査対象期間全体を通じて、中堅企業の被害者のうち最も大きな割合を占めたのは下位中堅市場（54%）でした。実数で見ると、被害者数は2024年の1,391件から2025年には1,821件に増加しています。
中核中堅市場は、期間全体で被害者数が2番目に多く、3年半の間、その割合は40%から45%の範囲で推移しました。
この区分の被害者数は2024年から2025年にかけて970件から1,474件に増加した一方、上位中堅市場では2023年の126件から2025年には45件へと、65%の減少を見せています。
北米（72%）は欧州（28%）よりも多くのインシデントを占めており、欧州の中では英国企業が最も標的にされやすい傾向にありました。
セキュリティ態勢のギャップ
製造業は脅威アクターにとって圧倒的に人気の高い標的であり、中堅企業のランサムウェア被害者の26%を占めています。これに続くのが専門・科学・技術サービス業、そして建設業です。
製造業は一般的に操業停止への許容度が低く、機密性の高い情報を保有しているため、攻撃対象として魅力的とされています。
業界団体Make UKが8月に公表したデータによると、英国の製造業者の約3分の1（30%）が、過去1年間に自社またはサプライチェーンを通じて何らかのサイバーインシデントを経験していました。
一方、4月に公表されたESETの別のデータによれば、昨年サイバーインシデントに見舞われた英国の製造業者のうち、ほぼ全て（95%）が事業への直接的な影響を認めており、過半数（53%）が結果として金銭的損失を被ったことが明らかになっています。
サプライチェーンの混乱（44%）や、顧客・サプライヤーとの約束を果たせなかったケース（39%）も一般的に見られました。
Black Kiteが12万社を超える中堅企業のセキュリティ態勢を分析した結果、ランサムウェア侵害につながりかねないいくつかの脆弱性が明らかになりました。主な調査結果は次の通りです。
- 4分の1超（28%）が、既知の悪用済み脆弱性（KEV）を少なくとも1件保有
- 半数超（55%）が、公開向けソフトウェアにおいて重大なパッチ管理上の指摘事項を少なくとも1件保有
- 半数近く（48%）が、CVSSスコア8.0以上の開示済み脆弱性を少なくとも1件保有
- 3分の1近く（32%）が、スティーラーログの検出事例を少なくとも1件保有
- 半数近く（47%）が、DMARC保護が未設定または不十分
Black Kiteは、AIの普及が進むにつれて、こうした企業のセキュリティチームが直面する課題はさらに増大していくと指摘しています。
報告書は次のように述べています。「AIによって新たな脆弱性の発見スピードは加速しており、その件数は小規模チームが手作業では選別しきれない水準に近づきつつあります。実際に悪用される脆弱性はそのごく一部に過ぎませんが、自社システムとサプライヤーの双方にまたがってその一部を見つけ出す作業こそ、中堅企業のチームには到底手が回らない仕事なのです」
翻訳元: https://www.infosecurity-magazine.com/news/threequarters-ransomware-attacks/
