Black Kiteによると、2023年1月から2026年6月までの期間に北米および欧州で公表されたランサムウェアおよびデータ恐喝インシデントのうち、売上高が判明しているものの73%を中堅企業が占めていることが分かりました。
今回の分析では、売上高が判明している13,336件のインシデントを対象としており、中堅企業は年間売上高1,000万ドルから10億ドルの企業と定義されています。この期間を通じて中堅企業が占める割合は72%から75%の間で推移しており、この市場セグメントを狙った攻撃が一貫した課題であることを示しています。
中堅企業の被害者のうち半数以上は、年間売上高が1,000万ドルから5,000万ドルの範囲にありました。業種別では製造業が最も被害を受けており、中堅企業の被害者全体の4分の1以上を占め、これに専門・科学・技術サービス業、建設業が続きました。
売上高セグメント別の中堅企業ランサムウェア分布(出典:Black Kite)
ランサムウェアが最も狙う小規模な中堅企業
ランサムウェアグループは、企業システムへの侵入経路となり得る弱点を探しています。パッチが適用されていないソフトウェア、既知の脆弱性、盗まれたログイン情報はいずれも攻撃者に侵入の糸口を与える可能性があります。
12万社を超える中堅企業を対象とした評価によると、54.7%が外部公開システムに影響を及ぼす重大なパッチ管理上の問題を少なくとも一つ抱えていました。また4分の1以上の企業が、すでに攻撃者による悪用が確認されている脆弱性を保有していました。
盗まれた認証情報も、企業システムへの侵入経路の一つとなっています。監視対象組織のおよそ3分の1が、情報窃取型マルウェアによって収集された認証情報が含まれる「スティーラーログ」に関する検出結果を少なくとも一つ有していました。攻撃者は盗んだログイン情報を使ってアカウントにアクセスしたり、ネットワーク内を移動したり、さらなる攻撃の準備を進めたりすることができます。
セキュリティチームにとっての課題は、どの弱点から優先的に対処すべきかを見極めることです。新たな脆弱性が次々と発見される一方で、中堅企業では調査・修正に充てられる人員が限られている場合が少なくありません。
AIが脆弱性の発見・悪用のあり方を変える
AIはソフトウェアの脆弱性を発見・分析する速度を加速させており、攻撃者側も同様の能力の多くを利用できるようになっています。セキュリティチームはAIを活用することで脆弱性をより迅速に特定し、大量のセキュリティデータを処理できますが、攻撃者もまた同様のツールを使って弱点を探すことができます。
これは、限られた人員と資source riを抱えながらすでに多数の脆弱性に対応している中堅企業にとって、さらなる負担となります。脆弱性を発見したからといって、その緊急度が自動的に明らかになるわけではありません。チームは依然として、影響を受けるシステムがインターネットに公開されているかどうか、攻撃者がその弱点をすでに悪用しているかどうか、そしてそれによってどのようなアクセス権が得られる可能性があるかを判断する必要があります。
数千件にも及ぶ潜在的な問題を抱えるチームにとって、すべての脆弱性を同等の緊急度で扱うのは現実的ではありません。どのシステムが外部に露出しているか、どの弱点が実際に悪用されているかを把握することが、何を最優先で修正すべきかを見極める助けとなります。
サプライチェーンがリスクを拡大させる
中堅企業は他の企業と密接につながっています。大企業にソフトウェアや製品、サービスを提供する一方で、自社もまた取引先やクラウドプラットフォーム、テクノロジープロバイダーに依存しているのです。
そのため、一社で発生したセキュリティインシデントがサプライチェーンの他の部分にも問題を波及させる可能性があります。取引先が侵害されれば、顧客データが流出したり、サービスが中断したり、攻撃者がつながりのある組織へ侵入するための新たな経路が生まれたりする恐れがあります。
こうした取引関係を把握し続けるのは容易ではありません。今回の分析で示された典型的なベンダーリスク管理チームは、わずか2人で300社を超える取引先を担当していました。ソフトウェアやサービスの一部は正式なベンダー一覧の管理外に置かれている場合もあり、セキュリティチームがサードパーティリスクの全体像を把握できていないケースも見られます。
規制要件によって、こうしたつながりへの注目も高まっています。EUのNIS2指令や、米国のNYCRR 500、HIPAAを含む規制では、取引先に関連するリスクへの対応が組織に求められる場合があります。そのため、中堅規模のベンダーは、顧客からセキュリティ管理体制に関するより詳細な情報提供を求められることになるでしょう。
規模の小さいセキュリティチームにとっては、どの脆弱性やサードパーティとのつながりが最も大きなリスクを生んでいるかを把握することが、限られた資源をどこに優先的に投じるべきかを判断する助けとなります。
翻訳元: https://www.helpnetsecurity.com/2026/08/24/black-kite-mid-market-ransomware-risk-report/
