長年にわたり、セキュリティチームはランサムウェアを技術的な問題として扱ってきました。セキュリティチームはバックアップシステムを強化し、エンドポイント検知を導入し、データ復旧を中心に据えたインシデント対応プレイブックを訓練し、初期侵入を防ぐためにアタックサーフェス管理を活用してきました。
しかし2025年、そのプレイブックは危険なほど時代遅れになっています。今日のランサムウェア運用は、ファイル暗号化を超えて、はるかに防御が難しいものへと進化しました。盗んだデータ、法的責任、心理的圧力を産業規模で武器化する、体系化された恐喝キャンペーンです。
既知の解決策――バックアップからの復元――は、もはや脅威に対処できません。いま組織は、データ露出、法的責任、評判の毀損に対応する必要があります。
2025年にランサムウェアが再編された仕組み
2025年のランサムウェアは、単に拡大したのではなく、根本的に再編されました。2024年の大規模な摘発（LockBit、BlackSuit、8Base）の後、単一のグループが再びエコシステムを支配することはありませんでした。代わりに、ランサムウェアは分断されつつ協業的になり、アフィリエイトがブランド間を流動的に移動し、ツールを再利用し、アクセスブローカーを共有するようになりました。
この分散化により、帰属特定と妨害ははるかに困難になった一方で、被害者への影響は依然として深刻なままでした。
単一のプレイブックから恐喝スペクトラムへ
最近のキャンペーンは、二重恐喝が単一のプレイブックを超えて進化したことを示しています。脅威アクターは現在、規模、レバレッジ、レジリエンスに最適化された戦術のスペクトラムを展開しています。脅威アクターは、ID悪用とソーシャルエンジニアリングだけでも大規模な恐喝を引き起こせることを示しました。
この圧力は、公的な晒し上げと再利用されたデータによって増幅されています。これは、技術的な妨害よりも評判の毀損と露出の脅しが上回る、「圧力優先」の運用へのシフトを示しました。
同時に、Qilin、Akira、SafePay、INC、Lynxといったグループは、古典的な二重恐喝モデル――データを盗み、システムを暗号化し、その後に公開を脅す――を形式化しました。交渉では、法的責任、規制当局の罰金、民事訴訟がますます持ち出され、身代金要求は単なる復旧ではなく「リスク軽減」の一形態として再定義されています。
Cl0pは、サプライチェーンソフトウェアを悪用して数百の被害者から同時にデータを持ち出すことで、暗号化なしの恐喝を産業規模で洗練させました。
一方、DragonForceとRansomHubは、カルテル型運用の持続性を浮き彫りにしました。そこでは、アフィリエイトの再利用と共有インフラが、ブランドが消滅・分裂・改名しても二重恐喝を支え続けます。
なぜ脅威アクターはいま、高規制地域のSMBを狙うのか
Flareの研究者は最近、SafePayランサムウェアが2024年後半に急速に台頭し、データ窃取、暗号化、Torベースのリークサイトを組み合わせた教科書的な二重恐喝アプローチで2025年を通じて攻勢的に拡大した経緯を分析しました。
SafePayのリーク記録500件を分析したところ、被害者の90%以上は中小企業（SMB）で、身代金を支払える規模である一方、長期の停止や公的なデータ露出に耐えられるだけのレジリエンスが不十分であることが分かりました。
被害者は主にサービス業（約66%）で、場当たり的なスキャンではなく、意図的な経済的ターゲティングを示しています。
地理的には、高規制・高GDP地域（特に米国とドイツ）に事案が集中しており、GDPR、NIS2、HIPAA、侵害通知法などの枠組みがデータ漏えいのコストを劇的に増幅します。こうした環境では、公的な露出が規制・法務・評判上の結果を引き起こし、それが身代金そのものを上回ることが少なくありません。
この分析は、SafePayの被害者プロファイルが、公式なインシデント開示ではほとんど表に出ない、より広範なリスク動態を露呈していることを示しています。多くの被害者はランサムウェア攻撃を公に報告しないため、リークサイトのインテリジェンスは「影の透明性レイヤー」を提供し、業種の集中、地理的露出、組織の脆弱性を明らかにします。
セキュリティチームとリスクマネージャーにとって、これらの洞察は直接的に実行可能であり、サードパーティリスク評価、サイバー保険の引受、M&Aのデューデリジェンス、先回りした防御投資に役立ちます。
心理的プレイブックの内側：身代金メモはいかに恐怖を武器化するか
圧力中心の恐喝へのシフトは、高度な運用にとどまりません。MongoDBの身代金運用に関する別のFlare調査（2017年から活動）は、長年続くローテクなキャンペーンでさえ同じ圧力中心モデルに適応してきたことを示しています。かつての単純な「暗号化して支払わせる」手口は、いまや技術的な高度さよりも、盗まれたデータ、評判への害、法的露出を優先しています。
MongoDBのエコシステムでは、攻撃者は高度なマルウェアやゼロデイ脆弱性に依存しません。代わりに、予測可能な設定ミス――認証のないインターネット公開のMongoDBやMongo Expressインスタンス――を突きます。
自動化ボットが開放されたデータベースをスキャンし、接続してコレクションをダンプまたは削除し、比較的小額のビットコイン支払い（歴史的には約500～600ドル）を要求する身代金メモを残します。多くの場合、復旧が可能である証拠すらありません。
これは、ランサムウェア経済のより広範な進化を反映しています。技術的新規性ではなく、規模、速度、心理的圧力に最適化するのです。
初期のランサムウェアのメモが「支払わなければデータを失う」という単純なものだったのに対し、現代の恐喝は、交渉ガイダンス、法的な枠付け、心理操作を備えた、完全に脚本化された強制プロセスへと変貌しました。
心理的圧力ポイント
以下は、ランサムウェアグループが被害者を操作するために用いる主要なテーマです：
1. 監視と認知
「あなたがこのガイドにアクセスしたことは把握している。」
これは全知を演出します。攻撃者は監視能力を示唆し、「見られている」という被害妄想と緊急性を誘発します（おそらく事実ではないとしても）。
2. 人為的な時間的圧力
「このオファーは24時間有効だ。」
「2日以内に連絡がなければ…」
短く、段階的に厳しくなる期限は、合理的な意思決定を上書きし、法務・経営層・フォレンジックの相談前に衝動的な行動を強います。
3. コントロール喪失の枠付け
「データを復旧する唯一の方法は支払いを行うことだ。」
これは、代替手段（バックアップ、法執行機関、インシデント対応）を排除し、支払いを唯一の現実的な道として位置づけます。
4. 法的・規制上の恐怖
「データ漏えいは重大な法令違反だ。」
これはコンプライアンス不安（GDPR、侵害通知法、訴訟）を明確に刺激し、身代金を規制上の余波より安い代替策として再定義します。
5. 評判と露出の脅し
「政府機関、競合、請負業者、地元メディアはまだ知らない…」
攻撃者は恐怖を最大化するために、規制当局、競合、メディアといった具体的な相手を名指しします。これはデータ喪失の上に重ねられた評判の恐喝です。
6. 組織内ヒエラルキーへの圧力
「あなたがシステム管理者なら…[あなたの上司]に連絡する。」
これは組織政治を武器化し、技術担当者を孤立させ、責任追及や失職を避けるために秘密裏に行動するよう促します。
7. 偽の安心感と信頼の設計
「データは販売しないことを保証する…当方のサーバーから削除する。」
これは契約文言を模倣して幻想的な信頼を作り出しますが、強制力も善意の証明もありません。
8. 責任転嫁
「これはあなたの責任だ。」
将来の被害について被害者に明確に責任を負わせ、罪悪感と支払うべき道義的義務の感覚を増幅します。
9. 摩擦の低減
ビットコイン購入の詳細な手順は、手続き上の言い訳をなくし、ためらいを減らします――従わせるための障壁を取り除くのです。
二重恐喝の構成要素
このメモは、暗号化がなくても二重恐喝を明確に示しています：
1. 一次恐喝：データの可用性
-
データが永久に失われるという脅し
-
支払いなしではデータ復旧が不可能だという主張
2. 二次恐喝：データの公開
-
以下への脅し：
-
ダークウェブでデータを販売する
-
「関心のある当事者」に漏えいする
-
メディア、規制当局、競合に連絡する
-
従業員や取引先を標的にする
-
これにより、技術的インシデントは、法務・評判・事業継続の危機へと転化します。
セキュリティチームにできること
露出重視のランサムウェアに防御するには、4つの戦略的転換が必要です：
1. 法務と広報チームを早期に準備する。
主要な武器が評判の毀損と規制上の露出である場合、技術的な是正だけでは不十分です。インシデント対応計画には、事前に作成した侵害通知テンプレート、規制当局への開示手順、メディア対応フレームワークを、後付けではなく第一線の防御として組み込むべきです。
2. 組織をよりサイバーセキュアにするための継続的な訓練を行う。
これには、ランサムウェアグループが用いる心理戦術――特に、技術担当者を孤立させエスカレーションを遅らせるために設計された罪悪感や責任追及のナラティブ――に対する組織的レジリエンスの構築が含まれます。個人的な不利益を恐れずに、セキュリティチームが早期にインシデントを表面化できる環境を作ってください。
3. 実際に悪用されている脆弱性に関するインテリジェンスで、脆弱性管理プログラムを強化する。
何千ものCVEと何百万ものセキュリティアラートに直面する中で、セキュリティチームには現実の脅威活動に根差した優先順位付けの枠組みが必要です。たとえば「グループXがCVE-2024-1234とCVE-2025-5678を積極的に悪用している」といった、ランサムウェアグループが現在のキャンペーンで悪用している具体的な脆弱性を特定する脅威インテリジェンスを活用することで、チームは、すべてを一度に対処しようとするのではなく、ランサムウェア運用者が初期侵入を得るために実際に使っている攻撃ベクトルに是正努力を集中できます。
4. ランサムウェアグループが積極的に悪用している攻撃ベクトルに基づいて、設定監査を優先する。
MongoDBの例は重要な原則を示しています。脅威アクターは無限の設定ミスの組み合わせを悪用するのではなく、認証なしでインターネットに公開されたデータベースのような、予測可能で高収益なパターンを体系的に狙います。あらゆる設定リスクを監査しようとするのではなく、セキュリティチームは脅威インテリジェンスを用いて、ランサムウェア運用者が現在のキャンペーンで大規模に悪用している具体的な設定ミスを特定し、その高リスクパターンについてインターネット向け資産のターゲット監査を実施すべきです。このアプローチにより、設定管理は圧倒的なチェックリストから、焦点を絞った防御戦略へと変わります。
現代のランサムウェアについて知っておくべきこと
現代のランサムウェアは、もはや暗号化によって定義されるのではなく、脅威アクターが組織に対して持つレバレッジによって定義されます。2017年以降、そして2024年以降に急速に加速して、脅威アクターは盗まれたデータ、規制上の露出、心理的圧力を武器化する二重恐喝モデルへと移行しました。
SafePayのような産業規模の運用から、ローテクなMongoDBキャンペーンまで、パターンは一貫しています。攻撃者は技術的複雑さよりも、速度、規模、心理的強制に最適化します。
セキュリティチームにとって、これは防御戦略が従来の復旧中心プレイブックを超えて進化しなければならないことを意味します。外部露出の可視化、規律ある設定管理、漏えいした認証情報の監視は、もはや任意ではなく、基盤です。
今日のランサムウェア問題は、単なるマルウェアではなく、人間と法務への圧力が本質です。この違いを認識することこそが、反応的な危機管理と、先回りしたリスク軽減を分けるものです。
