2026年上半期、国内企業におけるランサムウェア被害は132件に上り、過半数の企業で業務への影響が発生した。攻撃手法はAIの活用やRaaS（Ransomware as a Service）の普及により低スキル化が進み、国際的な法執行機関の共同作戦が功を奏する一方、攻撃グループは分散化・小規模化している。
2024年に実施された「クロノス作戦」では、イギリス・アメリカに加え日本の警察庁など10カ国の法執行機関が協力し、当時最も活発だったLockBitのテイクダウンに成功。その後もKADOKAWAを攻撃したBlackSuit、イセトーを標的にした8Baseの中心人物が逮捕されるなど、国際共同作戦が成果を挙げている。
攻撃者の行動変化
こうした取り組みの広がりにより、攻撃グループの認識は変化した。かつては「目立つことでブランド力向上、収益増加」と考えられていたランサムウェアのビジネスモデルが、「目立てば摘発される」へと転換。有名グループに所属するリスクが高まり、捜査機関から目をつけられにくい新興勢力へ鞍替えする攻撃者が増えている。
またRaaSやAIの活用により、比較的低いスキルでも攻撃が可能になった技術的側面も、新興勢力増加の要因だ。企業側ではEDR（Endpoint Detection and Response）やSASE（Secure Access Service Edge）の導入が大企業を中心に一巡し、防御レベルは数年前より向上。しかし攻撃グループは限られた人員と資金で効率を求めるため、守りの固い大企業よりも脆弱な中小企業を標的にする自然な流れが生じている。
防御側の「攻めの一手」と今後の課題
防御側の取り組みは攻撃側の行動を変化させているが、同時に困難な戦いへ向かっている。攻撃グループの分散が進めば追跡対象と攻撃手法が増加し、攻撃頻度はさらに上昇すると考えられる。本稿では、国内のランサムウェア被害について自主公表とリークサイト掲載数を基に分析した結果、業務停止に至った企業が54％に上ることが明らかになった。
