身代金を払っても、解決するとは限らない

ランサムウェアに感染すると、攻撃者から「身代金を払えばデータを復旧する」と要求されることがあります。
業務が止まり、顧客対応に追われ、復旧の見通しが立たない状況では、支払いを検討したくなるかもしれません。

しかし、身代金の支払いは非常に慎重に判断する必要があります。
支払ったとしても、データが戻る保証はありません。復号ツールが動かない、盗まれた情報が公開される、追加の支払いを要求される、再び攻撃されるといったリスクもあります。

FBIは、ランサムウェアに対する身代金支払いを支持していません。理由として、支払ってもデータを取り戻せる保証がないこと、犯罪者がさらに被害者を狙う動機になること、他の攻撃者の参入を促すことを挙げています。

身代金に関するデータ

Sophosの「State of Ransomware 2025」では、平均身代金支払額は100万ドル、平均復旧コストは150万ドルとされています。つまり、身代金そのものだけでなく、調査、復旧、業務停止、顧客対応などを含めた総コストが大きくなる点に注意が必要です。

一方、Covewareの2025年第3四半期データでは、身代金支払い率は過去最低水準の23%、平均支払額は376,941ドル、中央値は140,000ドルとされています。支払わずに対応する流れが広がっていることが分かります。

身代金を払う前に確認すべきこと

本当に復旧手段がないのか

まず確認すべきなのは、安全なバックアップが残っているかどうかです。
バックアップがあり、復旧可能であれば、攻撃者に頼らず復旧できる可能性があります。

FBIも、定期的なバックアップ、バックアップ完了の確認、ネットワークから切り離した保管を推奨しています。

支払ってもデータが戻る保証はあるのか

攻撃者は「支払えば復旧する」と言いますが、その保証はありません。
復号キーが送られてこない、復号ツールが正常に動かない、一部のデータしか戻らないといった可能性があります。

CISAも、身代金を支払った後でも、攻撃者が追加支払いを要求したり、データを削除したり、復号キーを提供しなかったりする場合があると注意喚起しています。

盗まれた情報が本当に削除されるのか

二重恐喝型のランサムウェアでは、データを暗号化するだけでなく、事前に情報を盗み出し、「支払わなければ公開する」と脅します。
しかし、身代金を払ったとしても、盗まれた情報が本当に削除される保証はありません。
コピーが残る、別の攻撃者に渡る、後日再び脅されるといったリスクがあります。

Covewareも、データ流出を抑えるための支払いについて、効果は極めて限定的、またはゼロに近いとする見方が広がっていると説明しています。

支払いが再攻撃を招かないか

一度支払った企業は、「支払う可能性がある企業」と見なされる恐れがあります。
攻撃者が再び同じ企業を狙う、別の攻撃グループに情報が共有される、追加要求を受けるといったリスクがあります。

法務・広報・取引先対応は必要か

ランサムウェア被害では、IT復旧だけでなく、法務、広報、顧客対応、取引先対応も必要になる場合があります。
特に、個人情報、顧客情報、取引先情報、機密資料が漏えいした可能性がある場合は、社内だけで判断せず、専門家へ相談することが重要です。

身代金判断は経営判断

身代金を支払うかどうかは、情報システム部門だけで決められる問題ではありません。
以下の観点を含めて、経営層が判断する必要があります。

平時に決めておくべきこと

感染してから支払いを迷うのでは、判断が遅れます。 平時のうちに、以下を決めておきましょう。

• 身代金要求を受けた場合の判断者
• 警察や専門機関への相談ルート
• 外部専門業者の連絡先
• バックアップからの復旧手順
• 情報漏えい時の公表基準
• 取引先・顧客への説明方針
• サイバー保険の補償範囲
• 支払わずに復旧するための代替手段

まとめ

身代金は、払えば解決するものではありません。 支払ってもデータが戻る保証はなく、情報公開を止められる保証もありません。

重要なのは、感染後に支払いを検討することではなく、平時から払わずに復旧できる体制を整えることです。 バックアップ、初動対応、侵入経路の遮断、情報漏えい対応、経営判断ルールを整えておくことで、ランサムウェア被害時の選択肢を増やすことができます。