「たまたま」ではなく、攻撃者に選ばれる理由がある

ランサムウェア被害は、特定の大企業だけに起こるものではありません。攻撃者は「侵入しやすい」「支払い能力がある」「止まると困る」企業を合理的に狙っています。

IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の第1位に「ランサム攻撃による被害」が挙げられています。これは2016年以降、11年連続で選出されている脅威です。(情報処理推進機構)

また、警視庁によると、令和7年のランサムウェア被害報告件数は226件で、令和4年以降依然として高水準で推移しています。(警視庁)

お金になるから

企業が狙われる最大の理由は、攻撃者にとって「収益性が高い」からです。

ランサムウェアに感染すると、企業は業務停止、復旧費用、調査費用、顧客対応、損害賠償など、さまざまな負担を抱えます。そのため攻撃者は、「事業を止めたくない」「情報を公開されたくない」という企業心理を利用して金銭を要求します。

Sophosの調査では、ランサムウェア攻撃後の平均復旧コストは150万ドルとされています。これは日本円で約2億円規模の負担に相当します。(SOPHOS)

さらに、IBMの調査では、データ侵害全体の世界平均被害額は440万ドルとされています。ランサムウェアによって情報漏えいが発生すれば、復旧費用だけでなく、通知対応、調査、法的対応、信用回復にも多額の費用がかかります。(IBM)

つまり、攻撃者にとって企業は「高額な利益を期待できる標的」なのです。

侵入しやすい企業が多いから

攻撃者は、必ずしも高度な技術で正面突破してくるわけではありません。実際には、企業側に残っている基本的な弱点が狙われます。

たとえば、次のような状態です。

• VPN機器やリモートアクセス機器の脆弱性が未修正
• 多要素認証が導入されていない
• パスワードを使い回している
• 古いOSやソフトウェアを使っている
• 管理者権限を持つアカウントが多すぎる
• ログ監視が不十分

警視庁は、令和7年上半期の情勢として、ランサムウェア被害拡大の背景に、RaaS、つまりランサムウェアを攻撃者に提供し、身代金の一部を受け取る仕組みの広がりがあると指摘しています。(警視庁)

この仕組みによって、高度な開発能力を持たない攻撃者でもランサムウェア攻撃を実行しやすくなっています。結果として、攻撃者の数が増え、対策が不十分な企業が狙われやすくなっているのです。

一度侵入すると被害を広げやすいから

ランサムウェア攻撃では、侵入された瞬間にすぐ暗号化されるとは限りません。攻撃者は社内ネットワークを調べ、重要なサーバーや共有フォルダ、バックアップ、管理者アカウントを探します。

そのうえで、最も被害が大きくなるタイミングで暗号化を実行します。

特に危険なのは、アクセス権限が広すぎる環境です。

たとえば、1人の社員アカウントで全社共有フォルダにアクセスできる場合、そのアカウントが侵害されるだけで、被害が全社に広がる可能性があります。

攻撃者にとっては、次のような企業が狙いやすい対象になります。

• 共有フォルダの権限管理が甘い
• 退職者や異動者のアカウントが残っている
• 管理者権限を持つ利用者が多い
• バックアップにも通常アカウントでアクセスできる
• 社内ネットワークが分離されていない

つまり、侵入後に被害を広げやすい企業ほど、攻撃者にとって価値の高い標的になります。

気づくのが遅い企業が多いから

企業が狙われる理由の一つに、「攻撃に気づくのが遅い」という問題があります。

ランサムウェア攻撃では、攻撃者が正規のID・パスワードを使ってログインするケースもあります。この場合、見た目上は通常の業務アクセスに見えるため、不審な動きに気づきにくくなります。

IBMの調査では、データ侵害全体の平均被害額は440万ドルとされており、発見や封じ込めが遅れるほど、被害額は大きくなりやすい傾向があります。(IBM)

また、EDRやログ監視がない企業では、次のような兆候を見逃しやすくなります。

• 深夜・休日の不審なログイン
• 大量のファイルアクセス
• 管理者権限の不審な利用
• 社内ネットワーク内の横移動
• 大量データの外部送信

攻撃者にとって、検知されない時間が長いほど、暗号化や情報窃取の成功率は高まります。だからこそ、監視体制が弱い企業は狙われやすくなります。

サプライチェーンを通じて影響を広げられるから

企業は単独で存在しているわけではありません。取引先、委託先、グループ会社、顧客など、多くの組織とつながっています。
攻撃者は、このつながりを利用します。

たとえば、次のようなケースです。

• 委託先を攻撃して、発注元企業へ影響を与える
• ITベンダーを攻撃して、複数の顧客企業へ波及させる
• 子会社を攻撃して、親会社への侵入を狙う
• 取引先との共有システムを悪用する

IPAの「情報セキュリティ10大脅威 2026」でも、組織向け脅威の第2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。(情報処理推進機構)

これは、「自社は小さいから狙われない」という考えが危険であることを示しています。攻撃者から見れば、中小企業や委託先は、大企業や重要情報へ近づくための入口になることがあります。

弱点が外から見えるから

攻撃者は、企業の弱点を外部から調べることができます。
たとえば、インターネット上に公開されているVPN、リモートデスクトップ、Webサーバー、メールサーバーなどは、攻撃者のスキャン対象になります。

外部から見える弱点には、次のようなものがあります。

• 古いVPN機器のバージョン
• 公開されたリモートデスクトップ
• 脆弱なWebサーバー
• 流出済みのメールアドレスやパスワード
• 多要素認証がないログイン画面
• セキュリティ設定の不備

警察庁も、サイバー攻撃の前兆となる脆弱性探索行為などの不審なアクセス件数が高水準で推移しているとしています。(警察庁)

つまり、攻撃者は「どこか弱い企業はないか」と常に探しています。対策が不十分な企業は、見つかった時点で攻撃対象になる可能性があります。

まとめ：企業が狙われる理由はデータからも明らか

• ランサム攻撃はIPAの組織向け脅威で第1位
• 国内被害は令和7年に226件
• 平均復旧コストは150万ドル規模
• データ侵害全体の平均被害額は440万ドル
• RaaSの広がりにより攻撃者が増えている
• サプライチェーンや委託先も攻撃対象になっている
• 脆弱性探索などの不審なアクセスが高水準で続いている

重要なのは、企業が「有名だから」「大企業だから」狙われるわけではないという点です。
攻撃者が見ているのは、企業規模ではなく、次の条件です。

• 侵入しやすいか
• 支払い能力があるか
• 業務停止に弱いか
• 情報を持っているか
• 取引先へ影響を広げられるか

つまり、条件が揃えばどの企業でも狙われます。 逆に言えば、脆弱性管理、多要素認証、バックアップ、アクセス権限の見直し、EDRやログ監視、サプライチェーン対策を進めることで、攻撃者にとって「割に合わない企業」になることができます。

ランサムウェア対策は、単に感染を防ぐための取り組みではありません。 攻撃者から見て、狙いにくい企業になるための経営戦略です。