なぜランサムウェア被害は減らないのか？基本的な対策を「実行」できない3つの要因

近年、ランサムウェアによる被害が相次いで報道されています。また、サプライチェーンを通じて被害が拡大する事案も目立つようになっています。

被害の多くは「外部との接点」の基本的な対策不足から

警察庁によると、令和7年の被害報告件数は226件であり、依然として高水準で推移しています。また、令和6年に警察庁が実施した被害企業・団体等への調査では、感染経路の8割以上が、VPN機器やリモートデスクトップなど、外部から内部ネットワークへ接続する経路を悪用したものとされています。委託先を経由した侵入も含め、「外部との接点」が攻撃の起点となっている点は、多くの事例に共通しています。

ランサムウェアというと、高度な攻撃技術を駆使した特殊な犯罪という印象がありますが、実際の被害を見ると、侵入の原因には以下のような基本的なセキュリティ対策上の不備が挙げられます。

• VPN機器やサーバの脆弱性への対応不足
• 推測されやすいパスワードの利用
• 不要なアカウントの放置
• アクセス権限の適切な管理不足

これらは決して新しい問題ではなく、脆弱性管理や認証情報の管理など、基本的な対策の重要性は以前から指摘されてきました。

なぜ対策が実行されないのか？組織が抱える3つの課題

一方で、企業においては、どこに脆弱性があるのかを把握できていない、あるいは対策そのものを知らないケースも少なくありませんでした。しかし現在では、何がリスクであり、どのような対策が必要かについて、以前に比べて認識は進んできています。

それにもかかわらず被害が減らない背景には、「知らない」ことだけでなく、「わかっていても対策を実行できていない」ことに本質的な問題があるのではないでしょうか。その背景には、技術的な問題だけではなく、組織として対策を継続する上での課題があり、大きく三つの要因が考えられます。

1. 経営層の認識
   ランサムウェア被害は単なるITトラブルではなく、事業継続や企業の信用に直結する経営リスクです。しかし、セキュリティ対策が経営課題として十分に位置付けられていない場合、必要な投資や優先順位付けが行われず、対策は後回しになります。
2. リスク認識の問題
   「自社の業種は標的になりにくい」といった認識は依然として残っています。しかし実際には、攻撃者は業種や規模を問わず、侵入可能な弱点を持つ組織を狙っています。
3. 現場における実行の難しさ
   パッチ適用や設定変更は、場合によってはシステム停止を伴い、業務への影響が避けられません。その結果、日常業務が優先され、対策が後回しになる傾向があります。特に人員や予算に制約のある組織では、この問題はより深刻です。

これら三つの要因に共通しているのは、セキュリティリスクを経営課題として捉え、必要な対策を決定し、それを組織として継続的に実行・定着させる仕組みが十分に整っていないことです。

新技術の導入だけでなく、基本的な対策の「継続」が鍵

近年では、ゼロトラストという考え方や、多要素認証などのセキュリティ対策の導入も進んでいます。多要素認証は、仮にID・パスワードが漏えいした場合でも、それだけではアクセスできないようにする有効な対策です。

このように、セキュリティ対策の技術や考え方は進歩しています。しかし、重要なのは新しい技術を導入することだけではなく、脆弱性管理やアカウント管理など、基本的な対策を確実に実行し、継続していくことが被害を防ぐための土台となります。

私自身、長年企業においてITシステム開発や情報セキュリティに携わり、また大学においても情報セキュリティリスク管理に取り組んできました。現在はセキュリティコンサルタントとして活動する中で、セキュリティ対策は導入する技術の有効性だけでなく、それを適切に運用する仕組みを整備し、組織として確実に実行し続けることが重要であると感じています。