AI視点で考える｜もし、金銭目的の攻撃者の視点で組織を見るなら

本記事で得られる3つのポイント

• 攻撃者が狙うのは「有名な会社」より、停止損失が大きく、復旧の選択肢が少ない組織であること
• 暗号化だけでなく、データ窃取、関係者への連絡、DDoS、規制対応を組み合わせる恐喝へ移っていること
• 対策の中心は、侵入を一件も許さないことより、権限・バックアップ・委託先・意思決定を含む復旧可能性を証明すること

続きを読む

観測事実：脅威は減っているのではなく、採算構造が変わっている

観測事実警察庁は、2026年上半期に国内で報告されたランサムウェア被害を123件とし、2020年下半期の統計開始以降、半期として過去最多としています。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの第1位は11年連続で「ランサム攻撃による被害」、第2位は「サプライチェーンや委託先を狙った攻撃」です。国内では、例外的な大事件というより、事業継続上の常設リスクとして捉える方が実態に近い状況です。

観測事実Verizonの2026 Data Breach Investigations Reportは、分析対象となった侵害の48％にランサムウェアが関係し、31％はソフトウェア脆弱性を起点としていたと報告しています。同時に、支払い額は縮小し、支払わない組織が増えているとも整理しています。

FBIの2024 IC3年次報告では、重要インフラ分野から4,878件のサイバー脅威に関する申告があり、ランサムウェアとデータ侵害が最も多く報告された類型でした。ただし、FBI自身が、ランサムウェアの損失額には事業停止、復旧、第三者支援などが十分に含まれず、過少になりやすいと注意しています。

仮に攻撃者側で考えるなら、最初に探すのは「止める価値」

金銭目的なら、技術的に最も難しい標的を選ぶ理由はあまりありません。重要なのは、侵入できるかだけではなく、止めたときに相手がどれほど困り、短時間で代替できず、支払いを検討する余地があるかです。

1．売上より、停止一時間の重さを見る

製造、物流、医療、決済、予約、自治体サービスなどは、情報システムが止まると現場の物理的な流れまで止まりやすい領域です。年度売上が大きいかより、代替運用があるか、停止が安全・納期・契約・地域生活へ波及するかの方が、恐喝材料としては重要になります。

2．データより、復旧の首根っこを見る

攻撃者にとって価値が高いのは、本番サーバーだけではありません。ID管理、管理者権限、仮想基盤、バックアップ、クラウド管理面、遠隔保守といった「元へ戻すための仕組み」が同時に弱いと、圧力は大きくなります。

MandiantのM-Trends 2026は、標準的な監視が届きにくいエッジ機器で長期的な足場が維持される事例や、バックアップ・仮想化基盤を狙う傾向を挙げています。

3．一社ではなく、依存関係の束を見る

保守会社、MSP、SaaS、ファイル転送、認証連携、取引先ポータルなど、一つの接点が複数社に通じるなら、攻撃側の投資効率は上がります。

IPAがサプライチェーン・委託先を第2位に置く意味は、調達先の一覧を作るだけでは足りず、どの委託先がどの権限を持ち、緊急時に誰が接続を止められるかまで確認する必要がある、という点にあります。

4．技術より、意思決定が遅れる条件を見る

休日・夜間、決算、繁忙期、大型出荷、社会行事など、判断者が揃いにくい時期や停止損失が膨らむ時期は、交渉圧力を高めます。

これは個々の組織の予定を狙うというより、インシデント対応の連絡網と代理権限が平時の勤務体系に依存しているほど、攻撃側に時間を与えるということです。

想定される行動：侵入ではなく、交渉材料を組み立てる

分析公開報告を束ねると、金銭目的の攻撃は次のような事業プロセスとして理解できます。重要なのは個別技術ではなく、各段階で攻撃者が確認したい「採算条件」です。

かつての「暗号化して鍵と引き換えに金銭を求める」という説明だけでは、現在の恐喝を十分に表せません。

暗号化を行わず、窃取した情報の公開だけで支払いを迫るノーウェアランサム、顧客や従業員へ直接連絡する圧力、サービス妨害を重ねる手法など、相手の復旧力に応じて圧力を組み替える傾向があります。

国の経済・インフラを狙う場合に増える三つの意図

2026年以降に強まりそうな動き

暗号化より、データだけを使う恐喝が増える

暗号化は目立ち、失敗や検知の機会も増やします。対してデータ窃取型は、正規アカウントやクラウドの通常機能に紛れやすく、バックアップでも解決しません。

支払いが減るほど、攻撃側は公開・連絡・規制対応・訴訟リスクを交渉材料にしやすくなると見られます。

IDとクラウド管理面が「新しい境界」になる

社内ネットワークの内外だけで守る発想より、誰がどの権限で何を操作できるかが中心になります。

管理者、サービスアカウント、APIキー、外部委託ID、復旧用IDが同じ信頼経路に集まるほど、一つの認証事故が広域障害へつながります。

分業はさらに速くなる

Mandiantは2025年の調査で、初期アクセス担当から次の攻撃者への引き継ぎが中央値22秒まで短縮した事例群を報告しています。CrowdStrikeの2026年版報告でも、初期侵入から横展開までの平均時間は29分とされています。

数値は各社の観測範囲に依存しますが、月次会議で検知結果を振り返る速度では間に合わない局面が増えている点は共通します。

AIは「超能力」より、件数と翻訳品質を押し上げる

Verizonは、侵害で観測された攻撃技術の15％が生成AIによって強化されていると整理しています。

現時点では、AIが全自動で国家インフラを攻略するというより、候補選定、言語対応、なりすまし、スクリプト作成、調査の速度を上げ、少人数で多数の標的を扱える効果の方が現実的です。日本語が参入障壁になるという期待は、以前より弱くなります。

大手への侵入より、周辺の弱い接点が選ばれる

大規模組織の正面防御が強くなると、委託先、地域拠点、保守端末、買収直後の会社、廃止予定機器など、統制の薄い場所が相対的に魅力を増します。

組織図ではなく、実際の接続関係でリスクを評価する必要があります。

公開コミュニティと専門サイトは、どこまで信用できるか

Reddit、Hacker News、BleepingComputer、KrebsOnSecurity、The DFIR Report、Ransomware.liveなどは、公式資料より早く現場の違和感や復旧上の失敗が表に出ることがあります。

一方、投稿者の立場、観測範囲、再現性、犯行声明の真偽が不明な場合もあります。結論の根拠ではなく、「確認すべき仮説を拾う場所」として使うのが適切です。

Redditの復旧議論では、感染端末を直す前に、インシデント対応会社、法務、保険へ連絡し、証拠を壊さないことが繰り返し語られています。

これは有用な現場知ですが、契約・法制度・組織体制は各社で異なります。匿名投稿を手順書へコピーするのではなく、自社の連絡順序が事前に合意されているかを点検する材料になります。

相手の採算を崩すために確認したい10項目

1. 重要サービスをシステム名ではなく業務名で特定する。
   何時間止まると、売上、安全、契約、社会サービスへ影響するかを数値化します。
2. 外部公開資産を一つの台帳で把握する。
   本社だけでなく拠点、子会社、委託先、廃止予定を含め、所有者と修正期限を明確にします。
3. 特権IDと復旧用IDを通常業務から分離する。
   管理者、バックアップ、クラウド、仮想基盤が同じ認証事故で失われない構成を確認します。
4. フィッシング耐性の高い多要素認証を優先する。
   特に遠隔接続、管理者、メール、クラウド管理面から進めると効果を測りやすくなります。
5. バックアップの存在ではなく、復元結果を証明する。
   オフラインまたは変更不能な世代を持ち、隔離環境で、目標時間内に業務が戻るかを定期的に試します。
6. IT・OT・バックアップ・管理系を分ける。
   一つの資格情報や端末から全域へ到達できる状態を減らします。
7. エッジ、ID、SaaS、クラウドのログ欠落を洗う。
   端末だけを見て安心せず、侵入口と管理面の操作を追跡できるかを確認します。
8. 委託先アクセスに期限・用途・停止責任者を持たせる。
   緊急時に契約先へ連絡がつかなくても、自社側で遮断できる設計が望まれます。
9. 技術復旧と対外説明を同時に訓練する。
   法務、個人情報、広報、顧客対応、警察・JPCERT/CCへの連絡が並行する想定にします。
10. 身代金要求への判断基準を平時に用意する。
    支払いは復旧や非公開を保証せず、制裁・資金洗浄・反社会的勢力に関する法的論点も生じ得ます。個別事案では、捜査機関、法務、保険、専門家と確認できる連絡経路が重要です。

判断を誤りやすい五つの思い込み

まとめ：守る対象は機器ではなく、選択肢

主な参照情報

調査基準日：2026年9月19日