ランサムウェアの現状 2026年版: 身代金の支払いは減少、暗号化の被害は増加

今年のデータには、過去の「ランサムウェアの現状」レポートの傾向とは異なる、注目すべき点がいくつか見られます。まず、3 年連続で根本原因の首位にあった「脆弱性の悪用」が、その座を明け渡しました。身代金の要求額と支払額の中央値はいずれも減少したものの、復旧にかかる平均コストは依然として上昇しています。また、最も重要な指標である「データが暗号化される前に攻撃を阻止する」という点において、小規模組織 (従業員数 100〜250 人) は大規模組織に一層の後れを取っています。

7 回目となるソフォスの年次レポート「ランサムウェアの現状」は、過去 12 か月間にランサムウェアの被害を受けた組織に属する 2,158 人の IT およびセキュリティのリーダーを対象とした、特定のベンダーに依存しない調査に基づいています。

こちらをクリックしてレポート全文をご確認ください。

電子メールが根本原因の新たなナンバーワンに

4 年ぶりに、「脆弱性の悪用」が攻撃者の主要な侵入経路ではなくなりました。今年の順位は以下の通りです。

• 悪意のあるメール (26%) とフィッシング (24%) を合わせると、全インシデントの半数を占めます。
• 認証情報の窃取 (23%) は、3 位のままでした。
• 脆弱性の悪用 (18%) は、前年比で 14 ポイント減少しました。
• ブルートフォース攻撃 (6%) は横ばいでした。

防御側が得るべき教訓は明確です。それは、「パッチを適用するだけではセキュリティのギャップを埋めることはできない」ということです。高度なメール保護、DMARC、DKIM、SPF、そしてユーザー向けの意識向上トレーニングを、2026 年の投資リストの最優先に据えるべきです。

アイデンティティを悪用した攻撃がランサムウェアインシデントの主流に

ランサムウェア攻撃の 79% がアイデンティティベースのアプローチから始まっており、被害組織の 67% が、自社が遭遇した最も重大なアイデンティティ攻撃とランサムウェアインシデントが同一のイベントであったと回答しています。この調査結果は、今年初めに発表したソフォスの「アイデンティティセキュリティの現状 2026 年版」レポートでも取り上げています。

ソフォスの防御チームが対処した実際のインシデント分析に基づく「ソフォスアクティブアドバーサリーレポート 2026 年版」でも、まったく同じ結論に達しています。661 件のインシデント対応 (IR) および MDR (Managed Detection and Response) のケースにおける根本原因の 67% がアイデンティティ関連であり、59% のケースでは、重要な箇所で多要素認証 (MFA) が導入されていませんでした。

MFA はすべての場所に導入されているわけではない

認証情報の漏洩が根本原因であった被害組織の 97% が、攻撃発生時に何らかの形で MFA を有効にしていました。カバー範囲にギャップがあることが、被害が発生する原因となっています。「アクティブアドバーサリーレポート」でも同様の傾向が確認されており、SaaS アカウントには MFA が導入されていることが多かったものの、VPN、ファイアウォール管理コンソール、およびレガシーアプリケーションには導入されていませんでした。

ランサムウェア攻撃の起点

今年のレポートでは初めて、IT 環境内のどこで最初の侵害が発生したと回答したかが特定されました。脆弱性の悪用、認証情報の漏洩、またはブルートフォース攻撃から始まった事例において、被害組織が攻撃の起点として報告した場所は以下の通りです。

• 外部に公開されていたアプリケーションおよびシステム: 38%
• ユーザーデバイス: 30%
• ファイアウォール: 21%
• VPN: 8%
• IoT デバイス: 3%

ファイアウォールは組織のインフラ全体において特権的な位置にあるため、ファイアウォールの侵害は甚大な経済的影響をもたらします。ファイアウォールの脆弱性の悪用に成功した攻撃者は、多くの場合、企業全体へのアクセス権を獲得することになり、その結果、要求される身代金も高額になります。 

ランサムウェア攻撃がファイアウォールの脆弱性の悪用から始まった場合、身代金要求の 59% が 100 万ドル以上となっています。これは、すべての攻撃における「100 万ドル以上の身代金要求」の基準値である 48％ を上回る数値です。

状況は改善しつつあるが、ランサムウェアの破壊力は依然として甚大

今年は防御側にとって有利な経済的要因も見られましたが、全体的な状況は一長一短です。ランサムウェア攻撃によるデータの暗号化は、依然として深刻な事態です。

プラスの側面:

• 身代金要求額の中央値: 69 万 8,000 ドル (2 年間で 65% 減少)。
• 身代金支払額の中央値: 76 万 9,000 ドル (昨年の 100 万ドルから減少)。
• 身代金を支払った組織の 51% は、交渉の結果、要求額よりも低い金額を支払った。
• 身代金を支払った小売企業はわずか 32% (全業界の中で最も低い割合)。
• バックアップからの復旧に成功した割合は、データが暗号化されたケースの 66% を占めた (2025 年から 12 ポイント増加)。

マイナスの側面:

• 平均復旧コスト: インシデント 1 件あたり 170 万ドル (前年比 11% 増)。
• 攻撃の 56% は依然としてデータの暗号化に成功している (昨年の 50％ から増加)。
• データを暗号化された被害組織の 48% が身代金を支払った (過去 4 年間の平均である約 50% とほぼ同水準)。
• 地方自治体・州政府組織の 72% が身代金を支払った (全業界の中で最も高い割合)。
• 英国では、国別で過去最高となる 250 万ドルの身代金要求額の中央値を記録。

組織の規模による格差は顕著です。小規模組織 (従業員数 100〜250 人) のうち、暗号化や恐喝が行われる前に攻撃を阻止できたのはわずか 34% にとどまり、従業員数 3,001〜5,000 人の組織における成功率 46% を大きく下回っています。組織の規模が実際の防御成果につながっており、中小企業は大きな被害を被っています。

レポートを読む

2026 年のデータは、すべてのセクションを通じて共通のテーマを示しています。それは、アイデンティティ、電子メール、エンドポイント、およびネットワークの防御が個別にではなく 1 つのシステムとして連携して機能した場合にセキュリティ成果が向上するということです。AI 時代の攻撃とのギャップを埋めるためには、ツールを増やすことではなく、すでに導入されているツール同士を連携させることが重要です。

レポートをダウンロードして、調査結果の全容、業界別の内訳、および推奨事項をご確認ください。