ランサムウェアによる被害状況

図2はランサムウェアによる被害状況の調査結果である。まず図の左側には、回答者の62.4％がランサムウェアの攻撃を受けたことが示されている。このうち身代金を払ったかどうかが図の中央部分で、57％が身代金を払ったと回答しており、2018年から増加傾向にある。

写真を拡大 図2. ランサムウェアの被害状況の内訳（出典：CyberEdge / 2020 Cyberthreat Defense Report）

そして図の右側は、身代金を払った場合と払わなかった場合それぞれにおいて、データを復旧できたかどうかを訪ねた結果である。残念なことに、身代金を支払った場合のうち33.1％は、支払ったにもかかわらずデータを取り戻せなかったという。逆に、身代金を支払わなかった場合でも、そのうち84.5％はデータを復旧できている。

筆者はセキュリティー技術については明るくないので、身代金を支払わずにデータを取り戻す具体的方法については分からないが、支払わなくてもデータを取り戻せる可能性が8割以上あるならば、この結果から得られる教訓は「安易に身代金を払うな」であろう。

もちろん、本報告書でも触れられている通り、被害者が身代金を支払うことによって、犯人が味をしめてランサムウェアでの攻撃を繰り返すというサイクルが続くことになるので、このサイクルを断ち切るためにも、身代金は支払うべきではないと考えられる（注5）。

本報告書は今年で7年目ということもあり、これまでのデータやノウハウの蓄積に基づいて、ITセキュリティーに関する今後の課題や、新しい技術に対応するためのこれからのセキュリティー戦略などについて、非常に多くの解説が盛り込まれている。これ以降は筆者の知識レベルをはるかに超える領域になるため、本稿では説明を省略させていただくが、ITセキュリティー戦略から運用面、テクノロジーまで広くカバーされた報告書であることは筆者にも分かった。

したがって、ITセキュリティーに詳しい方にとっては得られるものの多い報告書であると思われる。また、あまり詳しくない方にとっても、ITセキュリティーに関する最新の技術やキーワードを広範囲に知ることができるので、これから勉強を進める際の入り口としても役立つかもしれない。そういった意味では幅広くさまざまな方々にお勧めできる報告書である。

■ 報告書本文の入手先（PDF 58ページ／約4.2MB）
https://cyber-edge.com/cdr/

注1）報告書そのものには発行日の記載がないが、3月には報告書が既に作成されたことを示唆する記述が本文中に見られるので、まず3月にスポンサー企業に対して配布され、6月に一般公開された可能性がある。

注2）ICS（Industrial Control System）とは工場やプラントなどの装置・機器類を制御するシステムのこと。SCADA はSupervisory Control And Data Acquisitionの略で、工場やプラントなどで稼働している装置や機器類からデータを集めて監視し、必要に応じて制御する機能を持つシステム。

注3）本連載でも次のような記事で紹介させていただいた。

「エネルギー産業におけるサイバー攻撃対策の現状」（2018年5月2日掲載）
Tripwire / ICS Security in the Energy Industry - A Survey of IT and OT Security Professionals at Energy, Oil and Gas Companies
https://www.risktaisaku.com/articles/-/6017

「スマート・グリッドを実現するために必要なレジリエンス」（2017年10月31日掲載）
Accenture Consulting / Outsmarting Grid Security Threats
https://www.risktaisaku.com/articles/-/4044

注4）参考までに、下記の記事に詳しい解説があるので適宜参照されたい。

ネットワンシステムズ株式会社：Net One BLOG「コンテナ技術入門」
https://www.netone.co.jp/knowledge-center/netone-blog/20190821-1/

注5）余談だが、リアルの世界での身代金目的の誘拐事件でも、同様の理由から身代金を支払わずに解決することを目指すことが多いといわれる。