** 本記事は、The State of Ransomware 2022 の翻訳です。最新の情報は英語記事をご覧ください。**
ソフォスは、世界の最前線で働く IT プロフェッショナルが実際に体験したランサムウェアに関する年次調査「ランサムウェアの現状 2022 年版」を発表しました。日本向けのサマリーレポート も併せてご覧ください。
本調査で、ランサムウェアが被害者に与える経済面および業務的負担が増大していることと、攻撃が激化していることが明らかになりました。また、ランサムウェアとサイバー保険の関係や、サイバー保険への加入がサイバー攻撃への防御能力に与える変化についても説明しています。
本調査には、31 カ国から 5,600 人の IT プロフェッショナルが参加し、そのうち 965 人が身代金の支払いに関する詳細を報告しました。主な調査結果は以下のとおりです。
- 身代金を狙った攻撃が増加している – 今回の調査対象組織のうち、身代金狙いのランサムウェアの被害に遭った組織の割合は前年 2020 年の 37% から 66% に増加しています。
- 身代金を支払う被害者が増加している – 2021 年には、ランサムウェア攻撃でデータが暗号化された組織の 46% が身代金を支払いました。バックアップを使用して暗号化されたデータを復元した組織のうち、26% が身代金を支払っていました。
- ランサムウェア攻撃の影響は甚大である – 2021 年に発生したランサムウェア攻撃によって受けた影響を復旧のために組織が負担した費用は平均 140 万ドルでした。攻撃による被害と混乱状況を復旧するまでに平均 1 カ月を要しました。全体の 90% の組織が、攻撃によって業務遂行能力に影響を受けたと回答し、民間企業の 86% が、攻撃によって取引または収益の機会を損失したと回答しています。
- 多くの組織がランサムウェア攻撃からの復旧をサイバー保険に頼っている – 中規模組織の 83% は、ランサムウェア攻撃の被害を補償するサイバー保険に加入していました。
- サイバー保険金はほぼ全ての攻撃被害に対し支払われる – ランサムウェア攻撃を補償するサイバー保険に被害者が加入していた事件の 98% において、保険会社は発生したコストの一部または全部を支払いました。その内、保険会社が身代金を支払ったのは全体の 40% でした。
- サイバー保険に加入している組織の 94% が、過去 12 ヶ月間で保険加入に関する手続きが変化したと回答しています。具体的には、サイバーセキュリティ対策への要求が高まったことにより、保険加入手続きがより複雑または高額になったこと、サイバー保険を提供する保険会社の数が減少したことなどがあげられます。
<li身代金の支払額が増加している – 2021 年に 100 万ドル以上の身代金を支払った組織の割合は、2020 年の 4% から 11% に増加した一方、支払いが 1 万ドル未満だった組織の割合は、 2020 年の 34% から 21% に減少しました。全体として、データが暗号化された組織が大規模なランサムウェア攻撃に身代金として支払った額の平均は、812,360 ドルです。これは前年の 5 倍近くに達しています。
調査結果を受け、ソフォスのリサーチ サイエンティストの Chester Wisniewski は次のように述べています。「今回の調査結果は、ランサムウェアの進化がさらに進んでいることを示唆しています。サイバー保険会社が新規顧客の獲得に積極的ではなくなりこの保険市場が停滞する一方、攻撃者はより高額の身代金を要求しようとしています。近年ではほとんどすべてのランサムウェアがサービスとして利用されるようになっており、サイバー犯罪者がランサムウェア攻撃を仕掛けることがさらに容易になっています。現在、多くのサイバー保険会社が身代金を含むランサムウェアの復旧費用を幅広く補償していることも、攻撃者が身代金要求額をこれまでにないほど高額に設定している一因となっていると考えられます。しかし、サイバー保険会社が今後も高額の補償を行うとは考えづらく、将来的にランサムウェアの被害者が高額の身代金を支払おうとしなくなったり、支払えなくなったりする可能性があります。とはいえ、ランサムウェア攻撃の数が減少することはないでしょう。なぜならランサムウェア攻撃は、巧妙な他のサイバー攻撃ほど多くのリソースを必要としないため、攻撃者にとってはどれほど見返りが少なくても実行する価値のある攻撃であるからです。」
本調査の詳細については、「ランサムウェアの現状 2022 年版」および 日本向けのサマリーレポート をお読みください。
本調査について
ソフォスは、独立系の調査会社 Vanson Bourne に委託し、31 カ国の中規模組織 (従業員数 100～5,000 人) の IT プロフェッショナル 5,600 人を対象にした、ベンダーに依存しない調査を実施しました。調査は 2022 年 1 月から 2 月にかけて実施され、回答者は前年度の経験に基づいて回答しました。オーストラリア、オーストリア、ベルギー、ブラジル、カナダ、チリ、コロンビア、チェコ共和国、フランス、ドイツ、ハンガリー、インド、イスラエル、イタリア、日本、マレーシア、メキシコ、オランダ、ナイジェリア、フィリピン、ポーランド、サウジアラビア、シンガポール、南アフリカ、スペイン、スウェーデン、スイス、トルコ、 UAE 、英国、米国の組織が本調査に参加しています。