ランサムウェア被害というと「未パッチの脆弱性を突かれた」という構図を思い浮かべがちだが、実態はむしろ逆だ。米Proofpointが2026年3〜4月に12カ国のセキュリティ専門家953人に実施した調査では、過去1年間にランサム被害を経験したと答えた人が84%にのぼり、侵入の起点として最も多かったのは技術的な穴ではなく「人」への詐欺だった。
侵入経路トップは脆弱性ではなく「メールの詐欺」 #
きっかけとなった具体的な手口は不正リンク47%、不正添付ファイル46%、クレデンシャルハーベスティング36%、ビジネスメール詐欺(BEC)35%と続く。日本は不正添付ファイルが71%と突出しており、メール本文の作り込みに対する警戒がまだ薄いことをうかがわせる。
「本物に見えた」で見抜けない現場 #
防御が破られた最大の理由は「本物らしく見えたので従業員が疑わなかった」で40%を占めた。ここに追い打ちをかけているのがAIだ。被害企業の65%が「AIによって攻撃の実効性が高まった」と回答しており、文脈に沿った自然な文面が、これまで研修で教えてきた「不自然な日本語」という見分け方を無力化しつつある。
支払っても終わらない
身代金要求に応じた企業は54%。しかし支払った企業のうち37%が2度目の恐喝を受けている。攻撃者はシステムのロックよりも、認証情報と継続的なアクセス権の獲得そのものを目的にシフトしており、一度の支払いは「解決」ではなく「次の標的」の証明になりかねない。
技術的なパッチ管理だけでは、この34%を防げない。AI生成フィッシングを前提にした訓練と、侵入後の権限拡大・持続化を早期検知する体制の両輪が必須になっている。
COMMENTS 0
No comments yet — be the first to leave one.