「MFA導入済みでも97%が突破」ランサムウェアの主因はID侵害、ソフォス最新調査

ソフォスが公開した「ランサムウェアの現状2026年版」は、実際に被害を受けた組織へのアンケート調査から侵入経路の実態を浮き彫りにした。最大の発見は、ランサムウェア被害の67%が同時にID侵害インシデントでもあったという点だ。マルウェアの巧妙さよりも、盗まれた・推測された認証情報の方が主要な突破口になっているということであり、エンドポイント対策一辺倒の防御思想が時代遅れになりつつあることを示している。

「暗号化に成功」は増加傾向 #

攻撃の56%がデータの暗号化に成功し、うち16%は暗号化と同時にデータも窃取されていた。暗号化成功率は2025年の50%から上昇したが、2023年の75%よりは低い水準にとどまる。防御側の検知力は上がっているが、攻撃側の効率化も進んでいる綱引きの結果と言える。身代金を要求された組織のうち48%が実際に支払いに応じ、英国では要求額の中央値が250万ドルと各国で最高だった。復旧までは55%が1週間以内、16%は1日未満と、以前より短縮傾向にある一方、平均復旧コストは170万ドルへ増加している。

MFAだけでは防げない現実 #

特に注目すべきは、認証情報の窃取が根本原因となったインシデントのうち97%で、その組織にMFAが導入済みだったという数字だ。MFA自体が破られたわけではなく、適用範囲の穴——レガシー認証を残したVPN、MFA未対応の管理コンソール、リカバリーコードの使い回しなど——を攻撃者が突いた可能性が高い。日本オークション協会が今週公表したメールアカウント不正アクセスも、まさにこの種の認証突破から二次被害防止のパスワード強制リセットに追い込まれた例だ。ハッカー視点で見れば、次に狙うべきは新種のマルウェアではなく「MFAの穴」だと分かっているということでもある。守る側は、MFAを入れたことで安心するのではなく、適用範囲の棚卸しを継続する必要がある。統計が示すのは、次の投資先がエンドポイントの検知精度ではなく、ID基盤の穴埋めであるという地味だが動かしがたい優先順位だ。