2026.03.05第29回ランサムウェア犯罪者に身代金を払わない理由と対処
他社のシステムに侵入する『ペネトレーションテスト』を業務とする筆者が、攻撃者の目線でセキュリティ対策について考えます。
株式会社トライコーダ 代表取締役
上野 宣 氏 氏
奈良先端科学技術大学院大学で情報セキュリティを専攻。2006年に株式会社トライコーダを設立。ハッキング技術を駆使して企業などに侵入を行うペネトレーションテストや各種サイバーセキュリティ実践トレーニングなどを提供。
ランサムウェアのビジネスモデル
ランサムウェア被害は以前から頻発していましたが、2025年9月・10月に起きたアサヒグループホールディングス社やアスクル社の事例は、商品の出荷停止といった社会的影響が大きく、多くの人がランサムウェアを身近に感じる契機となりました。
すでにランサムウェアは「データを暗号化してお金を取る」「情報を公開すると脅して支払いを迫る」というビジネスモデルが確立しています。被害者側からすると「身代金を払えば元に戻るのでは？」と考えがちですが、攻撃者の目線で見れば、組織として『支払わない』ことが長期的には最も合理的です。
では、「なぜ払ってはいけないのか」「払わないためには何をするべきか」を整理していきましょう。
身代金を払わない理由
➊ 復旧は保証されない
- 支払った後に「情報を公開するぞ」「追加で払え」と追加要求されるケース
- 支払っても暗号化解除ツールが正しく機能せず、データが完全に復元できないケース
攻撃者へ身代金を支払っても、必ずしもデータが元どおりになるとは限りません。つまり、支払いは“賭け”であり、復旧を確約するものではないということです。
❷ 犯罪者を支援・助長してしまう
- 攻撃者の収益源を補強することになり、次の攻撃を企てる動機づけになってしまう
- 「この組織は金を出す」という実績が知られると、同じ組織が再度狙われる可能性が高まる
身代金を支払う行為そのものが、攻撃者優位の構造を維持することにつながります。
❸ 法律・社会的なリスクを伴う
- 支払い先が経済制裁対象者やマネーロンダリングに関与する人物・団体である場合、法令違反の可能性
- 被害届や報告義務、サイバー保険との関係で「支払ったこと」が不利に働く可能性
日本でも海外でも、身代金を支払うことは法的リスクと社会的責任の問題を引き起こします。たとえ支払った直後に一部のデータを取り戻せたとしても、攻撃者に「お金を払う組織」と認識され、長期的なコストや新たな攻撃の誘発につながってしまうのです。
そのため、セキュリティの実務では「支払わない」方が合理的だとされつつあります。
攻撃者にとって魅力のない組織を目指す
攻撃者は“支払ってくれそうな組織”を狙います。一方、支払わない姿勢や備えがある組織は、攻撃者にとって利益が出にくい“面倒な標的”です。
準備不足で支払わざるを得ない組織は“美味しい標的”ですが、逆に言えば、準備を整えれば狙われにくくなります。「この組織は身代金を支払う」と一度判断されると、再度の攻撃の対象になりやすいでしょう。また、支払われて“回収成功実績”があると、攻撃者側にとっても宣伝材料になり、他の標的への誘引ともなります。このように、攻撃者視点では「支払わない組織を選ぶ / 支払いやすい組織を狙う」という選別が行われています。
よって、被害者側は「攻撃者にとって魅力のない組織」であることを目指すべきです。
身代金を払わないための対処・備え
攻撃を受けた直後は冷静な判断が難しい状況となります。以下のような対策を事前に講じることで、攻撃を受けても被害を最小化し、支払いを回避するための選択肢を確保することができます。
➊ 定期的なバックアップとリストア訓練
最も重要なのは、支払わなくても復旧できる状態を作ることです。
- 隔離されたオフサイトバックアップの複数世代保管
- 復旧手順の明文化と、定期的なリストア訓練の実施
事前準備があれば、攻撃を受けても「バックアップから復旧する」という判断を迅速に下せます。これが支払いを回避するための最大の武器となります。
❷ 支払わないポリシー策定と経営陣の意思統一
攻撃を受けた直後にどうするかを判断できるように、以下を整備しておくと良いでしょう。
- 「身代金を支払わない」という方針の明文化
- 経営層の承認と、緊急時の判断基準の共有
- CSIRT（Computer Security Incident Response Team）による初動フロー（隔離・通知・復旧）の定義
あらかじめ支払わない前提で備えておくことで、攻撃者に対して「この組織は支払わない」というメッセージを発する効果も期待できます。
❸ 脅威の検知・侵入防止・ネットワーク分離
備えだけでなく、そもそも侵入させない、被害を広げさせない対策も重要です。
- ランサムウェア侵入の入口となるVPNの管理不備やフィッシングメールなどの対策を強化する
- ネットワークをゼロトラストやセグメンテーションで分離し、1台の被害から全体に波及という被害形態を抑える
- OS・ソフトウェアのアップデート、脆弱性管理、侵入検知など、攻撃初動を遅らせる仕組みを整える
これらは攻撃のスピードを鈍らせ、復旧手段を確保するための時間稼ぎになります。
❹ 外部専門家・インシデント対応体制の構築
被害発生時、自社だけで解決するのは困難です。専門家との連携を整えておきましょう。
- サイバー保険、インシデント対応契約、フォレンジック専門会社・法務・広報を含めた体制を整備すること
- 「攻撃者と接触する / 交渉する」という選択肢もあるが、支払い前提ではなく「証拠確保・漏洩拡大防止・復旧優先」で判断すること
また、被害範囲の調査・法令対応・通知といった一連のプロセスも、事前に手順化しておく必要があります。
さいごに
身代金を払わないことこそ、攻撃者に“価値の低い標的”と見られるための第一歩です。「支払って終わり」ではなく、「支払わずに切り抜け、次につなげる」姿勢こそが、長期的なセキュリティ強化につながります。
本稿が、皆さまの組織におけるランサムウェア対策の一助になれば幸いです。
（「SKYSEA Client View NEWS Vol.106」 2026年1月掲載）