（出典：Shutterstock）


本連載ではこれまでランサムウェアに関する調査報告書をたびたび紹介してきたが、しばらく間が空いたので（注1）今回は約半年ぶりにランサムウェアを扱ったものを紹介させていただきたいと思う。

ITセキュリティの専門企業であるDelina社が2023年1月に発表した調査報告書「2022 State of Ransomware Survey Report」には、米国におけるさざざまな業界で、ITやセキュリティに関する意思決定に関わっている人（decision-makers）300人以上を対象として行われたアンケート調査の結果がまとめられている。同社は前年にも同様の調査を実施しているので、データの多くは前年との比較も含めて示されている。

なお本報告書は下記URLにアクセスして、氏名やメールアドレスなどを登録すれば、無償でダウンロードできる。
https://delinea.com/resources/2022-ransomware-survey-report
（PDF 13ページ／約 2.2 MB）


まず全体的な傾向として、ランサムウェア攻撃が前年と比べて減少していることが示されている。2021年の調査では回答者の64%がランサムウェア攻撃を受けたと回答しているのに対して、2022年には25%まで減少している。ただし従業員100人以上の企業においては2022年でも56%が攻撃を受けたと回答しているので、特に小規模企業に対する攻撃が大幅に減少したと言えそうである。

ランサムウェア攻撃が減少した要因としては、さまざまなセキュリティ対策が奏功している可能性に加えて、「Conti」と呼ばれていた著名なランサムウェア攻撃グループが解散したことが影響しているのではないかと、本報告書では推測されている。しかしながら一方で1件あたりの身代金支払額は大幅に増加しているようなので、決して楽観視できる状況とは言えない。

ところで、これまで本連載で報告させていただいた他の報告書において、身代金を払うべきではないことを裏付けるものが複数あったが（注2）、本報告書では実際に身代金を支払わないケースが増えてきたことが、データとして表れている。

図1は、直近の12カ月間にランサムウェア攻撃の被害を受けた回答者に対して、身代金を支払ったかどうかを尋ねた結果である。2021年と比べて、2022年には身代金を支払ったという回答が大幅に減少している。

画像を拡大 図1.  ランサムウェア攻撃に対する身代金の支払い状況 （出典：Delinea / 2022 State of Ransomware Survey Report）


本報告書では、このように身代金を支払わないケースが増えた理由として、FBIなど多くの機関からの助言に従う組織が増えてきた可能性と、サイバー保険の影響が指摘されている。特にサイバー保険の影響については、データの復旧などにかかる費用が保険金で賄えるようになったことで、身代金の支払いを避ける組織が増えてきたのではないかという見立てである。

本報告書は米国の1企業が単独で実施した調査の結果であり、調査対象の範囲がどの程度かが分からないため、本報告書だけで米国全体のトレンドを判断できるとは限らない。しかしながら同社の調査対象（恐らく同社の顧客や見込み客などが中心だと思われる）において、このような傾向がはっきりと示されたことは注目に値するであろう。