ホーム › タネアカシコラム › ランサムウェアが日本企業を狙う理由

ランサムウェア被害、半年で116件が示す「日本企業ばかり狙われる」本当の理由

「システムに障害が発生しています」。2026年7月、冷凍食品最大手のニチレイでそんな発表があった。8月14日、同社は従業員の氏名や生年月日などが漏えいした可能性があると追加で公表した。犯行声明を出したのは「RansomHouse」を名乗るランサムウェア集団だ。昨年9月にはアサヒグループホールディングスが同じ手口で出荷を半年近く止められている。なぜ、身近な食品メーカーばかりが繰り返し狙われるのか。答えは「対策が甘いから」だけでは説明がつかない。

半年で116件、過去最多に並んだ理由

警察庁が2025年9月に公表した「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年1〜6月に報告されたランサムウェアの被害は116件。これは半期の件数としては、過去最多だった2022年下半期と並ぶ水準だった。

ニチレイの案件はこの調査期間より後に起きたものだが、流れは変わっていない。7月13日にシステム障害を公表し、24日には冷蔵倉庫の入出庫と冷凍食品の出荷業務が復旧したと発表した。ところが8月14日、攻撃を受けたサーバーの一部に国内グループ会社の従業員情報が保管されていたことが判明し、氏名・生年月日・会社メールアドレス・従業員番号・人事労務関連の情報が漏えいした可能性があると追加で発表している。個人情報の不正利用の事実は確認されていないという。

犯行声明を出したのは「RansomHouse」。二重恐喝(ダブルエクストーション)と呼ばれる手口を使う集団で、同じ集団は文具通販大手のアスクルも標的にしている。アスクルは2025年10月にランサムウェア被害を公表したが、身代金交渉が決裂すると、RansomHouseは12月にデータの一部を公開。それでも要求が通らないと見るや、追加のデータを同じリークサイトに公開したと報じられている。一度盗まれたデータは、企業側の対応にかかわらず、繰り返し人質として使われる。

企業からの情報漏えいが相次いでいるのはニチレイに限らない。LINEヤフーの情報漏えいのように、行政指導を受けてもなお同じ構図が繰り返される例もある。食品や物流の分野が繰り返し狙われる背景には、工場や倉庫を動かす生産管理システムが、オフィスの業務システムほど頻繁に更新されないという事情もある。24時間稼働を止められない設備ほど、修正プログラムの適用が後回しにされやすい。狙われているのは、決して大企業だけではない。

📌 出典: 警察庁サイバー警察局、 日本経済新聞、 INTERNET Watch。 解釈と考察は当サイトが独自に執筆しています。

「バックアップがあれば大丈夫」が通用しない理由

多くの企業は「データのバックアップさえあれば、暗号化されても復元できる」と考えてきた。ところが二重恐喝は、この前提そのものを壊す手口だ。

手順はこうだ。まず攻撃者は社内ネットワークに侵入し、情報を外部にコピーする。次にファイルを暗号化して身代金を要求する。ここまでは従来型のランサムウェアと同じだが、二重恐喝はもう一段仕掛けがある。支払いを拒めば、盗んだデータを自分たちの「リークサイト」で公開すると脅すのだ。

つまり、暗号化された業務データは自社のバックアップで復元できても、外部に盗まれたデータの公開は止められない。取引先の連絡先、従業員の個人情報、契約書——それが実名入りでインターネット上にさらされる可能性が残る限り、「払わない」という選択は経営判断としてどんどん重くなる。

ランサムウェアはもう「大企業だけの対岸の火事」ではない。

読者にとって他人事ではないのは、この漏えいの矛先が「従業員」や「取引先」という、会社の外にいる人にも向く点だ。氏名やメールアドレスが流出すれば、それを悪用した偽の請求メールや、実在の取引先を装った標的型フィッシングに使われる恐れがある。自分が関わりのある企業から漏えいの通知が届いたら、まず疑うべきは「その通知メール自体が偽物ではないか」という点だ。企業からの正式な連絡は、通常、メール本文のリンクからID・パスワードの入力を求めることはない。

アサヒグループホールディングスは身代金を支払わなかった。その結果、受注システムの再開まで約2カ月半、出荷が完全に元へ戻るまでは半年近くを要した。個人情報の漏えいも、最終的に従業員5,117件・取引先110,396件が確認されている。「払わない」を貫くことは、決して無傷で済む選択ではない。

RaaSが変えた「狙われる企業」の顔ぶれ

なぜ、ここまで攻撃が広がっているのか。鍵になるのがRaaS(Ransomware as a Service)と呼ばれる分業の仕組みだ。

RaaSでは、ランサムウェアそのものを開発する集団と、実際に企業に侵入して感染させる「実行役」が分かれている。開発側は道具を貸し出し、身代金が入れば取り分をもらう。つまり、高度なプログラミング能力がなくても、道具さえ借りれば誰でも「攻撃者」になれてしまう。

分かりやすく言えば、コンビニのフランチャイズに近い構造だ。本部にあたる開発側が「攻撃キット」というブランドと仕組みを用意し、加盟店にあたる実行役がそれを使って個々の企業に攻撃を仕掛ける。本部は自らリスクを負って一件一件に侵入する必要がなく、実行役は自分でゼロから技術を開発する必要がない。双方にとって「割に合う」商売になっているからこそ、参入者は増え続ける。

警察庁の資料は、この裾野の広がりが被害拡大の背景にあると指摘している。実際、2025年上半期に確認された被害のうち、中小企業が77件と全体の約3分の2を占め、過去最多を更新した。かつてランサムウェアは大企業や重要インフラを狙う「高度な攻撃」というイメージだったが、いまは違う。

RansomHouseの手口にも、この構造がよく表れている。トレンドマイクロの分析によれば、同集団はVPN機器やリモートデスクトップ(RDP)といった、外部に公開されたまま放置されがちな古いシステムの脆弱性を突いて侵入する。さらに、自分たちを「セキュリティ監査の代行者」であるかのように装い、被害組織の脆弱性を「指摘してあげた」という体裁で金銭を要求することもあるという。専門の攻撃部隊が狙いを定めて忍び込むというより、外から見える隙を機械的に探して回る——それがいまのランサムウェアの実態に近い。

• ランサムウェア被害報告(2025年1〜6月・警察庁):116件、半期として過去最多に並ぶ
• うち中小企業:77件(全体の約3分の2、過去最多)
• アサヒグループHDの漏えい確認数:従業員5,117件・取引先110,396件

「結局は対策不足では」という反論への回答

ここまでの話には、当然強い反論がある。もっとも強いものを、自分で書いておく。

「VPNの脆弱性を放置していた」「パッチを当てていなかった」——結局は各社の対策不足であり、犯罪者の手口を語る前に、まず自社の管理体制を疑うべきではないか。この指摘は正しい。実際、多くの被害事例で、修正プログラムがすでに提供されていた脆弱性が突かれている。対策を怠っていい理由には一切ならない。

それでも私たちは、「対策不足」という説明だけで話を終わらせるべきではないと考える。理由は、RaaSと二重恐喝という仕組みそのものが、個々の企業がどれだけ努力しても、攻撃の総量は減らせない構造になっているからだ。

攻撃者にとって、狙う相手は無限にいる。ある企業が防御を固めても、実行役は次の脆弱な企業へ移るだけだ。分業化によって参入コストが下がった以上、攻撃を仕掛ける側の人数自体が増え続ける。1社1社が万全の対策をしても、業界全体・社会全体で見た被害件数はむしろ増える——これが、警察庁の統計が示している現実だ。

つまり必要なのは、「うちは大丈夫」という個社の安心ではなく、「盗まれる前提」でデータの扱い方や被害後の情報公開の仕組みを設計し直すことだ。ニチレイもアサヒも、被害を公表し、対象者への説明を続けている。この情報公開の速さと正直さこそが、二次的な信頼の毀損を防ぐ、いまの時代の「対策」の一部になっている。

サイバー保険への加入や、被害範囲を早期に公表する企業は増えている。「隠す」よりも「認めて説明する」ほうが、結果的に信頼の毀損を抑えられると分かってきたからだ。ただし、それは攻撃を受けたあとの傷を浅くする仕組みであって、攻撃そのものを止める仕組みではない。RaaSという分業経済がある限り、被害件数のグラフはこの先も簡単には下向きにならないだろう。

よくある質問

ランサムウェアとは何ですか?

企業や個人のパソコン・サーバーに保存されたデータを勝手に暗号化し、元に戻すことと引き換えに金銭(身代金)を要求する不正プログラムです。近年は暗号化に加えてデータを盗み出し、「公開されたくなければ払え」と迫る二重恐喝型が主流になっています。

身代金を払えば、盗まれたデータは本当に消してもらえるのですか?

その保証はありません。相手は犯罪組織であるため、支払ったあとにデータが実際に削除されたか確認する手段は基本的になく、再び金銭を要求される事例も報告されています。警察庁や各国の捜査機関は身代金の支払いを推奨していません。

なぜ中小企業まで狙われるようになったのですか?

RaaS(Ransomware as a Service)と呼ばれる分業の仕組みが広がったためです。攻撃ツールを開発する集団と、実際に企業に侵入する実行役が分かれたことで、高度な技術がなくても攻撃に参加できるようになり、対策が手薄になりがちな中小企業が新たな標的になっています。

まとめ

ニチレイの情報漏えいも、アサヒグループの半年に及ぶ出荷停止も、「特別に管理が甘い会社」に起きた特殊な事件ではない。RaaSが攻撃の参入障壁を下げ、二重恐喝がバックアップという最後の砦を無効化した——そのしわ寄せが、たまたま公表のタイミングが重なった食品メーカーに表れているだけだ。

次に同じニュースを見たとき、「またセキュリティが甘かったのか」で終わらせず、攻撃する側のコストがどれだけ下がっているかに目を向けてほしい。それが、この問題の実像に近づく最初の一歩になる。そして、自分が利用している企業から漏えいの知らせが届いたときは、まず落ち着いて公式サイトで発表内容を確認し、心当たりのないメールやSMSのリンクは踏まない。それだけで、次の被害の連鎖に自分から加わらずに済む。

関連記事:LINEヤフー情報漏えいの理由と繰り返す訳 / 時事・社会の記事一覧

▶ 次に読む ⚽ スポーツ 衝撃花巻東の本盗、サインは「エンドラン」だった真相 花巻東の本盗が甲子園で話題だが、実際のサインは本盗ではなく「エンドラン」だった。捕手の後逸で赤間史弥が生還した経緯と、佐々木洋監督が明かした采配の真相を整理する。