二重脅迫ランサムの手口！警察庁データで判明した身代金罠

「データが暗号化されただけでなく、身代金を支払わなければ顧客情報と取引先との契約書を専用の暴露サイトで全世界に公開すると脅迫された」

先日、年商10億円規模の卸売業を経営される社長様からこのような切実なご相談をいただきました。バックアップからデータが復元できたとしても、情報を盗み出されているため業務停止以上の社会的制裁に直面してしまう深刻な事例です。

現在のサイバー攻撃は、単にデータを暗号化する「従来型」から、暗号化の前に機密データを外部へ持ち出し、身代金支払いを拒絶すれば暴露サイト（リークサイト）に晒す「二重脅迫（ダブルエクストーション）」が完全に主流となっています。バックアップの確保だけでは経営破綻を防ぎきれないのが現場の冷徹な実態です。

📊 【公的統計エビデンスと被害額の内訳】

警察庁公表の「サイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害の約8割以上が二重脅迫等の複合手口を伴う攻撃であることが確認されています。
損保各社の事故対応実績データによると、情報暴露を伴うインシデントの事後対応費用は平均3,000万〜5,000万円規模に跳ね上がります。その内訳は「専門調査機関による流出データ特定・フォレンジック費用（800万〜1,500万円）」「漏洩通知・コールセンター設置および謝礼対応費用（1,000万〜2,000万円）」「弁護士費用・危機管理広報コンサル費用（500万〜1,000万円）」となっており、直接の身代金を支払わずとも莫大な損失が発生します。

1. なぜ無駄金を払わされてしまうのか / 被害の実態

多くの企業が「強固なバックアップ体制さえ構築しておけば、万が一暗号化されても身代金を払わずに復旧できる」という過去の常識にとらわれています。ここに攻撃者が付け込む最大の落とし穴があります。

攻撃者は社内ネットワークへ潜伏中、数日〜数週間にわたって機密ファイルを探し出し、圧縮してひそかに外部サーバーへ転送します。暗号化はあくまで「最後の手続き」に過ぎません。企業が「バックアップがあるから身代金は払わない」と毅然と拒絶しても、取引先の個人情報や財務データがネット上に公開され、取引停止や賠償請求へと追い込まれます。

焦った経営者が身代金を支払ってしまったとしても、警察庁等の報告では「暗号解除キーが送られてこない」「追加で金銭を要求される」「約束を破ってデータが転売される」事例が相次いでおり、犯罪者への支払いは何の解決にもなりません。

2. 費用対効果チェックシート：標準対策比較表

3. 明日から社内でゼロ円でできる基本防衛のステップ

二重脅迫の最大の恐怖である「機密データの持ち出し」を制限するために、高額な監視システムを即座に導入できなくても、明日から社内の権限設定で見直せる基本ステップは以下の3点です。

1. 共有サーバーの「誰でも見られる」フォルダの全廃： 社内ファイルサーバーのアクセス権限を点検し、人事情報・顧客名簿・財務データなどの最重要フォルダは特定の担当者のみアクセスできるよう制限してください。全社員閲覧可能なフォルダをなくすだけで、持ち出される被害範囲を極小化できます。
2. 不要な古い個人情報・取引先データの定期完全消去： 「過去10年分の見積書や取引先名簿」をサーバー上に放置しない運用を定着させてください。業務上保管義務のない過去データを定期的に削除することは、一切費用をかけずに流出時の賠償リスクを直接削り取る最善策です。
3. 身代金「不払い」方針の事前社内合意： 万が一脅迫を受けた際、焦りから攻撃者と交渉を始めてしまうケースがあります。警察庁および公的機関の指針通り、「反社会的勢力への資金提供につながり、復元の保証もない身代金は絶対に支払わない」という危機管理方針を経営幹部間で事前に合意しておくことが重要です。

4. 最後のセーフティネットとしての見極め方

二重脅迫ランサムウェアに遭遇した場合、問われるのは復旧技術だけではなく、個人情報保護法に基づく監督官庁への報告義務や被害者への個別通知といった法的手続きの迅速性です。

公的ガイドライン（IPA等）でも明記されている通り、データの流出疑惑が生じた時点で、専門機関によるフォレンジック調査を実施し、どのデータが漏れたのかを法的に確定させなければなりません。これら一連の対応費用は数千万円規模に達し、中小企業の資金繰りを急速に圧迫します。

万が一の際に事業活動を停止させず、専門調査や弁護士対応の費用をどう確保するのか、自社の純資産や手元流動性と照らし合わせてセーフティネットを客観的に検討しておく必要があります。

5. まとめ

二重脅迫の手口が定着した現代において、「バックアップがあるから大丈夫」という考え方は通用しなくなっています。

身代金を支払っても自社の安全は買い戻せません。まずは高価なツールを検討する前に、明日から社内サーバーのアクセス制限と不要データの消去という「ゼロ円の権限整理」を徹底してください。攻撃者に盗ませない体制を地道に整えることが、企業の信用と存続を守る確かな防波堤となります。