ANZ組織の約3分の1が依然として支払いを選択

Commvaultの新たな調査は、多くのセキュリティ専門家が以前から抱いてきた疑念を裏付けた。ランサムウェアの身代金要求に応じることは、確実な解決策とは程遠い。同社の「State of Data Resilience ANZ 2026」レポートによると、オーストラリアとニュージーランド全域でランサムウェア攻撃を経験した組織の34%が、データが返却される、あるいはシステムが正常に復旧するという実際の保証がないにもかかわらず、身代金を支払ったことが分かった。

この調査結果が発表されたのは、ランサムウェアがこの地域の企業にとって、まれな危機的事象というより日常的な運営上の現実になりつつある時期のことだ。それでも、支払いの判断は多くの場合、冷静であらかじめ計画された対応戦略の一環としてではなく、進行中のインシデントの最中に極度のプレッシャーの下で下されている。

支払いが本当の問題を解決しない理由

Commvaultの調査結果で最も重要なのは、組織が支払っていることではなく、支払った後に何が起きるかだ。身代金を渡したからといって、盗まれたデータや暗号化されたデータが無傷で戻ってくるわけでも、攻撃者がシステムをロックする前に取得したコピーを削除するわけでもない。この違いはプライバシーの観点から極めて重要だ。今日のランサムウェアインシデントの多くは暗号化だけでなくデータ窃取も伴っており、つまり顧客記録、従業員情報、財務情報などは、身代金の交渉が始まる前からすでに組織のネットワーク外に流出している可能性がある。

同じ地域を対象とした関連調査は、この点をさらに明確にしている。その調査では、身代金支払いの36%がデータ復旧に失敗していることが分かった。つまり、支払った組織の3分の1以上が、それでもシステムやファイルが正常に機能しないままだった。言い換えれば、支払いは結果が保証された取引ではない。最後まで実行する法的・評判上の義務を負わない攻撃者を相手に行う賭けなのだ。

健康記録、財務情報、顧客の身元情報など、機密性の高い個人データを保有する組織にとって、これはプライバシーリスクをさらに深刻化させる。支払いが成功したとしても、すでに起きた露出がなかったことになるわけではない。暗号化の前に攻撃者によってコピーされたデータは、身代金が支払われたかどうかにかかわらず、依然として流出、売却、またはさらなる恐喝に利用される可能性がある。Commvaultの調査は、あまりにも多くのANZ組織が身代金支払いを復旧戦略として扱っていることを示唆している。実際には、それは損害がすでに発生した後に行う賭けのようなものにすぎないのに。

危機の中で決断を迫られるプレッシャー

このパターンが根強く続く一因は、そうした判断が下される環境にある。ランサムウェア攻撃は急速に深刻化する傾向があり、多くの場合、数時間以内にスタッフを重要なシステムから締め出す。業務が停止し、顧客やパートナーから問い合わせが来る中でのその種のプレッシャーの下では、支払いが平常状態への最短の道に感じられることがある。Commvaultのレポートは、これを、組織がテスト済みの既存計画の一環としてではなく、危機の最中に高リスクのランサムウェア対応を決定していると位置づけている。

この危機主導の意思決定こそが、対応よりも準備がはるかに重要である理由だ。テスト済みのバックアップシステム、明確なインシデント対応計画、攻撃者と関わるかどうかの事前合意基準を持つ組織は、その場で即興的に対応する組織よりはるかに強い立場にある。データは、多くのANZ企業がまだそのレベルの準備態勢に達しておらず、現時点で利用可能な唯一の手段に見えるという理由で支払いに頼っていることを示唆している。

あなたにとっての意味

あなたが消費者、従業員、またはいずれかの組織の顧客であるなら、この調査は、企業がランサムウェアの身代金を支払ったからといって自分のデータが安全であるとは限らないことを思い出させてくれる。たとえ企業がインシデントを解決したと発表しても、攻撃中に露出した情報は依然として流通している可能性がある。利用しているサービスの侵害通知に注意を払い、組織が身代金を支払った、またはシステムが復旧したと述べていても、それを真剣に受け止める価値がある。

企業で働いている人、特に顧客や従業員のデータを扱う企業では、教訓はより直接的だ。実際の攻撃の最中に初めて身代金支払いの判断を下すようなことがあってはならない。前もって計画し、バックアップをテストし、明確な対応手順を持つ組織は、Commvaultが説明するような、支払いがデータ返却を保証せず、身代金要求メモが届く頃にはプライバシー露出がすでに起きていることが多いという、勝ち目のないシナリオに直面する可能性がはるかに低い。

重要なポイント

  • ランサムウェアの身代金要求に応じても、データやシステムが復旧する保証はなく、すでに発生したデータ窃取が帳消しになるわけでもない。
  • 攻撃者は暗号化する前に情報を盗むことが多いため、身代金が支払われたかどうかに関係なく、データ露出とプライバシーリスクは存在し得る。
  • 組織は、インシデント発生前にランサムウェア対応計画を構築し、バックアップをテストすべきであり、発生中に行うべきではない。
  • 個人は、企業がインシデントを解決したと報告した場合でも、侵害通知に注意を払うべきである。

ランサムウェアはなくならず、Commvaultの調査は、ANZ組織がこうした判断を戦略的ではなく事後的に対応していることを明らかにしている。攻撃が発生する前に回復力を構築することが、事業運営と、組織が保護を委ねられた個人データの両方を守る最も確実な方法であることに変わりはない。