IBM 2025年データ：ランサムウェアの中小企業へのコストは440万ドル、身代金は11万5千ドルではない

IBMの2025年データ侵害コストレポートは、セキュリティ専門家が何年にもわたって警告してきたことに、明確な数字を示しました。それは、身代金要求額がランサムウェア攻撃の真のコストではないということです。同レポートによると、ランサムウェアインシデントの平均総コストは440万ドルに達し、平均身代金要求額の11万5千ドルを38倍以上も上回っています。ランサムウェアや恐喝に直接関わる侵害に絞ると、平均コストはさらに508万ドルにまで上昇します。

中小企業（SME）にとって、これらの数字は他人事ではありません。これは、企業が（できれば支払いたくないと考えている）身代金支払いに予算を割いている場合と、復旧、ダウンタイム、法的リスク、風評被害まで考慮した場合の、実際に攻撃によって失われる金額とのギャップを表しているのです。

見出しの裏にある数字

身代金要求額とインシデント総コストの38倍という倍率は、IBMのレポートの中で最も重要な数字であり、通常以上に注目されるべきです。ランサムウェアに関する会話の大半は、身代金そのもの、つまり攻撃者がいくら要求しているのか、支払うべきか、どう交渉するか、に焦点が当てられがちです。しかしIBMのデータが示すのは、身代金という数字への固執が、本当の財務的脅威を見えにくくしているということです。

11万5千ドルの身代金要求は、痛手ではあってもなんとかやりくりできる事業費に聞こえます。しかし440万ドルという総コストとなると話は別で、給与支払い、ベンダー契約、顧客の信頼、そして場合によっては事業そのものの存続にまで影響が及びます。ランサムウェアと恐喝による侵害で508万ドルという値は、このカテゴリーのインシデントが、組織が直面しうる最も高額なデータ侵害のタイプの一つであることを裏付けています。

身代金要求額が最も小さな請求項目である理由

身代金と総コストにこれほどの開きがあるのは、ランサムウェアがファイルを暗号化するだけでは済まず、業務を停止させるからです。システムはオフラインになり、従業員は仕事に必要なツールにアクセスできなくなります。顧客向けサービスは機能を停止します。復旧チームを、しばしば緊急対応として呼び込む必要があり、攻撃者からの復号キーを信頼するのではなく、インフラをゼロから再構築しなければなりません。

業務の混乱に加えて、システムが復旧した後も長期にわたって積み重なるコストがあります。規制当局への通知、罰金の可能性、顧客離れ、弁護士費用、そして公に侵害を開示した後に生じる評判の低下です。IBMの広範なデータ侵害コスト調査は、一貫して、当初の恐喝要求ではなく、こうした後続コストが組織が最終的に負担する費用の大部分を占めることを示してきました。ランサムウェアは、これらすべてのコストをより短期間で混沌とした時間枠に凝縮するにすぎません。

中小企業が第一の標的である理由

中小企業が格好の標的となるのは、まさに、大企業に比べてセキュリティ予算が少なくITチームも手薄である一方、貴重な顧客情報や財務データを保持している傾向があるからです。攻撃者は、より小規模な組織ほど冗長システムや専任のインシデント対応スタッフがなく、長期の停止を重大な結果なしに吸収できるだけの資金準備もない可能性が高いことを知っています。

この構図は、最近のランサムウェアキャンペーンに如実に表れています。Qilin や The Gentlemen などのグループは、特に中小企業に対する攻撃を激化させており、RaaS（サービスとしてのランサムウェア）市場での優位を競うべく、反撃の備えが弱い組織を狙っています。IBMのコストデータがこの理由を説明しています。攻撃者にとって中小企業は、実際の支払い能力と比較的手薄な防御が組み合わさった存在であり、だからこそこの層が照準に据えられ続けるのです。

これがあなたにとって意味すること

中小企業を経営している、あるいはそこで働いているなら、これらの数字はランサムウェアリスクの捉え方を変えるはずです。適切な問いは「いざというとき身代金を支払えるか」ではなく、「数週間に及ぶダウンタイム、復旧費用、その後の影響を含めたインシデントの総コストを乗り切れるか」です。その総コストは、IBMのデータによれば、数万ドル単位ではなく数百万ドル単位なのです。

これはプライバシーにも直接的な影響を及ぼします。ランサムウェアのインシデントは、暗号化と並行してデータの窃取を伴うことが多く、たとえ身代金を支払っても顧客や従業員の個人情報が流出する可能性があります。ランサムウェアを単なるIT停止リスクと見なす企業は、データ窃取を伴う侵害の後に生じるプライバシーやコンプライアンスの義務を過小評価することになります。

実践的な教訓

これらのコストの規模を考えれば、防止と準備態勢が交渉戦略よりもはるかに重要です。優先すべき具体的なステップをいくつか挙げます。

• 定期的で検証済みのバックアップを、オフラインで、あるいは攻撃者が主要システムと一緒にアクセスして暗号化できない方法で保管する。
• 攻撃が発生してからではなく、事前にインシデント対応計画を策定し、ダウンタイムや開示、法執行機関への連絡に関する意思決定を行う役割を明確にする。
• 多要素認証、適時なパッチ適用、従業員のフィッシング意識向上といった基本的なセキュリティ衛生に投資する。多くのランサムウェア感染は、たった一つの漏洩した認証情報やメールのクリックから始まる。
• データ窃取を伴うランサムウェアは、身代金支払いの有無にかかわらず法的義務を引き起こす可能性があるため、データ侵害の通知義務を事前に理解しておく。

IBMの2025年の調査結果が明らかにしていることは一つです。それは、身代金要求という数字が、ランサムウェアがもたらす真の財務的脅威から目をそらすものだということです。中小企業にとって、11万5千ドルの要求額と440万ドルの損害との差を埋める取り組みは、攻撃者が最初のメッセージを送るよりもずっと前から始まるのです。