RSM報告書：オーストラリア企業の3社に1社がランサムウェア被害に

3分の1が被害、それでもほぼ全員が「安全」と認識

RSMオーストラリアの2026年サイバーセキュリティ報告書は、中堅・大企業に個人データを預けるすべての人にとって懸念すべき、認識と実態のギャップを浮き彫りにした。オーストラリアの中堅・大企業155社を対象とした調査に基づくこの報告書では、過去1年間におよそ3分の1がランサムウェア攻撃または恐喝の試みを経験していた。にもかかわらず、回答者の97%は、自社のデータは適切に保護されていると考えている。

この乖離は、役員会議室の外でも重大な意味を持つ。ランサムウェア攻撃が成功した場合、ロックされたり盗まれたりするのは、たいてい企業自身のファイルだけではない。顧客記録、従業員データ、健康情報、財務詳細もしばしば巻き添えになる。RSMが特定したこの自信とのずれは、多くの組織が、数字が要求する切迫感をもってそのリスクに対処していないことを示唆している。

なぜ「大手企業」が後れを取っているのか

RSMのデータに埋もれた、より直感に反する調査結果の一つは、大規模組織ほどサイバーセキュリティの準備態勢において中堅企業よりも遅れをとっているという点だ。従来の通念では、大企業には潤沢な予算、専門のセキュリティチーム、より成熟したガバナンスがあるとされる。今回の報告書によれば、その前提が実際には必ずしも当てはまらない。

このパターンはオーストラリアに限ったことではない。より大規模で複雑な組織は、レガシーシステム、拡散したベンダー関係、何層もの官僚主義を抱えていることが多く、たとえリソースが利用可能でも、それがセキュリティ上の意思決定を遅らせる。中国のサイバー作戦に関連するIBMイタリア子会社の侵害は、規模や評判が自動的にレジリエンスにつながらないことを改めて示している。重要インフラを管理する大規模組織も、子会社や請負業者、見過ごされたシステムを通じて脆弱性を露呈する可能性がある。それはまさに、小規模で機動性の高い組織であれば、保護すべき可動部分が単純に少ないために回避できる種類の複雑さだ。

ランサムウェアのプライバシーコストは身代金だけではない

ランサムウェアを純粋に事業継続の問題、つまりファイルが暗号化され、業務が停滞し、身代金要求が届く、と考えてしまいがちだ。しかし、現代のランサムウェア攻勢では、暗号化とデータ窃取が組み合わされるケースが増えている。つまり攻撃者は、システムをロックする前に機密情報を盗み出し、身代金が支払われたかどうかに関わらず、それを公開または売却すると脅迫するのだ。

この二重恐喝モデルこそが、RSMの調査結果が持つプライバシーへの影響が、通常よりもはるかに注目されるべき理由である。顧客の氏名、住所、支払詳細、健康記録を保管するあらゆる組織は、実質的に、サービスを提供する人々に代わってプライバシーリスクを抱え込んでいる。ランサムウェアの運営者が金銭を追求するとき、彼らは企業秘密だけでなく、従業員、顧客、患者の個人データをますます収益化している。ヘルスケアおよび医療機器企業はこれをよく示している。心臓病患者に影響を与えたiRhythmの2024年6月のデータ侵害や、サードパーティのクラウドアプリケーションが関与した関連のiRhythm侵害のようなインシデントは、単一の組織への攻撃が、時には影響を受けた個人がその関与すら知らなかったベンダーやクラウドサービスを通じて、極めて機密性の高い個人健康情報を暴露する可能性があることを示している。

ランサムウェアによる人的被害はさらに広がる。注目度の高い恐喝事件の背後には常に交渉人や捜査官が存在し、時には刑事訴追も行われる。それは、米国の恐喝事件で有罪判決を受けたフロリダのランサムウェア交渉人のケースにも見られるとおりだ。これらの事例は、ランサムウェアが抽象的な技術的脅威ではないことを強調している。それは、取引の両側に現実の財務的・法的な結末をもたらす組織的な犯罪事業なのだ。

これがあなたにとって意味すること

もしあなたがオーストラリアの中堅・大企業の従業員、顧客、患者であるなら、この報告書は期待値を再調整するための有益なきっかけとなる。調査対象グループ内でランサムウェアの影響を受ける確率が3分の1に上るという数字は重要であり、97%という自信の高さは、多くの組織が侵害リスクを明確に伝えていないか、自らのエクスポージャーを完全に把握していない可能性を示唆している。

個人にとって現実的な対応はパニックではなく、備えである。自分のデータを保有するどの組織もいずれ標的になり得ると想定し、それに応じて習慣を変えよう。機密性の高いアカウントには固有のパスワードを使用し、提供されている場所では必ず多要素認証を有効にし、侵害通知を日常的なノイズとして無視せずに注意を払うことだ。

組織にとって、RSMの調査結果は、自己評価による自信が、テスト済みの回復力の代わりにならないことを示す明確なシグナルである。定期的なペネトレーションテスト、インシデント対応訓練、サイバーリスクに関する正直な役員レベルへの報告は、内部意識調査よりもはるかに重要だ。

主要なポイント

• RSMオーストラリアの2026年サイバーセキュリティ報告書では、調査対象の中堅・大企業155社のうち、およそ3社に1社が過去1年間にランサムウェア攻撃または恐喝の試みを経験していた。
• そのエクスポージャーにもかかわらず、回答者の97%は依然として自社のデータは適切に保護されていると考えており、広範な過信を示唆するギャップがある。
• 大規模組織はサイバーレディネスにおいて中堅企業よりも遅れをとっているように見え、予算が大きければセキュリティが向上するという前提に疑問を投げかけている。
• ランサムウェアは暗号化に加えてデータ窃取を伴うことが増えており、身代金が支払われない場合でも個人情報や健康情報が頻繁に危険にさらされている。
• 個人は侵害通知を真剣に受け止め、組織が自社の防御についてどれほど自信があると主張していても、個人アカウントのセキュリティを強化すべきである。

オーストラリアにおけるランサムウェアは、少数の不運な企業に限定された周縁的なリスクではない。中堅・大企業にとって統計的に一般的な事象であり、RSMが記録した自信とのギャップは、攻撃そのものと同じくらいニュース価値があると言える。これらのインシデントがどのように展開し、組織がそれにどう対応するかについて情報を入手し続けることは、当面の間、自身のデータを守る最も簡単な方法の一つである。