ランサムウェアとは何か──手口と拡大する脅威

IBMの記事はランサムウェアを「被害者の機密データや端末をロックし、身代金を要求するマルウェア」と定義しています。初期は暗号化の解除キーと引き換えに身代金を求める単純な手口が中心でしたが、現在はデータ窃取や公開をセットにする手法が一般化しています。

攻撃は一般に「初期アクセス」「ポストエクスプロイト」「拡張」「データ収集と窃取」「展開と脅迫」の段階を経て進行します。代表的な侵入経路はフィッシング、ソフトウェアの脆弱性、不正なリモートアクセス（RDP）や資格情報窃取などで、踏み台としてトロイの木馬やRATが使われることもあります。

ランサムウェアには暗号化型（crypto）と画面ロック型の二種類があり、さらに漏洩（doxware）、モバイル向け、破壊型（wiper）、恐喝型（scareware）などの亜種があります。攻撃者は被害者のバックアップを削除・無効化したり、暗号化と併せてデータを流出させることで支払い圧力を高めます。

近年は「Ransomware as a Service（RaaS）」により開発者と実行者（アフィリエイト）が分業するモデルが普及し、攻撃の拡大と多様化を助長しています。IBMの報告はアクティブな攻撃グループの増加に対し、公表された被害件数の増加は小幅に留まる点を挙げ、検出・防御の改善が進んでいる可能性を示しています。