「ランサムウェア対策はバックアップで万全」――そう考えているIT担当者の方こそ、この記事を読んでいただきたい。2026年に入り、ファイルを暗号化せずにデータを窃取し、「公開するぞ」と脅すだけで身代金を要求する「データ恐喝型（ノーウェアランサム）」攻撃が急速に増加しています。Coveware by Veeamが2026年9月に公開したQ2レポートによれば、四半期の平均身代金支払額は前四半期比176%増の約188万ドルに急騰しており、被害の実態は従来の統計だけでは見えにくくなっています。暗号化がないためシステムは止まらず、被害に気づいたときにはすでに手遅れ――という状況が企業を苦しめています。本記事では、この新潮流の手口と、企業のIT担当者が今すぐ実施できる具体的な対策を分かりやすく解説します。
「暗号化しない」攻撃とは何か――ノーウェアランサムの仕組み
従来のランサムウェアは、企業内のファイルやサーバーを暗号化して業務を停止させ、復号キーと引き換えに身代金を要求するものでした。これに対し「データ恐喝型」または「ノーウェアランサム」と呼ばれる新手口は、ファイルを暗号化しません。攻撃者は標的のネットワークに侵入後、機密データを静かに窃取するだけで攻撃を終え、「このデータをダークウェブで公開する」と脅して金銭を要求します。
この手口が急増している背景には、身代金支払い率の急落があります。セキュリティ企業Kasperskyの調査では、2025年時点で被害企業の支払い率は28%まで下落しており、攻撃者がバックアップによる復旧を想定した従来型攻撃の「旨味」が薄れています。暗号化なしであれば、開発・実行コストが低く、バックアップがあっても防げない点が攻撃者にとって合理的な選択となっています。
システムが止まらないため、被害者企業は攻撃を受けたことに気づきにくく、発覚した段階ではすでにデータが外部に持ち出されています。経営者・法務・広報を巻き込む情報漏えいリスクとして、従来とは全く異なる対応が求められます。
最新レポートが示す被害実態――標的は中堅・中小企業
Photo by Markus Winkler on Unsplash
Coveware by Veeamが2026年9月に公開した「Q2 2026 ランサムウェア支払いトレンドレポート」は、いくつかの重要な実態を明らかにしています。
■ 身代金支払い額の二極化
平均支払額は前四半期比176%増の約188万ドルに急騰した一方、中央値は50%減の15万ドルに低下しました。この乖離は、ごく一部の高額事案（主に法律事務所を狙ったデータ恐喝）が平均を押し上げている構造を示しています。
■ 攻撃手法の主流は「横展開＋データ持ち出し」
最も多く観測された戦術は「ラテラルムーブメント（横展開）」と「データ持ち出し（窃取）」で、それぞれ全ケースの76%に登場しました。攻撃者はネットワーク内を静かに移動し、価値あるデータを特定・抽出します。
■ 中堅・中小企業が主な標的
被害組織の75.8%は従業員数11〜1万人規模の中堅・中小企業でした。特に101〜1,000人規模の企業が全体の35.4%を占めており、大企業だけの問題ではないことが分かります。
■ 被害が多い業種
ソフトウェア・サービス業（17.2%）、医療（14.1%）、専門サービス（13.1%）の順となっており、機密性の高いデータを扱う業種が集中的に狙われています。
巧妙化するソーシャルエンジニアリング――「社内ITサポート」を装う手口
データ恐喝型攻撃の多くは、高度なマルウェアではなく「人を騙す」ソーシャルエンジニアリングを入口にしています。特にCovewareレポートでも取り上げられた攻撃グループ「Silent Ransom（Luna Mothとも呼ばれる）」の手口は、企業のIT担当者にとって他人事ではありません。
主な手口としては以下が確認されています。
・ビッシング（音声フィッシング）: 電話で社内ITサポートや外部ヘルプデスクを装い、従業員を騙してログイン情報やMFAコードを聞き出す
・ヘルプデスクなりすまし: パスワードリセットやMFAリセットの申請を偽装し、攻撃者のデバイスをアカウントに登録させる
・対面侵入（物理的手口）: リモートでの侵入が難しい場合、社員を装って実際にオフィスに侵入し、USBデバイスを接続してデータを持ち出す事例もFBIが2026年5月に注意喚起しています
重要なのは、これらの攻撃が「正規の認証を使って侵入する」ため、従来のマルウェア検知ツールやファイアウォールでは防ぎにくい点です。最初の侵入は「正常なログイン」として記録されることがあります。
IT担当者がすぐに実施すべき5つの対策
Photo by Zulfugar Karimov on Unsplash
データ恐喝型攻撃は従来のバックアップ戦略だけでは防げません。以下の対策を優先的に実施してください。
① フィッシング耐性のあるMFA（多要素認証）の導入
SMSや音声認証はビッシング攻撃で突破されるリスクがあります。FIDOキーやパスキーなど、フィッシング耐性の高いMFAを特権アカウント・リモートアクセス・SaaS管理者・バックアップ管理者に優先導入してください。
② ヘルプデスク手順を「セキュリティ管理」として再設計
パスワードリセット・MFAリセット・デバイス登録などの問い合わせ対応を、なりすましを防ぐ「帯域外確認（別の連絡手段で本人確認）」手順に見直します。
③ データへのアクセス監視と異常検知の強化
大量データのアクセス・コピー・外部転送を検知できるDLP（データ損失防止）やSIEM（セキュリティ情報・イベント管理）ツールを導入・運用します。暗号化されなくてもデータ持ち出しを早期発見できる体制が不可欠です。
④ 従業員への継続的なセキュリティ教育
「実在するIT部門やベンダーから電話がかかってきてもすぐに応じない」「不審な依頼はチャット等で上司に確認する」といった行動習慣を組織全体に浸透させます。
⑤ インシデント対応計画に「データ漏えい」シナリオを追加
システムが止まらなくても情報が漏えいした場合の対応フロー（社内報告・監督官庁への届出・顧客への通知）を事前に整備しておきましょう。
バックアップは引き続き重要だが「それだけでは足りない」理由
Photo by Kevin Ache on Unsplash
「ランサムウェア対策 ＝ バックアップ」という認識は完全に否定されるものではありません。暗号化を伴う従来型攻撃に対しては、オフライン・オフサイトでの定期バックアップとリストア訓練が引き続き有効な防御策です。
しかしデータ恐喝型攻撃においては、バックアップから復旧できたとしても「すでにデータが流出している」という事実は変わりません。個人情報保護法や業界の規制に基づく報告義務、顧客や取引先への説明責任、レピュテーション（信頼）の毀損は、システム復旧とは別に企業を追い詰める要因となります。
Covewareのレポートでも指摘されているように、検知だけでなく「横展開を封じ込める能力」「データ持ち出しを素早く評価する能力」「バックアップ・隔離・再構築についての明確な意思決定権限」の3点が、現代のインシデント対応において重要です。
バックアップは必須ですが、今やそれは「最後の砦」の一つに過ぎません。多層防御（Defense in Depth）の考え方で、侵入前・侵入中・侵入後それぞれの段階に対策を組み合わせることが、現代の脅威環境には不可欠です。
よくある質問
データ恐喝型攻撃を受けたとき、身代金は払うべきですか？
基本的には支払いを推奨しません。Covewareのデータによれば、暗号化なしのデータ恐喝に身代金を払っても実際にデータが削除される保証はなく、支払率は15%程度まで低下しています。支払い前に必ずセキュリティ専門家および法律顧問に相談し、監督官庁への報告義務も確認してください。
中小企業でもデータ恐喝型攻撃の標的になりますか？
はい。Coveware Q2 2026レポートでは、被害の約35%が従業員101〜1,000人規模の中堅企業でした。攻撃者は企業規模より「保有データの機密性」を重視するため、医療情報や法的記録、顧客個人情報を扱う中小企業も積極的に狙われています。
社員がビッシング（電話フィッシング）を見分けるにはどうすればよいですか？
「ITサポートや外部ベンダーを名乗る電話では、絶対にパスワードやMFAコードを伝えない」というルールを徹底することが最初の一歩です。不審に感じた場合は、一度電話を切り、公式の連絡先に折り返して本人確認する「帯域外確認」の手順を組織として定めてください。
EDR（エンドポイント検出・対応）を入れていれば防げますか？
EDRは有効な防御ツールですが、データ恐喝型攻撃は正規の認証情報を使って侵入するため、EDRだけでの検知が難しいケースがあります。EDRに加えてDLP（データ損失防止）、SIEM、フィッシング耐性MFAを組み合わせた多層防御が現在のベストプラクティスです。