イントロダクション：2025年のランサムウェア情勢サマリ
2025年はランサムウェアの形態がさらに多様化し、攻撃者は暗号化に加えデータの外部流出やAIを活用したソーシャルエンジニアリングを組み合わせる事例が増えています。組織側の対応力向上により平均的な復旧期間と被害コストは低下傾向にある一方、依然として高額な要求や業務停止リスクは継続しています。
本レポートでは（1）2025年に顕在化した代表的手口、（2）各種公的アドバイザリや業界報告に基づく検知・封じ込めの実務、（3）復旧（復元）と事後対策のベストプラクティスを、実務担当者向けに整理して提示します。
2025年に台頭した攻撃手法と傾向
1) データ外部流出（データ・エクストーション）と二重恐喝
暗号化による業務停止に加え、攻撃者が機密データを先に盗み公開をちらつかせる『二重恐喝（double extortion）』は引き続き有効な圧力手段です。いくつかのアクターは暗号化を行わずデータ流出のみで身代金を要求する傾向も見られます。これらの手法は被害対応の複雑性を高めます。
2) RaaS（Ransomware-as-a-Service）とアフィリエイト化
攻撃はサービス化が進み、技術的ハードルが下がったことで多様な攻撃者グループが短期間で活発化しています。特定のランサムウェアファミリ（例：Interlock、Play、Medusa 等）は公的機関からのアドバイザリで詳細なTTPが公開されており、これらを模倣・再利用する動きが観察されています。
3) AIの悪用と高度化するフィッシング
AIは攻撃者側でも活用され、より信憑性の高いフィッシング文面や偽装コンテンツの作成、ソーシャルエンジニアリングの自動化が確認されています。これにより初期アクセス獲得の成功率が上がるリスクがあります。
4) 初期侵入の主因：脆弱性と資格情報の悪用
2025年レポートでは、脆弱性の悪用と盗用された資格情報が依然として主要な初期アクセス経路であることが示されています。パッチ未適用や可視性不足が侵入を許す典型的な原因です。
検知・封じ込め・復旧の実務的ベストプラクティス
以下はCISA、FBI、業界レポートで共通して推奨される手順と考え方です。発災前、発災時、復旧後のフェーズ別に整理します。
発災前（予防と備え）
- 資産・可視化：重要資産の棚卸、ネットワーク可視化、攻撃面の特定。
- パッチと構成管理：OS・ソフト・ファームウェアの迅速な適用と脆弱性管理。
- 多要素認証（MFA）と最小権限：管理者・リモートアクセスでMFAを必須化。
- バックアップ戦略：オフラインまたはイミュータブルなバックアップを複数世代保有し、復旧手順を定期検証。
- EDR/MDRの導入：振る舞い検知・自動封鎖と外部専門家（MDR/IR）との連携。
発災時（検知と封じ込め）
- 即時隔離：影響範囲の特定とネットワーク切断、スイッチ単位でのオフライン化を検討。
- ログと痕跡の保全：フォレンジックのためにログ・メモリ・イメージを収集し、改ざんを避ける。
- 外部連携：法執行機関（FBI等）やCISAの#StopRansomwareアドバイザリを参照し、必要に応じ報告する。
復旧と事後対応
- バックアップからの復元優先：バックアップの整合性と復元計画に基づき段階的に復旧。
- 脅威の根絶と再発防止：攻撃の初期侵入経路を特定し、同様の経路を封鎖。
- 交渉・支払いの判断：支払いは法的・保険的観点と専門家助言を踏まえ慎重に判断。業界報告では支払い率が変動しており、交渉で支払額を下げる事例もある一方で支払いを選ばない事例も増えていることが示されています。
結論と実務的次のステップ
2025年の傾向は攻撃手法の高度化と多様化を示していますが、同時に検出・対応の成熟度向上により復旧時間やコストは改善しています。組織は技術的対策（パッチ・MFA・EDR）、運用的対策（バックアップ検証、IR演習）、外部連携（MDR・CISA等）を組み合わせてリスクを低減する必要があります。
推奨アクション（優先度順）:
- 重要資産とバックアップ方針の即時点検・復元テスト。
- 脆弱性管理の迅速化（重要脆弱性の72時間対応などを検討）。
- MFA・最小権限・ログ集約の徹底。
- IR計画の更新と外部専門家（MDR/IR）との連携契約。
本稿は公的アドバイザリと業界報告を基に作成しました。より詳細なIOCや検知ルール、テンプレート化された復旧チェックリストは、CISAの#StopRansomwareページやSophosのState of Ransomwareレポートを参照してください。