本来なら警報を鳴らすべき、目立たない数字
Sophosは毎年、State of Ransomwareレポートを発行しています。これは、ランサムウェアの被害を受けた組織のITおよびサイバーセキュリティ責任者を対象とした、同社が独立系かつベンダー中立と説明する調査に基づいています。2025年6月に発行された2025年版は、従業員数100〜5,000人の組織に属する17か国の回答者3,400人を対象としています。2025年12月には、Sophosは別の切り口としてThe State of Ransomware in Enterprise 2025を発行し、従業員数1,000〜5,000人の企業に属する回答者1,733人を対象としました。Sophosは各レポートに調査を実施した年（2025年1月〜3月）の名前を付けているため、レポートで扱われている攻撃の多くは2024年に発生したものです。
主要な調査結果は心強いものです。データ暗号化の発生率は低下し、復旧は速くなり、身代金を支払う被害者は減っています。
しかし、エンタープライズ版のレポートには、すべてのCISOのホワイトボードに書かれるべき数字が含まれています。
データを暗号化された企業のうち、バックアップを使って復元した割合は2024年の73%から2025年には53%に低下しました。Sophosはこれを4年間で最も低い水準としています。
もう一度読んでみてください。防御側がランサムウェアを暗号化の前に阻止する力を高めた年に、暗号化の被害を受けた企業は、自社のバックアップから復旧できる可能性が目に見えて低下していたのです。
これは些細な補足ではありません。私たちは、これがSophosのデータの中で戦略的に最も重要な発見だと考えています。見出しの数字は1つの物語を語り、リカバリのデータは別の物語を語っています。本記事では、このデータがランサムウェアに対するレジリエンスについて何を明らかにしていると私たちが考えるのか、そしてなぜバックアップへの信頼度が最も重要な指標になったのかを見ていきます。
表面的な物語：防御側が優勢になっている
まずは良いニュースから始めましょう。実際に良いニュースもあるからです。
2025年のメインレポートの回答者3,400人全体では、次のとおりです。
- データ暗号化は攻撃の50%に低下しました。 2024年の70%から下がり、調査開始以来6年間で最も低い割合です。
- 身代金を除いた平均（算術平均）の復旧コストは、273万ドルから153万ドルに減少しました。
- 身代金の支払額の中央値は50%減少し、2024年の200万ドルから2025年には100万ドルになりました。
- 被害者の53%が1週間以内に完全に復旧し、2024年の35%から増加しました。
- データを暗号化された被害者の49%が身代金を支払い、2024年の56%から減少しました。
エンタープライズ版レポートによると、企業については次のとおりです。
- データ暗号化は攻撃の49%に低下し、2024年の66%から下がりました。
- 暗号化の前に阻止された攻撃の割合は2年間で2倍以上になり、2023年の22%から2025年には47%になりました。
Sophosは、暗号化の減少を、組織が「are more capable of stopping attacks before the encrypted payload is deployed」（訳：暗号化ペイロードが展開される前に攻撃を阻止する能力が高まっている）ことの表れと解釈し、復旧の迅速化を「cyber incident preparation and recovery readiness」（訳：サイバーインシデントへの備えとリカバリ態勢）への投資の表れである可能性があるとしています。これらの数字だけを見れば、業界は転換点を越えたように見えます。
ところが、リカバリのデータにたどり着くと話が変わります。
すべてを明らかにする矛盾
楽観的な物語を複雑にするのが、次のデータです。
データを暗号化された企業のうち、バックアップを使って復元したのは53%で、前年の73%から低下しました。同じ期間に、データを取り戻すために身代金を支払った企業は55%から48%に減少しました（エンタープライズ版レポート）。どちらの手段も縮小したのです。データを暗号化された企業の3分の1近く（30%）はその他の手段を使ったと回答しており、Sophosはそれに「restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems」（訳：シャドウコピーからの復元、エンドポイント保護のロールバック機能の利用、影響を受けていないシステムからのデータ復旧）が含まれる可能性があるとしています。
2024年には、バックアップは身代金の支払いを18ポイント上回っていました（73%対55%）。2025年には、その差は5ポイント（53%対48%）でした。支払う企業が減っているのは良いニュースです。しかし、支払いを不要にするはずだったリカバリのレイヤーが担う役割は、大きくなるどころか小さくなっています。
Sophos自身のまとめは率直です。「Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience.」（訳：これらの調査結果は総合的に見て、要求に対する抵抗力の強まりと同時に、バックアップのレジリエンスの弱さと欠如を示している）
「weaknesses and lack of backup resilience」（バックアップのレジリエンスの弱さと欠如）。私たちが注目しているのはこの部分です。防御側は攻撃を早い段階で阻止するのが上手になっています。しかし、攻撃が成功してデータが暗号化されたとき、セーフティネットであるはずのバックアップが使われる頻度は下がっています。
これは、ランサムウェアがより手ごわくなったという話ではありません。バックアップのアーキテクチャの弱点が露呈しているという話です。
なぜバックアップはいざというときに機能しないのか
Sophosのレポートは、バックアップの利用が減った理由を述べていません。調査が記録しているのはデータがどのように復旧されたかであり、バックアップが使われた理由や使われなかった理由ではありません。以下の3つのパターンは私たちの解釈であり、Sophosのデータがある場合はそれによって裏付けています。
パターン1：バックアップが本番環境と一緒に侵害されている
攻撃者は意図的にバックアップを狙います。Sophosの侵害されたバックアップに関する2024年の調査では、ランサムウェアの被害を受けた組織の94%が、攻撃者がバックアップの侵害を試みたと回答しており、その試みの57%が成功していました。バックアップを侵害された組織は、身代金を支払う可能性がほぼ2倍高く（67%対36%）、復旧コストの中央値は8倍（300万ドル対37万5,000ドル）でした。
データ窃取がさらに圧力を加えます。エンタープライズ版レポートでは、データを暗号化された企業の30%がデータも盗まれていました（企業の被害者全体の15%）。クリーンなリストアを行っても、すでに外部に持ち出されたデータについては何もできません。
バックアップシステムが本番環境とドメイン、IDプロバイダー、あるいは認証情報のセットを共有しているなら、それは独立したリカバリのレイヤーではありません。同じキルチェーンにおける次の標的です。
パターン2：「バックアップの成功」は「リストアの成功」と同じではない
エンタープライズのデータには直接的なシグナルが含まれています。当初の身代金要求額を上回る金額を支払った72社のうち、42%が理由として「Our backups failed or were malfunctioning」（訳：バックアップが失敗した、または正常に機能しなかった）を挙げました（エンタープライズ版レポート）。対象となるグループは小さいものの、企業の被害者自身が、バックアップが持ちこたえなかったとはっきり述べているのです。
人的なコストも明らかです。データを暗号化されたすべての企業が、IT／サイバーセキュリティチームへの影響を報告しています。40%は経営幹部からのプレッシャーの増大を、39%は将来の攻撃に対する不安やストレスの増大を報告し、27%のケースではチームのリーダーが交代させられていました。
「成功」と記録されたジョブログが示すのは、バックアップが実行されたということです。ビジネスが必要とする速度と完全性でリストアが機能することまでは示しません。
これこそ、3-2-1-1-0ルールの「0」が対処する障害のパターンです。Veeamのセキュリティのベストプラクティスガイドは、これをSureBackupによるすべてのバックアップの自動リカバリ可能性検証における「0 errors」（訳：エラーゼロ）と定義しています。完了したジョブは検証済みのリストアではありません。そして検証は、実際のインシデントで直面するリカバリシナリオをテストしてこそ意味を持ちます。
パターン3：組織のレイヤーが最も弱い環
2025年、Sophosは初めて、被害者を無防備な状態にした組織的な要因について尋ねました。メインレポートの回答者3,400人全体では、次のとおりです。
- 40.2%が専門知識の不足を挙げました。 攻撃を時間内に検知して阻止するためのスキルや知識がなかったということです。
- 40.1%が未知のセキュリティギャップを挙げました。 自社が把握していなかった防御上の弱点です。
- 39.4%が人員またはキャパシティの不足を挙げました。
- 回答者は平均で2.7の要因を挙げていました。
エンタープライズ版の結果はほぼ同じです。未知のセキュリティギャップ（40%）、人員またはキャパシティの不足（39.2%）、専門知識の不足（38.9%）が上位を占め、平均で3つの要因が挙げられていました。
率直に読めば、セキュリティチームは人員とスキルが不足しており、自分たちでは見えない死角を抱えているということです。私たちは、バックアップ基盤は3つの弱点すべてが交わる場所にあると考えています。バックアップを運用する人が、インシデント対応、パッチ適用、ID管理も担っている場合、バックアップ基盤はインシデントが起きて役割を果たすよう求められるまで、アーキテクチャ面で注目されることはめったにありません。
業種別レポートが付け加えること
Sophosは2025年の調査の業種別版も発行しています。
製造業（回答者332人）では、暗号化率は40%に低下して過去5年間で最も低くなり、身代金の支払額の中央値は120万ドルから100万ドルに下がりました。47%が、IT／サイバーセキュリティチームにおける将来の攻撃への不安やストレスの増大を報告しています。バックアップの利用は58%で横ばいでした。
小売業（16か国の回答者361人）では、暗号化率は48%に低下し、こちらも5年間で最も低い水準でした。最も多く挙げられた運用上の要因は未知のセキュリティギャップで、被害者の46%が挙げています。データを暗号化された小売業者の58%が身代金を支払っており、Sophosはこれを「the second highest ransom payment rate in five years」（訳：過去5年間で2番目に高い身代金支払い率）としています。身代金の要求額の中央値は100万ドルから200万ドルへと倍増し、バックアップの利用は62%に低下して、4年間で最も低くなりました。
業種別の状況はまちまちです。小売業ではバックアップの利用が減少し、製造業では横ばいでした。業種別レポートとエンタープライズのデータに共通しているのは、予防がバックアップによるリカバリよりも速いペースで改善しているという点です。どちらの業種でも暗号化率は低下しましたが、バックアップの利用は減少するか横ばいでした。私たちの見解では、この予防の成熟度とリカバリの成熟度のギャップにこそ、身代金の支払いが生まれる余地があります。
Sophosのレポートが推奨していること（そして私たちがより重視したい点）
メインレポートとエンタープライズ版レポートは、どちらも同じ4つの推奨事項で締めくくられています。
- 予防：レポートが特定した技術的・運用上の根本原因を取り除くこと。
- 保護：強固な基盤となるセキュリティ。エンドポイント（サーバーを含む）を十分に防御し、悪意ある暗号化を阻止してロールバックできる専用のランサムウェア対策も備えること。
- 検知と対応：24時間365日の脅威の検知と対応。社内にリソースやスキルがない場合は、MDR（Managed Detection and Response）プロバイダーを通じて実現すること。
- 計画と準備：実行に習熟したインシデント対応計画を持ち、質の高いバックアップを取り、そこからデータをリストアする練習を定期的に行うこと。
いずれも正しい内容です。バックアップも、計画と準備の項目の中で一文だけ触れられています。企業のバックアップに関する数字を踏まえると、私たちはリカバリにもっと重みを置くべきだと考えます。
リカバリのアーキテクチャそのものを、防御するだけでなく近代化しなければなりません。
ハードウェア障害や誤削除から復旧するために設計されたバックアップ環境と、すでにネットワーク内部にいてまずバックアップを狙う攻撃者から復旧するために設計されたバックアップ環境は、同じではありません。前者は冗長性の問題であり、後者はアーキテクチャの問題です。リストアの練習は必要ですが、練習に使ったバックアップに攻撃者が到達できるのであれば役に立ちません。
バックアップ信頼度のギャップ：代わりに何を測定すべきか
2025年のSophosのデータから運用上の変更を1つだけ持ち帰るとすれば、これにしてください。バックアップの成功率をリカバリの指標として扱うのをやめ、バックアップ信頼度を測定し始めることです。
バックアップの成功率は、バックアップソフトウェアが無料で提供してくれる指標です。それが答えるのは、ジョブが完了したかどうかという1つの問いだけです。それ単体ではリカバリの指標にはなりません。私たちは、ダッシュボードが示すものとインシデントで実際に得られるものとのギャップが、バックアップによるリカバリが20ポイント低下したことの一因になっていると考えています。
バックアップ信頼度は、別の問いを投げかけます。
- ティア1のシステムを、今日、攻撃を受けている状況下で、イミュータブルなストレージから、定めたRTO以内にリストアできるか？
- 本番環境のIDプロバイダーが侵害されたときにも、リカバリ手順は機能するか？
- 本番環境のいかなる認証情報でも保持ポリシーを変更できないことを検証したか？
- ジョブの完了だけでなく、攻撃者の振る舞いについてもバックアップシステムのテレメトリを監視しているか？
- インシデント対応チームが「支払うべきか？」と問われたとき、その答えの技術的な根拠は何か？
これらの問いには答えがあります。多くの企業は、自社の答えをまだ知りません。
2025年のSophosのデータから私たちが読み取ること
レポート全体を読んで私たちが見て取るのは、次のような物語です。
組織は、ランサムウェアがデータを暗号化する前に阻止する能力を大きく高めています。これは本当の改善であり、評価に値します。
しかし、リカバリのレイヤー、つまりクリーンなバックアップから復元できるので身代金を支払う必要はないという約束が担う役割は小さくなっています。エンタープライズのデータにおいて、バックアップによるリカバリの20ポイントの低下は煙です。私たちは、その下にあるアーキテクチャ上のギャップこそが火元だと考えています。
規制業種の企業、複雑なハイブリッド環境を運用する企業、あるいは単に次のランサムウェア攻撃の資金源になりたくない企業にとって、今こそこの議論をすべきときです。問うべきは「バックアップはあるか？」ではありません。問うべきはこれです。自社のバックアップアーキテクチャは本物の攻撃者に耐えられるか、そしてそれが必要になる前に証明できるか？
BackupSecは信頼度のギャップにどう取り組むか
BackupSecは、バックアップ環境は通常の状況で運用できるだけでなく、敵対的な状況下で可視化され、テストされていなければならないという前提に立って取り組んでいます。当社の3つのサービスが、上記の失敗に対応しています。
- ZeroMON はVeeam Backup & Replicationを監視します。ジョブの健全性、誰が何をいつ変更したかを記録するForensic & Auditの証跡を伴う構成ドリフト、Security Analyzerのチェックリスト、レポート、そして監視アプライアンス上のハニーポットを提供します。イミュータビリティのステータスはVeeam自身のリポジトリ設定が報告するとおりに表示します。読み取るのはVeeamの構成であり、ストレージ上のオブジェクトレベルのロックを検証することはありません。アラートはメールとアプリ内通知で送られます。ZeroMONはOVAとしてオンプレミスに展開し、読み取り専用アカウントで接続します。収集したものがBackupSecや第三者に送信されることはありません。
- ZeroTAM は、アーキテクチャのレビュー、ランサムウェアからのリカバリ計画、キャパシティプランニング、そして優先的な危機対応サポートのために、専任のバックアップセキュリティアドバイザーをお客様のチームに提供します。ソフトウェアではなくアドバイザリーサービスであり、上で述べた専門知識の不足とキャパシティの不足という調査結果に直接応えるものです。
- ZeroPEN は、Veeam Backup & Replication、Veeam ONE、Enterprise Managerを対象とした脅威主導型のペネトレーションテストです。MITRE ATT&CKにマッピングされたランサムウェアのキルチェーンを8つのステージでシミュレートします。初期アクセス、探索とインベントリ作成、認証情報の悪用、Veeamサーバーの侵害、リポジトリへのアクセス、バックアップの無力化、データ持ち出しのシミュレーション、暗号化能力の実証です。非破壊型のテストであり、ZeroPENは「never deletes real backups, performs real encryption, or stops production or backup services」（訳：実際のバックアップを削除することも、実際の暗号化を行うことも、本番サービスやバックアップサービスを停止することもない）としています。エンゲージメントにはリストアの完全性とイミュータビリティの検証も含まれ、監査対応可能なレポート一式と重大な指摘事項の再テストをもって完了します。
当社はお客様のバックアッププラットフォームを置き換えるものではありません。すでに運用しているプラットフォームを可視化し、テストするお手伝いをします。
Sophosのエンタープライズのデータにある53%は、避けられない運命ではありません。私たちの見解では、それは異なる脅威を前提に構築されたバックアップアーキテクチャを反映したものです。
バックアップのセキュリティについてBackupSecに相談する →
本分析は、SophosのState of Ransomware 2025レポート、State of Ransomware in Enterprise 2025レポート、および2025年の業種別レポートに基づいています。解釈はBackupSec独自のものです。Sophosはその後The State of Ransomware 2026を発行していますが、本記事は2025年のデータを扱っています。これらの調査結果がお客様の環境にどう当てはまるかについては、当社チームにお問い合わせください →