警鐘を鳴らすべき、静かな数字
Sophosは毎年、特定のベンダーに偏らない形で数千人のITおよびサイバーセキュリティ責任者を対象とした調査に基づき、『State of Ransomware』レポートを公開しています。2025年版では17カ国から3,400人の回答者を対象に調査が行われ、そのうち1,733人はエンタープライズ企業(従業員1,000人以上)からの回答でした。見出しとなる調査結果は非常に興味深いものです──データ暗号化率は低下し、復旧は迅速化し、身代金の支払いを拒否する組織が増えています。
しかし、エンタープライズ企業のデータの中には、すべてのCISOのホワイトボードに書き留めておくべき数字が埋もれています。
ランサムウェア攻撃からの復旧にバックアップを利用した割合は、2024年の73%から2025年には53%へと低下し、過去4年間で最低水準となりました。
もう一度読んでみてください。防御側がランサムウェアの阻止において向上したとされるまさにその年に、自社のバックアップに頼って復旧する能力は、明確に悪化していたのです。
これは些細な補足事項ではありません。Sophosのデータセット全体の中で、戦略的に最も重要な発見であるにもかかわらず、そのことに言及する人はほとんどいません。
BackupSecでは、2025年のSophosレポートを、多くのアナリストによる要約とは異なる視点で読み解いています。見出しとなる数字が語る物語と、その背後にある運用データが語る物語は別のものです。本稿では、このレポートが現代のランサムウェア耐性について実際に明らかにしていると私たちが考える内容、そして「バックアップへの信頼性」がなぜ静かにエンタープライズのサイバー防御における最重要指標となったのかを解説します。
表面的な物語:防御側が優勢
まずは良いニュースから始めましょう。実際に、良い知らせも存在するからです。
Sophosによると:
- データ暗号化率は世界全体で50%まで低下し、レポート開始から6年間で最低の水準となりました。前年の70%からの低下です。
- エンタープライズ企業では、暗号化率はわずか49%まで低下しました。2024年の66%からの低下です。
- 暗号化前に攻撃を阻止できた割合は、2年間で2倍以上に増加しました。2023年の22%から2025年には47%になっています。
- 復旧にかかる平均コストは、世界全体で273万ドルから153万ドルへと低下しました。
- 身代金支払い額の中央値は50%減少し、2024年の200万ドルから2025年には100万ドルとなりました。
- 1週間以内に完全復旧できた組織は53%に達し、前年の35%から大幅に増加しました。
これらの数字だけを見れば、業界は転換点を迎えたと結論づけたくなるでしょう。EDRは成熟し、検知にかかる時間は短縮し、交渉はより洗練されたものになりつつあり、保険会社は最低限の管理体制の徹底をより強く求めています。これらはすべて事実です。
しかし、復旧に関するデータにたどり着くと、この物語は辻褄が合わなくなります。
すべてを明らかにする矛盾
楽観的な物語を打ち破るデータポイントがこちらです。
2025年にランサムウェア被害に遭ったエンタープライズ企業のうち、**暗号化されたデータの復旧にバックアップを利用したのはわずか53%**でした。この数字はわずか1年前には73%でした。一方で、エンタープライズ企業の48%は結局身代金を支払っており、これは過去数年とほぼ横ばいの水準です。
言い換えれば、暗号化が発生する頻度は減っているものの、実際に発生した場合、自社のバックアップを信頼してそこから脱却しようとする組織は減っているのです。その代わりに、財布に手を伸ばしています。
Sophos自身の分析では、これを「バックアップによる復旧能力への信頼低下」と表現しています。これは、より鋭い実態を穏やかに言い換えたものです。
エンタープライズ企業が「自分たちを守ってくれる」と教えられてきたバックアップインフラは、実際のインシデントにおいて、その役割を果たせていないのです。
これが2025年版レポートの核心にある矛盾です。防御側は攻撃を早期に阻止する能力を向上させています。しかし、実際に攻撃が成功しデータが暗号化された瞬間、本来セーフティネットであるはずの復旧層は、ますます迂回され、代わりに犯罪者への支払いが選ばれているのです。
これはランサムウェアがより手強くなったという話ではありません。バックアップのアーキテクチャの脆弱性が露呈したという話なのです。
なぜバックアップは正念場で機能しないのか
Sophosのレポートはこの問いに直接答えているわけではありませんが、周辺のデータポイントをつなぎ合わせると、一貫した全体像が見えてきます。アーキテクチャの観点から見ると、バックアップへの信頼が崩壊した背景には3つのパターンが存在します。
パターン1:本番環境と共に侵害されるバックアップ
2025年版レポートによると、現在ではランサムウェア攻撃の75%が、暗号化の前にデータの窃取を伴っています。つまり、現代の脅威アクターは、暗号化ペイロードを展開する前に、数日から数週間にわたってネットワーク内に潜伏し、バックアップインフラを含む重要システムを特定し、アクセスしているということです。
業界全体のインシデントレスポンス事例を見ると、この潜伏期間は一貫してある特定の目的のために使われています。それは、バックアップリポジトリを特定し、その認証情報を収集した上で、本番環境へのペイロードが実行される数時間前に、バックアップを暗号化するか、破壊するか、あるいは保持ポリシーを削除することです。
もしバックアップシステムが本番環境とドメイン、IDプロバイダー、または認証情報セットを共有しているなら、それはもはや復旧層ではありません。キルチェーンにおける2番目の標的です。
パターン2:「バックアップの成功」は「リストアの成功」を意味しない
Sophosのデータは、人的コストの大きさを明確に示しています。データを暗号化された組織の回答者全員が、自社のIT/サイバーセキュリティチームが何らかの形で影響を受けたと回答しています。ストレスの増加(エンタープライズ回答者の40%)、経営陣からのプレッシャーの増加(41%)、そしてインシデント後のリーダーシップ交代は、いずれもよく見られる結果でした。
これらの事例に共通して見られるパターンは、チームがインシデントの最中に、長年運用してきたバックアップが、実際にはビジネスが求める速度や完全性でリストアできないことを発見する、というものです。ジョブログには「成功」と記録されています。しかし、実際のリストアはまったく異なる結果を示すのです。
これはまさに、3-2-1-1-0ルールの「0」が対処するために設計された失敗モードです。すなわち、バックアップ検証におけるエラーゼロです。しかし検証は、ほとんどの組織が「実施している」と主張するものの、実際のインシデントで直面するであろう復旧シナリオに対して、継続的かつ大規模に実施している組織はごくわずかです。
パターン3:組織という層が最も脆弱な部分
2025年、Sophosは初めて、被害を受けた要因として組織的な要素について回答者に尋ねました。その結果は驚くべきものでした。
- 40.2%が「専門知識の不足」を挙げました──攻撃を時間内に検知し阻止するためのスキルや知識が不十分だったというものです。
- 40.1%が「未知のセキュリティギャップ」を挙げました──自分たちが気づいていなかった防御上の弱点です。
- 回答者は、1件のインシデントにつき平均で2.7個の要因を挙げています。
この調査結果を平易な言葉に置き換えるとこうなります。エンタープライズのセキュリティチームは、自分たちがリソース不足であること、死角があること、そして複雑性が自分たちの管理能力を超えてしまっていることを自覚しているのです。バックアップインフラは、通常エンタープライズのスタックの中で最も軽視され、最も近代化が遅れている層であり、まさにこの3つの弱点が交差する地点に位置しています。
バックアップ環境を運用する担当者が、インシデントレスポンス、パッチ適用、ID管理、その他多数の優先事項も同時に担っている場合、バックアップ層は必要なアーキテクチャ上の注意を受けられません。そして、いざインシデントの際にその真価を発揮するよう求められても、それはできないのです。
業界別レポートが浮かび上がらせるもの
Sophosは2025年のデータについて、いくつかの業界別の分析結果も公開しており、それぞれが注目に値するニュアンスを加えています。
製造業では、暗号化率は過去5年間で最低となる40%まで低下しましたが、支払われた身代金の中央値は依然として100万ドルに達しており、製造業企業の47%がインシデント後のチームのストレス増加を報告しています。この業界はオペレーションの継続性への依存度が高く、数分のダウンタイムがサプライチェーン全体に波及するため、復旧への信頼性は存続に関わるほど重要です。
小売業では、インシデントの46%が未知のセキュリティギャップに起因していました。データを暗号化された組織のうち58%が身代金を支払っており、これは過去5年間で2番目に高い支払い率です。小売業における身代金要求額の中央値は倍増し、200万ドルとなりました。
業界を横断して見られるパターンは一貫しています。組織は攻撃を阻止する能力を向上させていますが、そこから復旧する能力はそれに見合うほど向上していません。予防の成熟度と復旧の成熟度との間のギャップは広がりつつあり、身代金の支払いはまさにそのギャップの中に存在しているのです。
Sophosレポートが推奨すること(そして見落としていること)
Sophos自身が示す推奨事項は、予防、防御、検知、対応の4つの領域に焦点を当てています。これらは妥当であり、データによっても十分に裏付けられています。具体的には、レポートは以下を推奨しています。
- 一般的な技術的・運用的な根本原因(悪用された脆弱性、脆弱なID管理体制)を排除すること。
- 堅牢な設定、MFA、パッチ適用の徹底により、基盤となるセキュリティを強化すること。
- Managed Detection and Response(MDR)機能への投資を行うこと。
- 詳細なインシデントレスポンス計画を準備すること。
いずれも正しく、必要な取り組みです。しかし、このレポートが中心に据えていない5つ目の柱があり、2025年のバックアップ利用率の数字こそが、それを中心に据えるべき理由となっています。
復旧アーキテクチャそのものを、単に防御するだけでなく、近代化しなければならない。
ハードウェア障害や誤削除からの復旧を想定して設計されたバックアップ環境と、2週間もネットワーク内に潜伏し続ける執念深い敵対者からの復旧を想定して設計されたバックアップ環境とは、同じものではありません。前者は冗長性の問題であり、後者はアーキテクチャの問題です。そしてデータが示すのは、ほとんどのエンタープライズのバックアップ環境が、いまだに前者として運用されているという事実です。
バックアップ信頼性のギャップ:代わりに測定すべきもの
2025年版Sophosレポートから運用上の変更を一つだけ持ち帰るとすれば、それはこうあるべきです。バックアップ成功率の測定をやめ、代わりにバックアップへの信頼性を測定することです。
バックアップ成功率は、バックアップソフトウェアが無償で提供してくれる指標です。それが示すのは「ジョブは完了したか」ということだけです。この指標は、復旧の指標としてはもはや意味を持ちません。脅威アクターはそれを理解しており、防御側も徐々に学びつつあります。そして、ダッシュボードが示すものと、実際のインシデントがもたらす結果との間のギャップこそが、バックアップによる復旧率が20ポイント低下した原因なのです。
バックアップへの信頼性は、これとは異なる指標です。それは以下のことを問います。
- 今この瞬間、敵対的な状況下で、規定したRTO内にイミュータブルストレージからTier1システムをリストアできるか?
- 本番環境のIDプロバイダーが侵害された場合でも、復旧手順は機能するか?
- 保持ポリシーが、本番環境のどの認証情報によっても変更できないことを検証済みか?
- ジョブの完了状況だけでなく、敵対者の挙動を検知するためにバックアップシステムのテレメトリを監視しているか?
- IRチームが「身代金を支払うべきか」と問われたとき、その答えの技術的根拠は何か?
これらの問いには答えがあります。しかし、ほとんどのエンタープライズ企業は現時点で自社の答えを把握していません。Sophosのデータは、この不確実性が大規模に現実化した結果なのです。
2025年のSophosデータから私たちが読み取ること
レポート全体を注意深く読むと、私たちが見出す物語は、多くの要約が語るものとは異なります。それは次のようなものです。
業界は、ランサムウェアが完全なペイロード実行に至るのを防ぐ能力において、有意な進歩を遂げました。これは実質的かつ重要な改善であり、正当に評価されるべきです。
しかし、復旧層──クリーンなバックアップからリストアできるため、組織は決して身代金を支払う必要がないという、アーキテクチャ上の約束──は、静かに空洞化しつつあります。バックアップによる復旧率の20ポイントの低下は煙にすぎません。その下に潜むアーキテクチャ上のギャップこそが火元なのです。
規制の厳しい業界で事業を展開している企業、複雑なハイブリッド環境を管理している企業、あるいは単に自社の資金で次のランサムウェアキャンペーンに資金提供したくない企業にとって、これこそが2026年に優先すべき議論です。問うべきは「バックアップはあるか?」ではありません──Sophosの調査対象となったすべての組織はバックアップを保有していました。問うべきは、**「私たちのバックアップアーキテクチャは実際の敵対者に耐えられるのか、そしてそれが必要になる前にそれを証明できるのか?」**ということです。
BackupSecが信頼性のギャップにどう取り組むか
BackupSecでは、バックアップ環境は通常時に稼働しているだけでなく、敵対的な状況下でも可視化され、助言を受けられ、証明可能でなければならないという前提のもとにサービスを構築しています。私たちのアプローチのあらゆる要素は、Sophosのデータが明らかにした課題に対応しています。
- ZeroMON──私たちの可観測性プラットフォーム──は、バックアップ運用とセキュリティシグナルを継続的に監視します。リアルタイムのジョブ追跡、構成ドリフト(configuration drift)のアラート、フォレンジック監査証跡、キャパシティ分析、そしてVeeam対応の可視化機能を提供します。これは、Sophosのデータが示唆する「静かなバックアップの失敗」を捉える層です。「私たちのバックアップは、ダッシュボードが示す通りに本当に機能しているのか」という問いに対する、運用面での答えとなります。
- ZeroTAM──私たちの専門アドバイザリーサービス──は、エンタープライズチームに専任のバックアップセキュリティアドバイザーを提供し、アーキテクチャレビュー、ランサムウェア復旧計画、キャパシティ戦略、危機対応を支援します。これは、Sophosの回答者の40.2%が挙げた「専門知識の不足」という課題に対応する人的な層であり、担当者が入れ替わるサポートチケットや、一般論にとどまるアドバイスとは異なります。
- ZeroPEN──私たちのバックアップペネトレーションテストおよび復旧検証サービス──は、53%というバックアップ利用率のギャップに直接対応します。私たちは、実際の敵対者と同じ手法で、貴社のバックアップ管理プレーン、アクセス制御、イミュータビリティ設定、隔離態勢に対してペネトレーションテストを実施します。そのうえで、貴社のRTO/RPO目標に対して実際のリストアシナリオを実行し、復旧されたデータがクリーンかつ完全であり、攻撃者の持続的アクセスが残っていないことを検証します。その成果物は単なる所見のリストではなく、復旧が機能するという裏付けとなる証拠です。
BackupSecはオンプレミスで導入されます。接続には読み取り専用のAPIアクセスを使用します。貴社のバックアップデータ、テレメトリ、構成情報が、貴社の環境の外に出ることは一切ありません。私たちは貴社のバックアッププラットフォームを置き換えるのではなく、すでに運用しているものを可視化し、助言可能にし、証明可能にするのです。
Sophosのエンタープライズデータにおける53%というバックアップ利用率は、避けられない運命ではありません。それは、終わりを迎えつつあるアーキテクチャの時代がもたらした結果です。今後12カ月間で信頼性のギャップを埋める組織こそが、来年のレポートの「身代金を支払った」という項目に名を連ねなくなる組織となるでしょう。
BackupSecに、貴社の復旧態勢の検証について相談する →
本分析は、Sophosの『State of Ransomware 2025』レポートおよび関連する業界別レポートに基づいています。ここで示す解釈と枠組みはBackupSec独自のものです。2025年の調査結果が貴社の環境にどのように当てはまるかについてご相談されたい場合は、私たちのチームまでお問い合わせください →