2025年のSophosレポートで最も過小評価されている数字
Sophosが2025年6月にState of Ransomware 2025レポートを発行したとき、主要な調査結果は心強いものでした。データが暗号化されたのは攻撃の50%で、2024年の70%から低下しました。被害者の53%が1週間以内に完全に復旧し、35%から増加しました。身代金の支払額の中央値は200万ドルから100万ドルへと半減しました。これらの数字は本物であり、重要です。しかし、このレポートは初めて、ある点も調べていました。企業を無防備な状態にした組織的な要因です。私たちの見解では、そのセクションにある1つの統計が、企業のリスク管理責任者がランサムウェアについてどう考えるべきかを捉え直させるものです。
調査の対象は17か国のITおよびサイバーセキュリティ責任者3,400人で、いずれも過去12か月間にランサムウェアの被害を受けた従業員数100〜5,000人の組織に属していました。組織が被害を受けた理由を尋ねられた回答者は、平均で2.7の要因を挙げました。
1つではありません。2つでもありません。被害者は平均して、1回の攻撃の背後に3つ近くの運用上の状況があったと答えたのです。
これは補足的な話ではありません。単一の統制に頼るランサムウェア防御が、被害者自身が語るインシデントの実態と一致していないこと、そしてバックアップアーキテクチャが、企業のセキュリティスタックにおいて最も重要な補完的統制の1つにいつの間にかなっていたことを示す強力な証拠です。
BackupSecは、この2.7という数字がレポートの中で戦略的に最も役立つ数字だと考えています。本記事では、この数字が何を測っているのか、なぜ予防だけに頼る戦略を正当化しにくくするのか、そしてバックアップをいまだに「本来の」セキュリティの付け足しとして扱っている組織にとって何を意味するのかを解き明かします。
2.7が実際に表しているもの
Sophosが投げかけた質問は「Why do you think your organization fell victim to the ransomware attack?」（訳：あなたの組織がランサムウェア攻撃の被害を受けたのはなぜだと思いますか？）でした。回答者は7つの運用上の理由から複数を選ぶことができ、平均で2.7を選びました。全リストと、それぞれを挙げた回答者の割合（3,400人中）は次のとおりです。
- 専門知識の不足：40.2%。 攻撃を時間内に検知して阻止するためのスキルや知識がなかった。
- 未知のセキュリティギャップ：40.1%。 組織が把握していなかった防御上の弱点。
- 人員／キャパシティの不足：39.4%。 攻撃の時点でシステムを監視するサイバーセキュリティの専門家が十分にいなかった。
- 保護の不足：39.0%。 必要なサイバーセキュリティ製品やサービスがなかった。
- 把握していたが対処していなかったセキュリティギャップ：38.2%。
- 攻撃を阻止できなかった低品質の保護：37.1%。
- 人為的ミス：34.2%。
質問の仕方から2つのことが言えます。2.7は平均値なので、1つの要因しか挙げなかった被害者もいれば、複数を挙げた被害者もいます。そして、これは回答者が要因だと考えているものを記録したものであり、フォレンジック調査の結果ではありません。要因同士も重なり合っています。Sophosはこれらを、保護の問題（回答者の63%）、リソースの問題（63%）、セキュリティギャップ（65%）に分類し、「no single stand-out source」（訳：突出した単一の原因はない）としています。
Sophosは技術的な侵入経路を別に尋ねています。根本原因は、悪用された脆弱性が攻撃の32%、侵害された認証情報が23%、悪意あるメールが19%、フィッシングが18%でした。これらの割合は、攻撃者がどのように侵入したかを表しています。2.7が表しているのは、その周りにあった状況です。
Sophos自身のまとめは「victims are typically facing multiple operational challenges」（訳：被害者は通常、複数の運用上の課題に直面している）というものです。私たちはこれを、不運が続いた結果ではなく、構造的な問題と読んでいます。
被害者が通常3つ近くの要因となる状況を挙げているのであれば、ほとんどの企業がいまだに前提としている「ギャップを見つけて塞ぐ」という防御モデルは、そのうちの1つだけが悪用可能であればよい攻撃者と向き合っていることになります。一方で、防御側はそのすべてを同時に管理しなければなりません。
これはセキュリティの問題ではありません。非対称性の問題です。
非対称性：1つの扉と7つの扉
攻撃者の視点から計算してみましょう。
現代のランサムウェア攻撃者（国家とつながりのあるグループ、RaaSのアフィリエイト、独立系のグループ）は、環境内のすべての弱点を見つけて悪用する必要はありません。必要なのは、実行可能な経路1つだけです。パッチが適用されていない1台のシステム、侵害された1組の認証情報、設定を誤った1つのクラウドバケット、フィッシングに引っかかりやすい1人のユーザー、1つの管理上のギャップです。
次に、防御側の視点から計算してみましょう。あなたが責任を負っているのは次のものです。
- 数千の資産にわたる脆弱性管理。どんなパッチ適用サイクルでも確実に先回りできるとは限らないペースで進みます。
- 人間のユーザー、サービスアカウント、フェデレーションID、そしてますます増える自律型エージェントにわたるIDガバナンス。
- メールとコラボレーションのセキュリティ。主要な侵入経路であり、人間によるばらつきが最も大きい領域です。Sophosの調査では、悪意あるメールとフィッシングを合わせると攻撃の37%の根本原因でした。
- シグネチャベースの検知が適応するよりも速く進化するペイロードに対するエンドポイント保護。
- 絶えず変化する脅威モデルを前提に設計されたネットワークセグメンテーション。
- それぞれ独自の権限モデルを持つ数十から数百のサービスにわたるクラウドとSaaSの構成。
- スタックの他の部分がすでに防げなかった状況下で機能しなければならないバックアップとリカバリの基盤。
攻撃者はこの盤面の1マスで勝負します。防御側は限られたリソースで、毎日7マスすべてを守らなければなりません。
この7つの領域は私たちによる整理であり、Sophosの7つの選択肢ではありません。Sophosのリストは専門知識、キャパシティ、未知のギャップといった組織の状況を表しており、それらは上記のすべての領域にまたがっています。それでも2.7という数字は、データによってこの非対称性を裏付けています。被害者は自分たちが受けた攻撃（調査は過去12か月間について尋ねたため、その多くは2024年に発生しています）を、平均して3つ近くの要因となる状況が重なった結果だと説明しました。これは怠慢の表れではありません。完全な予防を達成することが構造的に難しいことの表れです。
「根本原因を直せばいい」という計算の誤り
インシデント分析に対するよくある反応は、「根本原因」を特定してそれを是正することです。多くの事後レビューがこの考え方を強化しています。2025年のSophosのデータは、この捉え方が直感的には納得できるものの、被害者自身が何がうまくいかなかったかをどう説明しているかを見落としている理由を示しています。
被害者が平均で2.7の要因を挙げているのであれば、単一の根本原因で止まるレビューは不完全である可能性が高いといえます。そうしたレビューは、攻撃者がどの扉から入ってきたかを教えてくれます。しかし、なぜその建物には、いずれかが必ず開いているほど多くの鍵のかかっていない扉があったのかは教えてくれません。
これは運用上重要です。昨年のインシデントの特定の侵入経路に費やしたリソースは、来年の結果を左右するアーキテクチャ上のギャップには使われません。私たちのSophosデータの読み方では、単一の根本原因モードで動いている組織は、どの侵入経路であっても壊滅的な結果につながるかどうかを決める多層的な統制に、十分な投資をしていない可能性が高いといえます。
戦略的な捉え直しはこうです。十分に複雑な企業環境では、攻撃者はいずれ実行可能な経路を見つけます。 その経路が身代金の支払いにつながるかどうかを決める問いは、「すべての扉を閉じたか？」ではなく、「そのうちの1つが開いたとき、アーキテクチャは持ちこたえるか？」です。
ほとんどの企業が過小評価している補完的統制
2.7という数字が示すアーキテクチャ上の洞察はこうです。予防がある程度の頻度で失敗するのであれば、ビジネス上の結果を決めるレイヤーは下流へと移ります。
ここで、バックアップアーキテクチャは「インフラの衛生管理」から「主要な戦略的統制」へと位置付けが変わります。
単一経路の脅威モデルでは、バックアップは最後の拠り所です。複数要因の脅威モデルでは、バックアップはこれから起こる予防の失敗を補う補完的統制です。従業員数1,000〜5,000人の組織に属する回答者1,733人に基づくSophos初のState of Ransomware in Enterprise 2025レポートは、その重要性を示しています。
- データを暗号化された企業の被害者の48%が、データを取り戻すために身代金を支払いました。 2024年の55%から減少しています。
- 暗号化されたデータの復元に企業がバックアップを使った割合は53%に低下し、4年間で最も低い水準となりました。2024年は73%でした。
- 2025年のメインレポートによると、従業員数1,000〜5,000人の組織は、復旧に平均183万ドルを費やしました（支払った身代金を除く）。
Sophosは支払いとバックアップの数字を合わせて、「to stronger resistance to demands together with weaknesses and lack of backup resilience」（訳：要求に対する抵抗力の強まりと同時に、バックアップのレジリエンスの弱さと欠如を）示すものと読んでいます。また、データを暗号化された企業の30%がその他の手段で復元したことにも触れており、バックアップの利用の減少はバックアップが失敗したという話だけではありません。それでも全体像には一貫性があります。暗号化にまで至る攻撃は減っていますが、至った場合にバックアップがリカバリを担ったのは企業のケースの約半数にとどまりました。予防の成熟度とリカバリの成熟度のギャップこそ、身代金の支払いが生まれる場所です。
企業のリスク管理責任者にとって、これはアーキテクチャへの注目を具体的に配分し直すことを意味します。検知、ID、パッチ適用への投資はいずれも引き続き不可欠です。しかし、そのどれも2.7をなくすことはできません。ある日にどの3つの扉が開いているかを変えるだけです。開いた扉が存続を脅かすインシデントになるかどうかを決める統制は、ほとんどの組織が近代化を怠ってきたものです。ビジネスに不可欠なデータのクリーンでイミュータブルな検証済みのコピーを保持し、敵対的な状況下でそれをリストアできるアーキテクチャです。
インシデントにおける2.7の姿
Sophosは2.7を時系列に分解していないため、以下は要因となる状況が企業環境でどのように重なりうるかを示す私たちの例示であり、調査データではありません。
1つ目の要因は、通常は侵入経路です。パッチが適用されていないエッジデバイス、複数のシステムで使い回されて侵害された認証情報、あるいは成功したフィッシングメールです。これが、事後報告書で「根本原因」と呼ばれる失敗です。
2つ目の要因は、典型的には、最初の足場の拡大を許した権限または可視性の失敗です。過剰な常設権限、ラテラルムーブメントの検知の穴、事業部門間の不十分なセグメンテーションなどです。
3つ目の要因は、私たちが注目するものです。封じ込められた侵害を、身代金の支払いへと変えてしまうリカバリレイヤーの失敗です。本番環境から到達できるバックアップの認証情報、侵害された管理者が変更できる保持ポリシー、あるいはチームが今直面しているシナリオに対して一度もテストされたことのないリストア手順です。Sophosにはこの点に関する限定的なデータポイントが1つあります。2025年のメインレポートでは、当初の身代金要求額を上回る金額を支払った151組織のうち、38%がバックアップが失敗した、または正常に機能しなかったと回答しています。
インシデント対応で注目されるのは最初の2つの要因です。しかし、財務上の結果を決めることが多いのは3つ目であり、インシデントによって問題が突きつけられるまで、誠実に評価するのは困難です。
これが、2.7という数字が指し示す運用上の現実です。これらの要因は抽象的なものではありません。組み合わさることで、対処可能なセキュリティイベントを取締役会レベルの危機へと変える一連の失敗なのです。
リスク配分にとっての意味
2.7という調査結果をアーキテクチャ上意味のあるものとして受け入れるなら（そして3,400の被害組織を対象とした調査を軽視するのは困難です）、配分に関していくつかの結論が導かれます。
単一のレイヤーの中ではなく、失敗の連鎖全体にわたって投資を分散させること。 リカバリアーキテクチャを変えずにメールセキュリティに投資を集中させても、どの要因が最初に失敗するかが変わるだけで、失敗の総数は減りません。予防に不釣り合いなほど予算を配分し、バックアップを汎用品の一項目として扱う企業のセキュリティ予算は、被害者がインシデントをどう説明しているかを反映していない脅威モデルに基づいて運用されています。
アーキテクチャを、単一経路のテストではなく、複数要因のシナリオに対して評価すること。 1つの防御が持ちこたえることを確認するテストは、環境が実際の攻撃に耐えられることの証拠にはなりません。Sophosの調査では、被害者は平均して3つ近くの要因を挙げています。机上演習やレッドチーム演習は、その複合的な状況を明示的にテストするよう設計すべきです。
バックアップの完了ではなく、リカバリへの信頼度を測定すること。 Sophosは、企業のバックアップ利用が53%に低下した理由を述べておらず、その低下の一部は他の復旧手段を反映しています。私たちの読み方では、多くのバックアップアーキテクチャは単一要因の障害（サーバーが故障した、ユーザーがファイルを削除した）を想定して設計されており、今では複数要因の状況（攻撃者が2週間ネットワーク内にいて、あらゆるものに手を触れている）の下で機能することを求められています。これらは別の問題です。Sophos自身の推奨事項は、「make quality backups and regularly practice restoring data from them」（訳：質の高いバックアップを取り、そこからデータをリストアする練習を定期的に行う）ことです。
リカバリのレイヤーを、それが今や担っている補完的統制として扱うこと。 予防がときに失敗するのであれば、結果を決めるレイヤーは、データのクリーンで隔離されたイミュータブルなコピーを保持し、敵対的な状況下でそれを迅速にリストアできるレイヤーです。そのレイヤーは、それが守る本番環境と同じ厳密さで設計し、統制し、テストしなければなりません。
BackupSecの役割
BackupSecのアプローチは、1つの前提の上に築かれています。予防はいずれどこかで失敗し、そのとき、その失敗が回復可能なものになるか存続を脅かすものになるかを決めるのはリカバリのレイヤーだ、という前提です。
当社の3つのサービスが、2.7という数字が投げかける問いに対応しています。
- ZeroMON は、「自社のバックアップ環境は今、実際に何をしているのか？」という問いに答えます。Veeam Backup & Replicationを監視し、ジョブの健全性、誰が何をいつ変更したかを伴う構成変更（Forensic & Audit）、Security Analyzerのチェックリスト、レポート、そして監視アプライアンス上のハニーポットを提供します。イミュータビリティのステータスはVeeam自身のリポジトリ設定が報告するとおりに表示します。読み取るのはVeeamの構成であり、ストレージ上のオブジェクトレベルのロックを検証することはありません。アラートはメールとアプリ内通知で送られます。ZeroMONはOVAとしてオンプレミスに展開し、読み取り専用アカウントで接続し、BackupSecにも第三者にも何も送信しません。
- ZeroTAM は、「自社には、目にしているものを解釈するための専門知識があるか？」という問いに答えます。これは、Sophosのリストで最も多かった要因の背後にある問いです。専任のバックアップセキュリティアドバイザーが、アーキテクチャ、ランサムウェアからのリカバリ計画、キャパシティを担当し、危機発生時には優先サポートを提供します。ソフトウェアではなくアドバイザリーサービスです。
- ZeroPEN は、「攻撃者は自社のバックアップに対してどこまで到達できるのか？」という問いに答えます。Veeam Backup & Replication、Veeam ONE、Enterprise Managerを対象とした脅威主導型のペネトレーションテストで、MITRE ATT&CKにマッピングされた8つのステージでランサムウェアのキルチェーンをシミュレートし、初期アクセスからバックアップの無力化を経て、暗号化能力の実証までを行います。非破壊型のテストであり、「never deletes real backups, performs real encryption, or stops production or backup services」（訳：実際のバックアップを削除することも、実際の暗号化を行うことも、本番サービスやバックアップサービスを停止することもない）としています。指摘事項には監査対応可能なエビデンスが付き、重大な指摘事項は再テストされます。
当社はお客様のバックアッププラットフォームを置き換えるものではありません。そのプラットフォームが支えるリカバリのレイヤーを可視化し、理解し、Sophosのデータが示す複数要因の状況に対してテストするお手伝いをします。
もしあなたの組織が2025年のSophosレポートを読んで、答えはすべての扉を閉じることだと結論づけているなら、データが伝えていることは別です。扉がすべて閉じたままになることはありません。そして、そのうちの1つが開いたときに何が起きるかを決めるアーキテクチャこそ、2026年に議論する価値のあるテーマです。
本分析は、SophosのState of Ransomware 2025およびState of Ransomware in Enterprise 2025レポートに基づいています。解釈とフレームワークはBackupSec独自のものです。この分析がお客様の環境にどう当てはまるかについては、当社チームにお問い合わせください →