3年連続、原因はひとつ:なぜ脆弱性の悪用は2026年も勝ち続けるのか

2025年Sophosレポートで最も地味な発見は、最も重要な発見でもある

毎年、ランサムウェアをめぐる議論は新しい攻撃手法について声高になる。AI生成のフィッシング。ディープフェイクを使ったソーシャルエンジニアリング。敵対的機械学習。環境寄生型(Living-off-the-Land)のバイナリ。目立たない依存関係を悪用したサプライチェーン侵害。こうした語り口は決まって、防御側が根本的に新しい脅威に直面しており、根本的に新しいツールが必要だと示唆する。

そして毎年、Sophosの_State of Ransomware_レポートは、特定ベンダーに偏らない数千人の被害者調査から、同じ地味な答えを持ち帰ってくる。

3年連続で、悪用された脆弱性がランサムウェアインシデントの最も一般的な技術的根本原因となっており、2025年には攻撃全体の32%を占めている。

目新しいAI技術ではない。ゼロデイでもない。奇抜なサプライチェーン攻撃でもない。存在していたのに適用されなかったパッチ。誤りだと分かっていた設定。公開された攻撃コードとベンダーのアドバイザリが存在しながら、対応キューに入ったまま二度と出てこなかったCVE。

これは、あらゆる企業のセキュリティ責任者を落ち着かない気持ちにさせるべき発見だ。なぜなら、新しいツールを買っても解決できないからだ。これは、企業環境が技術的負債を蓄積していく構造そのものの問題であり、2025年のデータは、高度な検知への投資をいくら重ねてもこのギャップを埋められないことを示唆している。

BackupSecでは、脆弱性の悪用が根本原因の第1位であり続けているという事実を、一つの戦略的シグナルとして読み解いている。すなわち、_把握されている_セキュリティ上の弱点と_解消された_セキュリティ上の弱点との間のギャップこそが、どの組織が来年の「身代金を支払った」欄に名を連ねることになるかを最も確実に予測する指標だということだ。本稿では、なぜこのギャップが解消されないままなのか、なぜ予防だけでは埋められないのか、そして2026年に事業を営む組織にとってのアーキテクチャ上の意味合いは何かを解き明かしていく。

Sophosのデータが実際に示していること

2025年のSophosレポートは、過去12か月間にランサムウェア被害に遭った組織に所属する、17か国3,400人のITおよびサイバーセキュリティ責任者を対象に調査を行った。インシデントの技術的な根本原因について尋ねたところ、その内訳は年を追うごとに驚くほど一貫していた。

• 悪用された脆弱性:攻撃全体の32% — 3年連続で原因の第1位。
• 侵害された認証情報:23% — 2024年の29%から低下。
• 悪意のあるメール:19%。
• フィッシング:18% — 前年の11%から上昇。

業界別のレポートも、この傾向を裏付けている。製造業では、悪用された脆弱性がインシデントの32%を占め、ここでも第1位の原因だった。小売業では、その割合は30%で、こちらも第1位だった。Sophosが公表したほぼすべての業界別データにおいて、同じ発見が繰り返されている。すなわち、成功したランサムウェア攻撃の3分の1は、ベンダーがすでにパッチを提供しており、セキュリティチームも理論上は把握しているはずの脆弱性を起点としており、攻撃者が単に先を越しただけなのだ。

この発見が戦略的に重要なのは、その一貫性のためだけではない。脆弱性管理ツール、アタックサーフェス管理プラットフォーム、エクスポージャー評価サービス、パッチ適用の自動化に業界全体が3年間にわたって集中的に投資してきたにもかかわらず、それでもなお第1位の原因であり続けているという事実こそが重要なのだ。投資は相当な規模に上った。それでも結果は変わらなかった。

このことは、この問題についてアーキテクチャ上の何かを物語っているはずだ。

なぜパッチ適用は失敗するのか——組織がきちんと実施していても

「攻撃の32%が既知の脆弱性を起点にしている」と聞いたときの直感的な反応は、「では、もっと速くパッチを当てればいい」というものだ。この反応は正しいが、運用上は十分とは言えない。なぜ不十分なのか、その理由を率直に検討する価値がある。

分母の問題。 典型的な中堅企業は、オペレーティングシステム、アプリケーション、ファームウェア、コンテナイメージ、SaaS設定にまたがる何千もの個別のソフトウェアコンポーネントを管理している。ベンダーのアドバイザリは絶え間なく届く。最高水準で運用しているセキュリティチームであっても、CVEが公開された当日にすべてのコンポーネントにパッチを当てることはできない。「悪用され得るもの」という分母は、構造的に「今週パッチを当てられるもの」というキャパシティよりも大きいのだ。

重要度の問題。 多くのパッチはダウンタイム、リグレッションテスト、あるいは収益の継続性を守る事業責任者との調整を必要とする。パッチ適用を最も必要とするシステム——インターネットに公開されたアプリケーション、レガシーな本番システム、OTおよび産業制御インフラ——は、往々にしてダウンタイムの事業コストが最も高いシステムでもある。そのためパッチはスケジュールされ、先送りされ、まとめて処理され、やがて忘れ去られる。攻撃者はこれを知っており、保守の負債を抱えている可能性が最も高いシステムのカテゴリを狙って攻撃する。

発見の問題。 見えていないものにパッチを当てることはできない。Sophos自身のデータによれば、未知のセキュリティギャップが寄与要因として挙げられた被害者は40%を超える。特に小売業では、インシデントの46%が未知のギャップに起因していた。これらは組織があえてパッチを当てなかった脆弱性ではない。組織がその存在すら把握していなかった脆弱性なのだ。シャドーIT、文書化されていないシステム、忘れられたクラウドワークロード、それ自体が独自の依存関係ツリーを持つサードパーティ統合——現代の企業のアタックサーフェスは、実際のところ、洗い出すことが非常に難しい。そして、資産インベントリが示す範囲と攻撃者が実際に到達できる範囲との間のギャップこそが、悪用される脆弱性の大半が潜んでいる場所なのだ。

時間的猶予の問題。 脆弱性が判明し、パッチが提供されている場合でも、開示から実際の悪用までの時間は劇的に短縮されている。脅威アクターはセキュリティチームと同じ熱心さでベンダーのアドバイザリを監視しており、影響度の高いCVEに対する武器化された攻撃コードは、今や開示から数日、時には数時間のうちに登場するのが常態化している。注目を集めるほど深刻な脆弱性について、5年前に存在していたようなパッチ適用の猶予期間は、もはや存在しない。

これらの問題は、どれも別の脆弱性管理ツールを購入することでは解決しない。これらは企業環境の仕組みそのものに内在する構造的特徴であり、防御への莫大な投資にもかかわらず32%という数字が3年間動いていない理由を説明している。

AIという目くらまし

率直に触れておく価値がある。2025年のSophosのデータは、AI主導の攻撃をめぐる支配的な語り口を正すうえでも有用だ。

2025年の業界における議論は、AI生成のフィッシングキャンペーン、ディープフェイクを用いたソーシャルエンジニアリング、機械学習による検知回避に大きく偏っていた。これらの脅威は現実のものであり、注目に値する——特に、今やフィッシングメールの大多数がAI生成コンテンツを含んでいることを示す調査結果を踏まえればなおさらだ。

しかし、Sophosのデータは、実際に資金と注意をどこに配分すべきかを見極めるうえで、有用な現実確認となる。AIによって強化されたフィッシングは、フィッシング関連インシデントの増加(前年比11%から18%へ)に寄与している。しかし、それによって脆弱性の悪用が主要な侵入経路の座を奪われたわけではない。未パッチのシステムを起点とする攻撃の3分の1という割合は、攻撃者がより優れた言語モデルを利用できるようになったからといって縮小してはいない。むしろ、AIをめぐる議論は、3年連続でランサムウェアインシデントの3分の1を静かに引き起こしてきた、地味で構造的な問題から目をそらす働きをしてきたと言えるかもしれない。

企業のリスク責任者にとっての戦略的な示唆は、最も重要な防御投資とは最新のものだと示唆するベンダーの語り口に対して懐疑的であるべきだ、ということだ。Sophosのデータは別の方向を指し示している。最も重要な防御投資とは、脆弱性管理という地味で構造的な問題を、全体的な結果にとって決定的な支柱にしないようにするための投資かもしれない。

「決定的な支柱にしない」とは実際どういうことか

脆弱性の悪用を完全になくすことはできないと認めたときに導かれるアーキテクチャ上の洞察は次のとおりだ。すべての攻撃の3分の1が、間に合わせられなかったパッチを起点として発生し続けるのであれば、戦略的な問いは「どうすればもっと速くパッチを当てられるか」から「間に合わなかったらどうなるか」へとシフトする。

これは、ほとんどの企業のセキュリティアーキテクチャが今なお避けている問いである。

予防が機能することを前提とする防御モデルでは、脆弱性の悪用は排除すべき失敗として扱われる。一方、Sophosのデータを真剣に受け止める防御モデルでは、脆弱性の悪用は繰り返し発生する条件として扱われ、アーキテクチャの他の部分がそれを、破滅的な結果を招くことなく吸収しなければならないとされる。

排除から吸収へのこのシフトは、成熟したリライアビリティエンジニアリングが10年前に経験したのと同じアーキテクチャ上の転換である。分散システムにおいて障害を排除することはできない。障害が発生した際に緩やかに劣化するようシステムを設計するのだ。平均故障間隔だけでなく、平均復旧時間も測定する。レジリエンスを、予防が失敗した後の二次的な後始末としてではなく、アーキテクチャの一次的な特性として扱う。

企業セキュリティも、非常にゆっくりとではあるが、同じ論理を適用し始めている。2025年のSophosのデータは、私たちの見立てでは、この移行がすでに遅すぎるほど必要とされていることを示す、これまでで最も強力な実証的証拠である。

バックアップアーキテクチャが転換点となる場所

脆弱性が悪用され、攻撃者が足場を築くと、その後に続く一連の出来事はよく知られている。ラテラルムーブメント(横方向への侵害拡大)、権限昇格、価値あるデータの偵察、データの窃取、そして最終的なペイロードの展開だ。現代の脅威アクターは、ランサムウェアを展開するまでの間、侵害した環境内に平均で12日から22日間滞在する——この時間は、本来であれば復旧を可能にするはずの統制を特定し無力化するために、まさに使われている。

それらの統制の中で、最も重要なのがバックアップ環境である。

悪用された脆弱性を起点とするシステムからバックアップインフラに到達できてしまうのであれば、その脆弱性は単に攻撃を可能にしただけではない——攻撃を_勝利_させてしまったのだ。インターネットに公開されたアプリケーションで悪用されたCVEがアーキテクチャ上重要になるのは、それが悪用されたホスト上で何を引き起こすかによってではなく、その後の2週間の間に、リカバリー層に対して攻撃者に何をさせてしまうかによってである。

これが、Sophosのデータが示唆するアーキテクチャ上の転換点である。脆弱性の悪用は、当面の間、根本原因の第1位であり続けるだろう。結果を左右する変数は、それらの脆弱性が必然的に悪用されることになるシステムから、あなたのリカバリーアーキテクチャに到達できてしまうかどうかである。

具体的には、これは次のことを意味する。

ID分離。 本番システムを保護する認証情報は、バックアップインフラへのアクセス権を付与するものであってはならない。侵害されたドメイン管理者アカウントがバックアップリポジトリに到達できるのであれば、そのバックアップは、未パッチの脆弱性が露呈させたアタックサーフェスの一部だということになる。

検証済みのイミュータビリティ。 ソフトウェアベースの保持ポリシーは、十分な権限を持つ者であれば誰でも変更できてしまう。ハードウェアまたはプラットフォームによって強制される保持ロックは、それに抵抗するよう設計されている——しかし、「設定されている」ことと「実際に意図どおりに機能する」ことの間のギャップこそが、実際のインシデントにおいて多くの企業のバックアップ環境が失敗する原因となる。イミュータビリティがバックアッププラットフォーム、ストレージ層、あるいはハードニングされたリポジトリのいずれによって強制されているとしても、重要なのは、それが設定パネルで単に_有効化_されているかどうかではなく、敵対的な条件下で_検証_されているかどうかである。

ネットワークおよび信頼の分離。 本番システムと同じネットワークドメイン上に存在するバックアップ環境は、脅威モデリングの観点からは本番環境の一部にすぎない。論理的および物理的な分離こそが、バックアップインフラを「もう一つの標的」から「他の標的が生き残れないときに生き残る層」へと変える。

継続的なリストア検証。 実際の攻撃に特有の条件に照らして検証されていないバックアップは、統制ではなく仮説にすぎない。2025年のデータによれば、企業の53%が、バックアップを保有していたにもかかわらず、成功したランサムウェアインシデントからの復旧にバックアップを使用しなかった。最も可能性が高い説明は、保有していたバックアップが、実際に発生したシナリオに対して一度も検証されていなかったというものだ。この失敗モードに対してアーキテクチャを設計するには、バックアップを単に稼働させるだけでなく、検証することが必要になる。

戦略的な再定義

企業のリスク責任者にとって、脆弱性の悪用が根本原因の第1位であり続けているという事実は、脆弱性管理プログラムを非難するものではない。それは、脆弱性管理がどれほどうまく実行されていたとしても、構造的にランサムウェア防御の全重量を単独で支えることはできないという証拠なのだ。

攻撃の32%が既知の脆弱性を起点にしているというSophosの発見は、企業被害者の48%が身代金を支払ったという発見と併せて読むべきである。これらの数字はつながっている。両者は、リカバリー層を信頼できないがゆえに予防が絶対に失敗しないことを求められている、という防御姿勢を描き出している。戦略的な是正策は、予防をより絶対的なものにすることではない。予防の失敗が事業の結果を左右しないほど、リカバリーを信頼できるものにすることである。

その是正はアーキテクチャ上のものである。そして、すでに遅すぎるほど必要とされているものでもある。今後12か月間でこのギャップを埋める組織とは、未パッチのシステムを起点として発生し続ける、避けられないインシデントの3分の1を、リカバリー層が吸収できる組織である。そうできない組織は、来年も、その次の年も、Sophosレポートの同じ欄に名前を連ね続けることになるだろう。

BackupSecが果たす役割

BackupSecでは、私たちのサービスは、Sophosのデータが示すおおよその割合で予防が失敗するという前提、そして予防が失敗したときに結果を左右するのは、事業にとって重要なデータのクリーンかつ分離されたコピーを保持するリカバリーインフラと、それらが確実にリストアできることを証明する運用上の規律であるという前提のもとに構築されている。

私たちの3つのサービスはそれぞれ、脆弱性の悪用が根本原因の第1位であり続けているという事実が露呈させる、特定のギャップに対応している。

• ZeroMONは、バックアップ運用、設定のドリフト、セキュリティシグナルに対する継続的な可観測性を提供する。これにより、脆弱性が悪用され、攻撃者がネットワーク内に2週間滞在した際にも、バックアップ環境を狙った偵察活動が、気づかれないままではなく、可視化された状態になる。
• ZeroTAMは、アーキテクチャの意思決定、キャパシティプランニング、リカバリー戦略のために、専任のバックアップセキュリティアドバイザーをチームに提供する。これにより、未パッチの脆弱性を通じて侵害される可能性が最も高いシステムから、バックアップ層に到達できてしまうかどうかを左右する、構造的な専門知識のギャップに対応する。
• ZeroPENは、私たちの見解では、32%という発見に最も直接的に対応するサービスである。私たちは、悪用された脆弱性を起点とする攻撃者と同じ方法で、バックアップの管理プレーン、アクセス制御、イミュータビリティ設定、分離態勢に対してペネトレーションテストを実施する。そのうえで、実際のリストアシナリオを実行し、リカバリーがクリーンかつ完全に、そして時間どおりに機能することを検証する。その成果物は、是正すべき所見のリストではない。バックアップ層がSophosのデータが描写する特定の条件下で生き残ることを示す、文書化された証拠である。

BackupSecはオンプレミスで導入される。私たちは読み取り専用のAPIアクセスを通じて、お客様のバックアップアプリケーションに接続する。バックアップデータ、テレメトリ、設定の詳細は、お客様の環境内にとどまる。

32%という数字は運命ではない。これは、リカバリー層が予防層と一緒に失敗するように構成されている場合にのみ結果を左右する、構造的な条件を描写したものにすぎない。この二つを切り離す組織は、2026年におけるランサムウェアの支配的な根本原因に対して脆弱ではなくなる——それは、パッチをより速く適用したからではなく、パッチ適用がリカバリーの結果にとって決定的な支柱ではないことを検証したからだ。

バックアップのペネトレーションテストとリカバリー検証について、BackupSecに相談する →

本分析は、SophosのState of Ransomware 2025レポート、および2025年のランサムウェア研究全般の知見に基づいている。ここで示した解釈とフレームワークは、BackupSec独自のものである。この分析がお客様の具体的な環境にどのように当てはまるかについてご相談されたい場合は、私たちのチームにお問い合わせください →