Sophosのデータで最も地味な発見が、最も重要でもある
ランサムウェアをめぐる議論は、毎年のように新しい攻撃手法についての声が大きくなります。AIが生成するフィッシング。ディープフェイクを使ったソーシャルエンジニアリング。敵対的機械学習。環境寄生型（Living off the Land）のバイナリ。目立たない依存関係を通じたサプライチェーン侵害。そうした語り口は決まって、防御側は根本的に新しいツールを必要とする根本的に新しい脅威に直面している、と示唆します。
3回の調査にわたって続けて、SophosのState of Ransomwareレポートは、それほど流行らない答えを出してきました。2025年版はそれを一文で表しています。
「For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents.」（訳：3年連続で、被害者は悪用された脆弱性を最も一般的な技術的根本原因として挙げており、インシデントの32%で使われていた）
特殊な手法ではありません。被害者がすでに稼働させていたソフトウェアの欠陥が、侵入口として使われたのです。Sophosはこのカテゴリーをゼロデイと、すでにパッチが存在していた欠陥とに分けていないため、そのうち何件が攻撃当日にパッチで対処できたのかは、この調査からはわかりません。調査が示しているのは、3年間にわたって、被害者がこれ以上に頻繁に挙げた単一の侵入口はなかったということです。
この連続記録はその後途切れました。2026年版では、悪用された脆弱性は18%に低下し、悪意あるメール（26%）、フィッシング（24%）、侵害された認証情報（23%）を下回りました。この変化については後で改めて取り上げます。この変化は議論を弱めるのではなく、むしろ鋭くするからです。最も多い侵入口はわずか1年で入れ替わりましたが、防御側のリカバリの問題はそれに合わせて変わることはありませんでした。
BackupSecは、この3年間の連続を戦略的なシグナルと読んでいます。既知のセキュリティ上の弱点と、解消済みの弱点とのギャップは、予防のスケジュールどおりには縮まりません。本記事では、そのギャップがなぜ残り続けるのか、なぜ予防だけでは埋められないのか、そしてそれが2026年のバックアップアーキテクチャにとって何を意味するのかを考えます。
Sophosのデータが実際に示していること
2025年のSophosレポートは、Sophosが委託し、第三者の専門機関が2025年1月から3月にかけて実施した、独立系かつベンダー中立の調査に基づいています。対象は17か国のITおよびサイバーセキュリティ責任者3,400人で、いずれも過去12か月間にランサムウェアの被害を受けた従業員数100〜5,000人の組織に属しています。Sophosは各レポートに調査を実施した年の名前を付けており、「many of the attacks referenced occurred in 2024」（訳：言及されている攻撃の多くは2024年に発生した）と注記しています。根本原因に関する質問には、3,400人の回答者全員が回答しました。
- 悪用された脆弱性：攻撃の32%。3年連続で第1位の原因です（2023年のレポートでは36%、2024年は32%）。
- 侵害された認証情報：23%。2024年の29%から減少しました。
- 悪意あるメール：19%。
- フィッシング：18%。前年の11%から増加しました。
同じ2025年の調査に基づく業種別レポートも、おおむねこのパターンに沿っています。製造業では、悪用された脆弱性が32%で最も多い原因でした。小売業では30%で、3年連続で最多でした。すべての業種が当てはまるわけではありません。医療では、悪用された脆弱性が33%でトップになりましたが、それは「for the first time in three years」（訳：3年ぶり）のことでした。このパターンは広範ではあっても、普遍的ではありませんでした。
調査そのものについて、注意点が1つあります。この調査が記録しているのは被害者が根本原因だと考えているものであり、Sophos自身のインシデントデータは少し異なる姿を示しています。2025 Active Adversary Reportに含まれる2024年のインシデント対応およびMDRの案件全体では、侵害された認証情報が最も多く（41%）、悪用された脆弱性が2番目（22%）でした。いずれにしても、脆弱性の悪用は最上位かそれに近い位置にあります。
この調査結果を重要なものにしているのは、その持続性です。割合は36%から32%へとやや下がり、その後その水準を維持しました。そして3年間、これを上回るものはありませんでした。
このことは、問題についてアーキテクチャ上の何かを教えてくれるはずです。
組織がパッチを適用していても、パッチ適用が失敗する理由
「攻撃の3分の1は悪用された脆弱性から始まる」と聞いたときの直感的な反応は、「それならもっと速くパッチを適用すればいい」というものです。その反応は正しいものの、運用上は不十分です。そして、なぜ不十分なのかは誠実に検討する価値があります。
分母の問題。 中規模の組織であれば、オペレーティングシステム、アプリケーション、ファームウェア、コンテナイメージ、SaaSの構成にわたって、何千もの異なるソフトウェアコンポーネントを稼働させていることは珍しくありません。ベンダーのアドバイザリーは絶え間なく届きます。どれほど優秀なセキュリティチームでも、CVEが公開されたその日にすべてのコンポーネントにパッチを適用することはできません。「悪用されうるもの」という分母は、「今週パッチを適用できるもの」という処理能力よりも構造的に大きいのです。
重要度の問題。 多くのパッチは、ダウンタイム、リグレッションテスト、あるいは収益を守ろうとする事業部門の責任者との調整を必要とします。最もパッチを必要としているシステム（外部に公開されたアプリケーション、レガシーな本番システム、OTや産業用制御のインフラ）は、多くの場合、ダウンタイムのコストが最も高いシステムでもあります。そのため、パッチは予定に組み込まれ、先送りされ、まとめて処理され、やがて忘れられます。そうしたメンテナンスの負債こそ、侵入口を探している攻撃者が真っ先に目を向ける場所です。
発見の問題。 見えないものにはパッチを適用できません。2025年のSophosの調査では、組織が把握していなかったセキュリティギャップが攻撃の40.1%で要因となっており、専門知識の不足（40.2%）にわずかに次ぐ割合でした。回答者は平均で2.7の要因を挙げているため、これらは唯一の原因ではなく、要因の1つです。小売業では、未知のセキュリティギャップが最も多く挙げられた運用上の要因で、被害者の46%が挙げていました。シャドーIT、文書化されていないシステム、忘れられたクラウドワークロード、そして独自の依存関係ツリーを持つサードパーティとの連携によって、現代の攻撃対象領域を洗い出すことは本当に難しくなっています。資産インベントリに表示されているものと、攻撃者が実際に到達できるものとのギャップに、悪用される脆弱性の多くが潜んでいます。
時間枠の問題。 脆弱性が既知でパッチが存在していても、悪用されるまでの時間は大幅に短くなっています。Mandiantの悪用までの時間（time-to-exploit）に関する分析によると、平均は2018〜2019年の63日から、2021〜2022年には32日、2023年には5日になりました。同社が追跡した欠陥のうちパッチの公開後に悪用されたものについては、12%が1日以内に、29%が1週間以内に悪用されていました。そして、2023年に同社が追跡した悪用された脆弱性の70%は、パッチがまだ存在しない段階のゼロデイとして使われていました。数年前にあったパッチ適用の猶予期間は、もうありません。
これらの問題は、脆弱性管理ツールをもう1つ購入しても解決しません。組織がITを運用するあり方に根差した構造的な特徴であり、悪用された脆弱性が3年間にわたってSophosのリストの最上位にとどまった理由の説明にもなります。
AIという目くらまし
2025年のSophosのデータは、AIを使った攻撃をめぐる支配的な語り口に対する有益な修正にもなりました。
2025年の業界の議論は、AIが生成するフィッシングキャンペーン、ディープフェイクを使ったソーシャルエンジニアリング、機械学習を活用した回避技術に大きく傾いていました。これらの脅威は現実のものであり、注目に値します。2025年の調査では、フィッシングは実際に攻撃の11%から18%に増加しました。そのうちどれだけがAIで書かれたおとりによるものなのか、Sophosは述べておらず、私たちにもわかりません。2025年のデータが示しているのは、フィッシングが最も多い侵入口として悪用された脆弱性に取って代わったわけではない、ということです。
2026年版では状況が変わりました。メールを使った攻撃がトップに立ちました。悪意あるメール（26%）とフィッシング（24%）を合わせるとインシデント全体の半数を占め、悪用された脆弱性は14ポイント下がって18%になりました。Sophosはこの変化もAIによるものとはしていません。
リスク管理責任者にとっての実践的な教訓は、最も重要な防御投資はその年に最も多い侵入経路だ、と説くあらゆる語り口（私たちのものも含めて）に懐疑的であれ、ということです。首位は12か月のうちに入れ替わりました。特定の1つの扉を閉じることに依存する防御は、動く標的に賭けているのと同じです。より持続的な投資とは、どの単一の侵入経路についても、それが結果を左右する度合いを小さくする投資です。
「結果を左右する度合いを小さくする」とは実際に何を意味するのか
脆弱性の悪用を完全になくすことはできないと受け入れたときに導かれる、アーキテクチャ上の洞察はこうです。攻撃のかなりの割合が、今後も適時にパッチを適用できなかった欠陥から始まり続けるのであれば（Sophosの3回連続の調査ではおよそ3分の1、4回目でもなお5件に1件近く）、戦略上の問いは「どうすればもっと速くパッチを適用できるか？」から「適用できなかったら何が起きるか？」へと移ります。
これは、ほとんどのセキュリティアーキテクチャがいまだに避けている問いです。
予防が機能することを前提とした防御モデルでは、脆弱性の悪用は根絶すべき失敗として扱われます。Sophosのデータを真剣に受け止める防御モデルでは、それはアーキテクチャの他の部分が壊滅的な結果を招かずに吸収しなければならない、繰り返し起こる状態として扱われます。
根絶から吸収へのこの転換は、成熟した信頼性エンジニアリングが何年も前に行ったのと同じ転換です。分散システムにおいて障害をなくすことはできません。障害が起きても緩やかに機能が低下するようにシステムを設計します。平均故障間隔だけでなく、平均復旧時間を測定します。レジリエンスを、予防が失敗した後の後始末ではなく、主要なアーキテクチャ上の特性として扱います。
セキュリティも、ゆっくりとではありますが、同じ論理を適用し始めています。私たちの読み方では、Sophosのデータはこの移行が遅すぎることを示す強力な証拠です。
バックアップアーキテクチャが転換点になる場所
脆弱性が悪用されて攻撃者が足場を築いた後に続く連鎖は、よく知られています。ラテラルムーブメント、権限昇格、偵察、データの持ち出し、そして最終的にはペイロードの展開です。しかも、それは速く進みます。Sophosの2025 Active Adversary Reportの基になった2024年の案件では、ランサムウェアのインシデント対応案件における滞留時間の中央値は4日、MDR案件では3日でした。それが、攻撃者が本来ならリカバリを可能にするはずの統制を見つけて無力化するために使える時間であり、ほとんどのレビューサイクルよりも短い時間です。
そうした統制の中で最も重要なのが、バックアップ環境です。
脆弱性の悪用によって侵害されたシステムからバックアップ基盤に到達できるのであれば、その脆弱性は攻撃を可能にしただけではありません。攻撃を勝利に導いたのです。インターネットに公開されたアプリケーション上で悪用されたCVEがアーキテクチャ上で重要なのは、そのホスト上で何をするかよりも、その後の数日間に攻撃者がリカバリのレイヤーに対して何をできるようにするかという点です。
これが、Sophosのデータが示唆する転換点です。悪用された脆弱性は、ある年に何位であろうと、今後も主要な侵入口の1つであり続けるでしょう。結果を決める変数は、そうした足場が築かれるシステムから、リカバリアーキテクチャに到達できるかどうかです。
具体的には、次のことを意味します。
アイデンティティの分離。 本番システムを守る認証情報が、バックアップ基盤へのアクセスを与えてはなりません。侵害されたドメイン管理者アカウントがバックアップリポジトリに到達できるのであれば、バックアップは、パッチが適用されていなかった脆弱性によって露出した攻撃対象領域の一部です。
検証されたイミュータビリティ。 ソフトウェアベースの保持ポリシーは、十分な権限を持つ者なら誰でも変更できます。ハードウェアやプラットフォームで強制される保持ロックはそれに耐えるよう設計されていますが、「設定済み」と「実際に意図どおり機能している」は別の主張であり、両者を区別できるのはテストだけです。イミュータビリティがバックアッププラットフォーム、ストレージ層、強化リポジトリ（hardened repository）のいずれによって強制されているにせよ、重要な特性は、それが設定画面で有効化されているだけでなく、敵対的な状況下でテストされているかどうかです。
ネットワークと信頼の隔離。 本番システムと同じネットワークドメイン上にあるバックアップ環境は、脅威モデリングの観点からは本番環境の一部です。論理的・物理的な隔離こそが、バックアップ基盤を「もう1つの標的」から「他の標的が持ちこたえられないときに生き残るレイヤー」へと変えます。
定期的なリストア検証。 2025年のSophosの調査では、データを暗号化された組織のうち、バックアップから復元したのは54%にとどまりました。これは6年間で最も低い割合で、3回連続の低下です。Sophosは、それ以外の組織にその理由を尋ねていません。ただし、29%が「other means」（訳：その他の手段）を使ったと報告しており、Sophosはそこにはおそらく公開された復号鍵が含まれるとしています（複数回答可）。バックアップの失敗に関するSophosの直接的なデータポイントは限定的なものが1つだけです。当初の要求額を上回る金額を支払った151組織のうち、38%がバックアップが失敗した、または正常に機能しなかったと回答しています。2026年版では回復が見られ、暗号化の被害者の66%がバックアップから復旧しています。いずれにせよ、現実的な条件の下で一度もリストアされたことのないバックアップは、統制ではなく仮説です。
戦略の捉え直し
リスク管理責任者にとって、脆弱性の悪用が3年間にわたってリストアの最上位にあったことは、脆弱性管理プログラムを否定するものではありません。脆弱性管理は、どれほどうまく実行されていても、それだけではランサムウェア防御の全重量を支えきれないことの証拠です。
攻撃の32%が悪用された脆弱性から始まったという2025年の調査結果は、同じ調査の別の数字と合わせて読むべきです。データを暗号化された組織の49%が身代金を支払っており、前年の56%から減少しました。2026年版ではこの割合は48%で、Sophosは4年間の平均をおよそ50%としています。私たちの読み方では、これらの数字はつながっています。リカバリのレイヤーを頼りにできないために、予防に絶対に失敗しないことが求められている態勢を表しているのです。是正策は、予防をさらに完璧にすることではありません。予防の失敗がビジネス上の結果を決めてしまわないよう、リカバリを十分に信頼できるものにすることです。
その是正はアーキテクチャ上のものであり、遅すぎるほどです。ギャップを埋める組織は、インシデントがどの扉から入ってきたかにかかわらず、それを吸収できるリカバリのレイヤーを持つ組織になるでしょう。2026年のデータは、最も混み合う扉がいかに早く入れ替わりうるかを示しています。
BackupSecの役割
BackupSecは、予防はときに失敗するという前提から出発します。そして、失敗したときの結果は2つのことにかかっていると考えています。データのクリーンで隔離されたコピーが存在するかどうか、そして、これから来る攻撃に対してバックアップのレイヤーが持ちこたえられることを誰かが確認したかどうかです。
当社の3つのサービスが、上で述べたギャップに対応しています。
- ZeroMON はVeeam Backup & Replicationを監視します。OVAとしてオンプレミスで稼働し、読み取り専用アカウントで接続し、BackupSecにも第三者にも何も送信しません。Veeamのジョブの健全性と構成変更（誰が、何を、いつ変更したか）を追跡し、イミュータビリティのステータスをVeeam自身のリポジトリ設定が報告するとおりに表示し、VeeamのSecurity & Compliance Analyzerの結果を表示します。また、ZeroMONアプライアンスに対するスキャンや接続の試みを、偵察の初期シグナルとして記録するハニーポットも備えています。アラートはメールとアプリ内通知で送られます。読み取るのはVeeamの構成であるため、ストレージ自体のオブジェクトレベルのロックを検証することはありません。
- ZeroTAM は、アーキテクチャ、ランサムウェアからのリカバリ計画、キャパシティのために、専任のバックアップセキュリティアドバイザーをお客様のチームに提供し、危機発生時には優先サポートを行います。ソフトウェアではなくアドバイザリーサービスです。
- ZeroPEN は、Veeam Backup & Replication、さらにVeeam ONEとEnterprise Managerを対象とした脅威主導型のペネトレーションテストです。MITRE ATT&CKにマッピングされた8つのステージでランサムウェアのキルチェーンをシミュレートし、初期アクセスからVeeamサーバーの侵害、リポジトリへのアクセス、バックアップの無力化を経て、暗号化能力の実証までを行います。非破壊型のテストです。「ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services.」（訳：ZeroPENは、実際のバックアップを削除することも、実際の暗号化を行うことも、本番サービスやバックアップサービスを停止することもない）。足場を得た攻撃者がどこまで到達できるかについての監査対応可能なエビデンスと、重大な指摘事項の再テストが提供されます。
32%という数字は決して避けられない運命ではありませんでしたし、2026年の18%という数字も猶予ではありません。どちらも表玄関のことを表しています。結果を決めるのは、リカバリのレイヤーが予防のレイヤーと一緒に失敗するかどうかです。この2つを切り離しても、悪用された脆弱性に対して無敵になるわけではありません。しかし、1つのパッチの適用漏れが、身代金を支払うかどうかを決めてしまう可能性ははるかに低くなります。
バックアップのペネトレーションテストについてBackupSecに相談する →
本分析は、SophosのState of Ransomware 2025および2026レポート、製造業・小売業・医療に関する2025年のSophos業種別レポート、Sophosの2025 Active Adversary Report、そしてMandiantの2023年の悪用までの時間に関する分析に基づいています。解釈とフレームワークはBackupSec独自のものです。お客様の環境にどう当てはまるかについては、当社チームにお問い合わせください →