2025年のランサムウェアの身代金支払いは横ばいでも被害は拡大|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年03月03日更新日時: 2026年03月03日

Chainalysisは2026年2月26日公開の分析で、2025年のランサムウェア「身代金支払い総額」は約8%減の8.2億ドル（約1,279億円）（2024年の推計8.92億ドル（約1,392億円）から減少）だった一方、リークサイト等で主張された被害件数は前年比50%増と報告しました。

さらに、支払い率（支払った被害者の割合）は28%程度まで低下した可能性があるとしています。加えて、2025年の総額は今後の帰属付け（アトリビューション）次第で9億ドル（約1,404億円）に近づく／超える可能性にも言及しており、「総額は横ばいに見えても、後から積み上がる」点には注意が必要です。

1 支払いが伸びないのに攻撃が増える理由
2 中央値が急増した意味
3 IABが30日先を示す先行指標になっている
4 犯罪者と国家系が同じインフラを使う時代
5 2025年の対策は「個別グループ」から「イネーブラー層」へ
6 情シスが押さえるべき実務ポイント

支払いが伸びないのに攻撃が増える理由

Chainalysisは、攻撃が増えても支払いが伸びにくい背景として、次の複合要因を挙げています。

インシデント対応の改善と規制・監督強化で、支払い頻度が下がっている
国際的な捜査・制裁・マネロン網への対応が、収益化を難しくしている
一部の新種（例：暗号強度の問題で復号可能になったケース）により、支払い不要で復旧できた事例がある
RaaSの分裂・分散が進み、支払い交渉や追跡が難しい「小規模集団の乱立」へ移行している

つまり、攻撃件数が増えても「払わない」という認識が広がる一方、攻撃者側は「より多くの獲物を狙い、より強い脅し方に寄せる」方向へ最適化している、ということになります。

中央値が急増した意味

総額が大きく伸びない一方で、Chainalysisは身代金の中央値が2024年の12,738ドル（約199万円）から2025年は59,556ドル（約929万円）へ（+368%）と急増したと示しています。
また、支払い減少に直面した攻撃者は、交渉を強硬化させ、従業員や顧客へ接触するなど圧力を強めたり、盗んだデータを分析して「何を盗んだか」を材料に脅迫を具体化する傾向があると指摘しています。

IABが30日先を示す先行指標になっている

同レポートの実務的に重要な示唆が、Initial Access Broker（IAB）の扱いです。Chainalysisは2025年のIABオンチェーン受領額を少なくとも1,400万ドル（約21.8億円）と推計し、規模としては小さく見えても、ランサムウェア総額（8.2億ドル／約1,279億円）がその約58倍に達することから、サプライチェーン上の投資対効果が極めて高いと指摘します。

さらに、同社の分析では、IABへの資金流入が増えた約30日後に、ランサムウェア支払いとリークサイト投稿（被害主張）が増える傾向が見られるとして、IABを「先行指標」と位置づけています。

企業側で言い換えると、ゼロデイやマルウェア本体だけでなく、初期侵入の売買市場が活性化するタイミングを捉えられると、防御（認証強化・侵入前提の監視）を前倒ししやすい、という話です。

犯罪者と国家系が同じインフラを使う時代

Chainalysisは、金銭目的の犯罪者と国家系（state-aligned）アクターが、同じバレットプルーフホスティングやレジデンシャルプロキシ網を利用し、検知回避と匿名化を図る「インフラ層の収束」を明確に述べています。

例として、2025年11月に米英豪がロシア系バレットプルーフホスティング（Media Land等）を制裁対象にした動きが挙げられます。OFACの公表資料でも、Media Land, LLC（ほか関連企業）やYalishanda名義の人物・暗号資産アドレスなどが指定されたことが確認できます。

2025年の対策は「個別グループ」から「イネーブラー層」へ

2025年は、グループ個別の摘発だけでなく、侵入を成立させる土台（ローダー、ドロッパー、初期アクセス基盤）へ圧力が強まった年でもあります。欧州警察機構EuropolはOperation Endgameの続報として、ランサムウェアのキルチェーンを支える初期アクセス系マルウェアを狙った取り組みを公表しています。