ランサムウェアの身代金支払い企業は減少傾向、しかし要求額は急騰

Tripwireは6月28日(米国時間)、「Better Resilience Sees More Extorted Companies Refuse To Pay Their Ransomware Attackers｜Tripwire」において、ランサムウェアの被害を受けた企業の身代金支払いが減少傾向にあると伝えた。これは、保険の仲介企業「Marsh」が2023年における米国およびカナダ企業からの保険金請求1,800件以上について調査して判明したもの。

• Better Resilience Sees More Extorted Companies Refuse To Pay Their Ransomware Attackers｜Tripwire

身代金支払いの推移

Marshの分析によると、2023年にランサムウェア被害の保険金を請求した企業のうち、身代金の支払いに応じた企業は約23%とされる。2021年は60%超が身代金の支払いに応じたとみられることから、大幅に減少していることがわかる。

• ランサムウェア身代金支払いの推移　引用：Marsh McLennan Cyber Risk Intelligence Center

大幅な減少に転じた理由は、ランサムウェア被害からのシステム復旧能力が大幅に向上したためと推測されている。具体的には被害発生直後に業務を継続する能力、速やかな侵害経路への防御策の展開、バックアップからの復旧能力などが向上したとみられている。

しかしながら、これはランサムウェア被害が減少していることを意味しているわけではない。復旧できる可能性が上がっているだけで、企業にはさらなるセキュリティ強化への取り組みが望まれている。

身代金要求額の推移

Marshの報告によると、身代金要求額の中央値は2022年の140万ドルから2023年は過去最高の2,000万ドルに急騰したという。この変化が攻撃者の貪欲さによるものなのか、収益減少を単価の上昇で埋めようとしているのかはわかっていない。後者であれば企業の支払い拒否の取り組みが攻撃者に影響を与えていることになり、サイバー攻撃減少につながる可能性がある。

支払い拒否の取り組みは、セキュリティ強化および法執行機関による改善ではないためエンドユーザーの安全性向上にはつながらない。しかしながら、年間11億ドル以上ともされる身代金支払額の減少や、サイバー犯罪者増加の抑止力となるのであれば前向きに評価することができる。

企業や組織にはユーザー、従業員、システムの安全確保のため、高度なサイバーセキュリティ環境の構築および維持が推奨されている。そのうえで被害を最小限に抑える対策を実施し、サイバー犯罪者を利することがないよう準備することが望まれている。