医療機関を狙うランサムウェア攻撃の不気味な実態：件数高止まり、要求額激減の裏側

2025年の医療業界では、ランサムウェア攻撃の件数は依然として高い水準を維持したものの、身代金の要求額は大幅に減少したことが、最新のレポートで明らかになりました。しかし、この傾向は医療機関にとって新たな課題と戦略の必要性を示唆しています。攻撃の巧妙化と、それに伴う対応策の重要性について、詳しく見ていきましょう。

ランサムウェア攻撃の現状と身代金要求額の動向

医療機関への攻撃件数は高止まり

2025年、医療機関を標的としたランサムウェア攻撃は445件に達し、2024年の437件から微増しました。また、医療関連ビジネス（医薬品メーカー、医療技術企業など）への攻撃も25%増加し、191件を記録しました。これらの数値を合算すると、医療セクター全体で636件のランサムウェア攻撃が発生したことになります。特に、2025年第4四半期には医療機関への攻撃が50%増加するなど、後半にかけて攻撃が活発化する傾向が見られました。

身代金要求額の劇的な減少

一方で、医療機関が請求された平均身代金要求額は、2024年の平均390万ドルから84%減少し、2025年には61万5000ドルとなりました。医療関連ビジネスでも同様に、平均要求額は2024年の約584万7000ドルから92%減少し、58万4700ドルにまで低下しました。

データ漏洩の規模

これらの攻撃により、少なくとも1650万件の記録が漏洩したと推定されていますが、報告書は実際の件数はさらに多い可能性を指摘しています。医療機関に限定すると、155件の攻撃で1010万件以上の記録が漏洩しました。医療関連ビジネスでは640万件以上の記録が影響を受けました。

考察：巧妙化する攻撃と医療機関の新たな課題

攻撃者の戦略変化：AIとRaaSの活用

平均身代金要求額の低下は、ランサムウェア・アズ・ア・サービス（RaaS）やAIを活用した攻撃の増加と関連している可能性があります。これらの新しい手法は、攻撃者がより迅速かつ低額な身代金で、より多くの攻撃を成功させようとする戦略を示唆しています。攻撃者は、AIを活用して攻撃を自動化・高度化し、より広範囲の、あるいはより迅速な支払いを期待できる小規模な要求を増やすことで、全体の収益を最大化しようとしていると考えられます。

サードパーティリスクの増大

医療機関は、直接的な攻撃だけでなく、委託先の医療サービス事業者やITプロバイダーなど、サードパーティを介した攻撃のリスクにも直面しています。医療機関のシステムは、利用している第三者のセキュリティ体制に依存するため、サプライチェーン全体でのセキュリティ対策が不可欠となっています。

身代金支払いへの抵抗の高まり

興味深いことに、2025年には身代金が支払われたと確認されたケースはわずか2件でした。これは、医療機関が身代金を支払うことへの抵抗を強めている、あるいは支払ってもデータが復旧される保証がないという認識が広がっている可能性を示唆しています。しかし、攻撃件数が依然として高いことを考えると、支払いを拒否する戦略が、攻撃の成功率を低下させる効果があるのか、さらなる分析が必要です。

考察： ransomware攻撃の進化と医療機関のレジリエンス強化

AIとRaaSによる攻撃の民主化とその影響

ランサムウェア・アズ・ア・サービス（RaaS）と人工知能（AI）の進化は、サイバー攻撃の敷居を大幅に下げ、攻撃の規模と速度を劇的に向上させています。これにより、専門知識を持たない個人や小規模なグループでも、高度なランサムウェア攻撃を実行することが可能になりました。医療機関は、この「攻撃の民主化」とも言える状況に対し、より高度で多層的な防御策を講じる必要があります。単一の防御策では不十分であり、AIを活用した脅威検知システムや、インシデント発生時の迅速な復旧計画など、包括的なアプローチが求められます。

データ価値の認識と医療機関の脆弱性

医療機関は、機密性の高い患者データ（PHI）を大量に保有しており、これは攻撃者にとって非常に魅力的な標的となります。PHIは、ダークウェブでの取引価値が高く、また、患者のプライバシー侵害は、医療機関の信頼失墜に直結するため、攻撃者はこの点を突いてくる可能性が高いです。そのため、医療機関は、データの暗号化、アクセス制御の強化、従業員へのセキュリティ教育などを徹底し、データ漏洩のリスクを最小限に抑える必要があります。

攻撃耐性の向上：支払わないという選択肢

身代金の要求額が低下し、支払い件数も少ないという事実は、医療機関が身代金支払いを拒否する傾向が強まっていることを示唆しています。これは、長期的には攻撃者のインセンティブを削ぐ可能性があります。しかし、攻撃件数が依然として高い水準にあることから、攻撃者は支払いを拒否された場合の代替手段、例えばデータの公開や、より広範なシステム破壊などを試みる可能性があります。したがって、医療機関は、身代金を支払わないという戦略を維持しつつも、攻撃を受けた際の事業継続計画（BCP）や、データ復旧能力を強化することが極めて重要になります。