2025年に日本企業を襲ったランサムウェア被害 ランサムウェア攻撃の流れ
ランサムウェア攻撃の流れ（文章ベース図解）
以下は、**攻撃者の行動を「フェーズ → ステップ → 目的」**の三層で表現した“文章図解”です。
【フェーズ1：侵入前の準備（Reconnaissance）】
┌─① 公開情報の収集
│ └─企業のVPN機器、メールサーバ、クラウドサービスの情報を調べる
│
├─② 脆弱な入口の特定
│ ├─古いVPN装置の脆弱性
│ ├─RDPが外部に開いている
│ └─APIキー・認証情報の漏洩を探索
│
└─③ 攻撃対象の優先順位付け
├─決算期・繁忙期の企業
├─物流・製造など止まると痛い業種
└─バックアップが弱そうな企業
→ この段階で“侵入しやすく、止めたら困る企業”が選ばれる。
【フェーズ2：初期侵入（Initial Access）】
┌─① 認証情報の窃取
│ ├─フィッシングでID/パスワードを奪う
│ ├─ダークウェブで漏洩済みパスワードを購入
│ └─VPN・RDPの弱いパスワードを総当たり
│
└─② 脆弱性の悪用
├─VPN機器の未パッチ脆弱性
├─Webサーバの脆弱性
└─クラウドAPIキーの悪用
→ 入口は“鍵を盗む”か“鍵穴を壊す”のどちらか。
【フェーズ3：内部侵害の拡大（Lateral Movement）】
┌─① 権限昇格
│ ├─管理者権限を奪う
│ └─ドメインコントローラにアクセス
│
├─② 横移動
│ ├─ファイルサーバ
│ ├─バックアップサーバ
│ └─業務システム
│
└─③ セキュリティの無効化
├─EDRを停止
├─ログを削除
└─監視ツールを無効化
→ この段階で“企業の内部地図”を完全に把握される。
【フェーズ4：データ窃取（Exfiltration）】
┌─① 機密データの収集
│ ├─顧客情報
│ ├─社員情報
│ ├─契約書・設計図
│ └─財務データ
│
└─② 外部への送信
├─暗号化して送信
└─攻撃者のサーバへアップロード
→ 近年のランサムウェアは“暗号化前に盗む”のが標準。
【フェーズ5：暗号化（Encryption）】
┌─① 週末・深夜に実行
│ └─業務停止を最大化するため
│
└─② 一斉暗号化
├─ファイルサーバ
├─業務システム
├─PC
└─バックアップ（オンラインの場合）
→ バックアップが破壊されると復旧が数ヶ月単位になる。
【フェーズ6：恐喝（Extortion）】
┌─① 身代金要求
│ ├─「暗号化解除キーを売る」
│ └─「盗んだデータを公開されたくなければ払え」
│
└─② ダークウェブでの公開予告
└─企業ロゴを掲載しカウントダウン開始
→ 支払ってもデータが戻る保証はない。
【フェーズ7：公開・破壊（Leak & Destruction）】
┌─① データ公開
│ └─顧客情報・契約書・内部文書を公開
│
└─② 追加の恐喝
└─「もっと払わないと全データを公開する」
→ 企業の信用失墜・法的リスクが最大化する。
2026年ランサム・ウェア：日本企業の脆弱性：4層モデル（文章ベース図解）
日本企業の脆弱性：4層モデル（文章ベース図解）
このモデルは、ランサムウェア攻撃の典型的な侵入経路と、2025年の日本企業の被害傾向を統合したものです。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
【全体像：4層の脆弱性モデル】
第1層：境界（VPN・RDP・公開サーバ）
第2層：認証（ID/パスワード・APIキー）
第3層：バックアップ（構造・配置・分離）
第4層：BCP（事業継続・復旧体制）
攻撃者は 上から順に突破し、下に行くほど企業の“生存力”が問われる構造になっています。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
第1層：境界（Boundary）
【役割】
外部から内部ネットワークへの入口を守る層。
【典型的な弱点】
・VPN機器の脆弱性放置
・RDPが外部に開放されている
・Webサーバの古いCMS
・クラウドAPIのアクセス制御不足
【2025年の実例】
・アサヒGHD：VPN脆弱性から侵入
・保険見直し本舗：RDP経由と推定
【構造的問題】
“境界防御＝外壁”が古く、穴が空いたまま運用されている。
→ ここを突破されると、攻撃者は企業の“敷地内”に入る。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
第2層：認証（Identity
【役割】
内部システムへのアクセス権を管理する層。
【典型的な弱点】
・弱いパスワード
・多要素認証（MFA）未導入
・APIキーの長期使い回し
・退職者アカウントが残っている
【2025年の実例】
・アスクル：認証情報の窃取 → 横移動
・IIJ：APIキー悪用による二次被害
【構造的問題】
“鍵”が盗まれやすく、盗まれても気づけない。
→ ここを突破されると、攻撃者は“正規ユーザーとして内部を歩ける”。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
第3層：バックアップ（Backup Architecture）
【役割】
暗号化されても復旧できるようにする層。
【典型的な弱点】
・バックアップがオンライン接続されている
・同一ネットワーク内に保存
・復旧手順が未検証
・世代管理が不十分
【2025年の実例】
・アスクル：バックアップも暗号化され復旧長期化
【構造的問題】
“バックアップ＝最後の砦”が攻撃者から丸見えで破壊される。
→ ここが破壊されると、企業は“復旧不能”に近づく。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
第4層：BCP（Business Continuity Plan）
【役割】
攻撃を受けても事業を継続するための層。
【典型的な弱点】
・代替システムが存在しない
・手作業運用の準備がない
・復旧優先順位が不明確
・インシデント対応チームが未整備
【2025年の実例】
・アスクル：物流停止が長期化
・アサヒGHD：決算発表延期
【構造的問題】
“止まったら終わる”業務が多く、代替手段がない。
→ ここが弱いと、攻撃後の“生存力”が著しく低下する。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
4層モデルの因果関係（文章図解）
第1層（境界）が破られる
↓
第2層（認証）が盗まれる
↓
第3層（バックアップ）が破壊される
↓
第4層（BCP）が機能せず、事業停止が長期化
→ 2025年の日本企業の大規模被害は、この4層が連鎖的に破られた結果。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
3つの攻撃グループをこの4層に重ねると
Qilin：
境界（VPN） → 認証 → バックアップ破壊 → 暗号化 → 二重恐喝
RansomHouse：
認証（ID窃取） → 横移動 → データ窃取 → 公開
World Leaks：
境界 or 認証 → データ窃取 → 即公開（暗号化なし）
→ 3グループとも“第2層（認証）”が弱い企業を好んで狙う。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
まとめ：日本企業の脆弱性は“4層の穴”として構造化できる
2026年ランサム・ウェア：3つの攻撃グループを攻撃プロセスに当てはめた図解（文章ベース）
- Qilin（キリン）
- RansomHouse（ランサムハウス）
- World Leaks（ワールドリークス）
の3つを、フェーズごとに横並びで比較した図解です。
【フェーズ1：侵入前の準備（Recon）】
Qilin：
・日本企業を重点的にスキャン
・VPN機器の脆弱性を探索
・決算期・繁忙期を狙う傾向
RansomHouse：
・内部情報（認証情報）を事前に収集
・クラウドや外部委託先の弱点を調査
World Leaks：
・大量データを盗める環境を優先
・暗号化より“窃取しやすい構造”を探す
ーーーーーーーーーーーーーーーーーーーーーーーーーー
【フェーズ2：初期侵入（Initial Access）】
Qilin：
・VPNの脆弱性悪用（アサヒGHD）
・弱いパスワードの総当たり
→ 入口は「VPN」が多い
RansomHouse：
・認証情報の窃取（アスクル）
・内部アカウントの乗っ取り
→ 入口は「盗んだID/パスワード」
World Leaks：
・外部公開サーバの脆弱性悪用
・クラウド認証情報の漏洩利用
→ 入口は「クラウド or Web」
ーーーーーーーーーーーーーーーーーーーーーーーーーー
【フェーズ3：内部侵害の拡大（Lateral Movement）】
Qilin：
・ドメイン管理者権限を奪取
・バックアップサーバへ横移動
・暗号化の準備を整える
RansomHouse：
・EDRを停止
・ファイルサーバを探索
・データ窃取に最適な場所を特定
World Leaks：
・暗号化しないため横移動は最小限
・“盗む価値のあるデータ”を優先的に探索
ーーーーーーーーーーーーーーーーーーーーーーーーーー
【フェーズ4：データ窃取（Exfiltration）】
Qilin：
・個人情報・契約書・財務データを大量に窃取
・暗号化前に外部へ送信
RansomHouse：
・窃取が主目的
・大量のファイルを圧縮して送信
・アスクルではバックアップ破壊後に窃取
World Leaks：
・暗号化せず“窃取のみ”
・TB単位のデータを持ち出す（コバヤシ事件）
ーーーーーーーーーーーーーーーーーーーーーーーーーー
【フェーズ5：暗号化（Encryption）】
Qilin：
・週末に一斉暗号化
・バックアップも破壊
・業務停止を最大化
RansomHouse：
・暗号化する場合もあるが“窃取重視”
・アスクルでは複数種のランサムウェアを使用
World Leaks：
・暗号化しない
・“窃取 → 公開”がメイン戦略
ーーーーーーーーーーーーーーーーーーーーーーーーーー
【フェーズ6：恐喝（Extortion）】
Qilin：
・「金を払わなければデータ公開」
・ダークウェブに企業ロゴを掲載
・カウントダウン方式
RansomHouse：
・「データを公開する」と脅迫
・交渉チャットを開設
・支払い拒否で即公開することも
World Leaks：
・最初から“公開前提”
・「公開されたくなければ払え」という強硬姿勢
ーーーーーーーーーーーーーーーーーーーーーーーーーー
【フェーズ7：公開・破壊（Leak）】
Qilin：
・期限切れでデータ公開
・日本企業のデータを積極的にリーク
RansomHouse：
・交渉決裂でデータ公開
・アスクルのデータも一部公開
World Leaks：
・最初から大量公開（3.2TBなど）
・暗号化しないため“情報漏洩特化型”
ーーーーーーーーーーーーーーーーーーーーーーーーーー
3つの攻撃者の“構造的な違い”を1行でまとめる
Qilin：暗号化＋窃取の二重恐喝。日本企業を重点的に狙う。
RansomHouse：窃取重視。認証情報の悪用が多い。
World Leaks：暗号化せず窃取のみ。大量データ公開で脅迫。
ーーーーーーーーーーーーーーーーーーーーーーーーーー
まとめ：日本企業の脆弱性は“4層の穴”として構造化できる
• 第1層：境界
古いVPN・RDP・公開サーバの脆弱性が放置されている
• 第2層：認証
ID/パスワード・APIキーが盗まれやすい
• 第3層：バックアップ
オンライン接続で破壊されやすい
• 第4層：BCP
代替手段がなく、復旧に数ヶ月かかる
この4層が連鎖的に破られることで、
2025年のアスクル・アサヒGHD・コバヤシなどの大規模被害が発生した
という構造が見えてきます。
2026年ランサム・ウェア：日本企業の脆弱性：構造的に見ると何が問題か
一覧表を俯瞰すると、問題は単なる“設定ミス”ではありません。
もっと深い構造的な弱点が浮かび上がります。
■ 1. 認証情報の管理が甘い
VPN・RDP・APIキーなど、
「鍵」そのものが盗まれている。
■ 2. バックアップが破壊される設計
アスクルのように
- バックアップがオンライン
- 攻撃者が横移動して破壊
というケースが多い。
■ 3. インシデント対応力の不足
復旧に数ヶ月かかる企業が多く、
BCP（事業継続計画）が機能していない。
📝 まとめ：2025年は“日本企業が狙われた年”だった
2025年の月別一覧を見ると、
- 秋に大規模攻撃が集中
- Qilin など特定グループが継続的に攻撃
- 侵入経路は認証情報の窃取が中心
- バックアップ破壊により復旧が長期化
という構造が明確に浮かび上がります。
2026年以降も同じ攻撃者が活動しているため、
日本企業は「狙われている前提」で防御を再設計する必要がある
と言えるでしょう。
2025年ランサム・ウェア：日本企業のランサムウェア被害（公表ベース・月別一覧）
― 月別一覧から見える“攻撃の構造”と“日本企業の脆弱性” ―
2025年、日本企業は過去にない規模でランサムウェア攻撃の標的となりました。
特に秋以降は大手企業への攻撃が相次ぎ、物流停止・個人情報流出・事業継続への影響が深刻化しました。
この記事では、2025年に公表されたランサムウェア被害を月別に整理した一覧表をもとに、
- どの月に何が起きたのか
- どの攻撃グループが活発だったのか
- 日本企業のどこに弱点があるのか
を構造的に読み解いていきます。
2025年：日本企業ランサムウェア被害（公表ベース・月別一覧）
【2025年 日本企業ランサムウェア被害（公表ベース・月別一覧）】
■ 1月
（公表事例なし）
■ 2月
・保険見直し本舗グループ
攻撃者：不明（RaaS）
被害：最大510万件の個人情報漏洩の恐れ
要求金額：非公表
回復：数ヶ月規模の再構築
備考：RDP経由の侵入と推定
■ 3月
（公表事例なし）
■ 4月
・IIJ（顧客20社に二次被害）
攻撃者：不明
被害：APIキー悪用によるメールサービス経由の二次被害
要求金額：なし（暗号化なし）
回復：数日〜数週間
備考：クラウドAPI認証キーの悪用
■ 5月
・レゾナックホールディングス
攻撃者：不明
被害：一部サーバ暗号化
要求金額：非公表
回復：非公表
・大日本印刷（米国子会社 CMIC CMO USA）
攻撃者：Qilin
被害：45GB窃取を攻撃者が主張
要求金額：非公表
回復：非公表
■ 6月
（公表事例なし）
■ 7月
（公表事例なし）
■ 8月
（公表事例なし）
■ 9月
・アサヒグループホールディングス
攻撃者：Qilin
被害：191.4万件の個人情報漏洩の可能性
要求金額：非公表
回復：調査継続（10月以降も影響）
備考：VPN経由で侵入、週末に暗号化実行
■ 10月
・アスクル
攻撃者：RansomHouse
被害：物流・社内システム暗号化、データ流出
要求金額：非公表
回復：12月時点で復旧フェーズ
備考：バックアップも暗号化され復旧長期化
・エネサンスホールディングス
攻撃者：Qilin
被害：ダークウェブにロゴ掲載
要求金額：非公表
回復：非公表
■ 11月
・株式会社コバヤシ
攻撃者：World Leaks
被害：3.2TB窃取（暗号化なし）
要求金額：非公表
回復：非公表
■ 12月
（公表事例なし）
ーーーーーーーーーーーーーーーー
月別一覧から見える3つの特徴
① 秋（9〜11月）に被害が集中
特に
- アサヒGHD（9月）
- アスクル（10月）
- エネサンスHD（10月）
- コバヤシ（11月）
と、大手企業を含む重大インシデントが連続しました。
攻撃者は「決算期」「物流繁忙期」を狙う傾向があり、
“止めたら企業が困るタイミング”を選んでいることが分かります。
② Qilin・RansomHouse・World Leaks が活発
2025年に日本企業を攻撃した主要グループは以下の3つ。
Qilin：日本企業を重点的に狙う。窃取＋暗号化の二重恐喝。
RansomHouse：データ窃取に特化。アスクル事件で注目。
World Leaks：暗号化せず窃取のみ。大量データを公開して脅迫。
特に Qilin は日本企業を“狩場”として認識している可能性が高い。
③ 侵入経路は「VPN」「RDP」「APIキー」
一覧表から見える侵入経路の傾向は以下。
- VPNの脆弱性悪用（アサヒGHD）
- RDP（保険見直し本舗）
- APIキーの悪用（IIJ）
- 認証情報の窃取（アスクル）
共通点は、
「境界防御の穴」から侵入 → 内部で横移動 → 暗号化 or 窃取」
という典型的な Human-Operated 攻撃の流れ。
