ランサムウェア・アズ・ア・サービス：サイバー攻撃が“サブスク化”する闇ビジネスの実像

世界各地で、企業や病院、地方自治体のシステムが突然暗号化され、「復旧のためには暗号資産で身代金を支払え」と迫られる事件が相次いでいます。こうしたランサムウェア攻撃の背後には、開発者が“サービス提供者”となり、攻撃役を募って収益を分配する「ランサムウェア・アズ・ア・サービス（RaaS）」という闇ビジネスモデルが存在します。

本稿では、RaaSがどのような構造で成り立ち、どのように暗号資産で収益を分配し、アメリカ合衆国や欧州連合（EU）、日本を含む各国のインフラや企業、公共サービスにどのような影響を与えているのかを整理します。また、国連薬物犯罪事務所（UNODC）やEuropol、INTERPOLなどの報告を手掛かりに、国際的な取り締まりの試みとその限界、今後のリスク認識のポイントを考えていきます。

ランサムウェア・アズ・ア・サービスとは何か：攻撃の“外注化”

ランサムウェアとは、コンピュータやサーバー内のファイルを暗号化し、復号のための鍵と引き換えに金銭（多くはビットコインなどの暗号資産）を要求する不正ソフトウェアの総称です。2017年に世界中で大きな混乱を引き起こした「WannaCry」や「NotPetya」などは、その象徴的な例として知られています。

従来、ランサムウェア攻撃は「自分でマルウェアを開発できる一部の攻撃者」に限られたものでした。しかし近年は、開発者がランサムウェア本体や管理パネル、マニュアル、テクニカルサポートを一式で提供し、攻撃を実行する“加盟者”を募集する「ランサムウェア・アズ・ア・サービス（RaaS）」へと変化しています。表向きは月額課金や成功報酬制のようなメニューを用意し、闇市場で「サービス」として広告されるケースも報告されています。

このモデルにより、「攻撃インフラを自前で構築できないが、侵入や標的選定には慣れている」人物でも、比較的容易に高度なランサムウェア攻撃に参加できるようになりました。結果として、FBIやEuropolの報告にある通り、世界のランサムウェア被害総額は年間で数十億〜数百億ドル規模に達する可能性があると推計され、2020年代に入ってから顕著な増加が指摘されています。

RaaSのビジネスモデル：開発者・アフィリエイト・マネロン役の分業

RaaSは、単なる「マルウェア販売」ではなく、複数の役割が分業されたビジネスモデルとして機能します。典型的には、次のようなプレイヤーが関わるとされています。

• 開発者（コア運営）：ランサムウェア本体や管理パネル、支払いページなどを開発・運営する中核チーム。暗号化・復号の仕組み、被害者との交渉インターフェースを提供し、加盟者からの手数料や成功報酬を受け取ります。
• アフィリエイト（加盟攻撃者）：実際に標的を選び、侵入し、ランサムウェアを展開する“実行部隊”。フィッシングや脆弱性悪用、内部者の買収など、侵入手段は多様ですが、ここでは具体的な方法には踏み込みません。
• マネーロンダリング役：被害者から支払われた暗号資産を複数回の送金や交換所、ミキシングサービス、他の金融商品などを通じて洗浄し、法定通貨に変換する役割を担う人物・グループ。
• インフラ提供者：匿名性の高いホスティングや、C2（コマンド＆コントロール）通信に使われるサーバー、連絡用チャットプラットフォームなどを提供する側。

収益分配の仕組みはRaaSごとに異なりますが、「身代金の30〜40％を開発者が取り、残りをアフィリエイトに渡す」といったモデルが典型例として報道されています。これは合法ビジネスにおけるフランチャイズやアフィリエイトに似た発想であり、「開発者はリスクと運営コストを負う代わりに、複数の攻撃から継続的に取り分を得る」という構図です。

決済は暗号資産で行われることが一般的で、ビットコインのほか、追跡を受けにくいとされるプライバシー志向の暗号資産が使われるケースもあります。金融活動作業部会（FATF）は、こうした暗号資産を用いたマネーロンダリングリスクに警鐘を鳴らし、各国に対して暗号資産交換業者への本人確認（KYC）と疑わしい取引の届出を求めています。

具体事例：コロニアル・パイプライン事件とRaaS型攻撃の連鎖

RaaS型の攻撃が現実社会にどのような影響を与えるのかを理解するために、2021年にアメリカ合衆国で発生した「コロニアル・パイプライン」ランサムウェア事件を軸に見てみます。この事件は、米東海岸に燃料を供給する重要パイプライン事業者が攻撃を受け、一時的に操業を停止したことで、ガソリン供給と価格にまで影響が及んだケースとして広く報道されました。

ケースAの流れ：重要インフラが狙われたとき

• 上流：侵入と暗号化 攻撃グループは、同社のITネットワークに侵入し、一部システムのデータを暗号化しました。報道によれば、運営に関わる基幹部分への直接攻撃は限定的だったとされていますが、企業側は被害の拡大を防ぐため、パイプラインの一時停止を決断しました。
• 中流：身代金要求と交渉 攻撃者は、暗号資産での支払いを条件に復号鍵を提供すると主張しました。当局の発表では、同社は数百万ドル相当のビットコインを支払ったとされています（一部は後にアメリカ司法省とFBIによって押収されました）。このグループは、RaaS型のランサムウェアを利用していたとみられています。
• 下流：社会・経済への波及 パイプラインの停止により、一部の州ではガソリンスタンドでの長蛇の列や一時的な不足が発生し、価格も上昇しました。エネルギーインフラへのサイバー攻撃が、一般市民の日常生活に直結するリスクを示した象徴的な事例です。
• 当局の対応と限界 アメリカ連邦捜査局（FBI）、国土安全保障省（DHS）、エネルギー省などが連携し、暗号資産の追跡と一部資金の押収に成功しました。しかし、RaaSの開発者・アフィリエイト・マネロン役が複数の国や司法権をまたぐ場合、全容解明と恒久的な壊滅は依然として難しいとされています。

この事件のほかにも、英国の医療機関（NHS）を含む欧州各国の病院がランサムウェアにより診療を一時停止した事例や、日本国内でも製造業や大学、地方自治体が被害を受けるケースが報じられています。共通するのは、「攻撃の背後に、RaaS型のビジネスモデルが存在する場合がある」という点です。開発者は世界のどこかに潜伏し、加盟者は別の地域から攻撃を行い、資金は暗号資産のネットワークを通じて国境を越えて移動します。

社会・経済・生活への影響：統計が捉えきれない“見えないコスト”

ランサムウェア攻撃がもたらす影響は、身代金として支払われた金額だけではありません。復旧のためのシステム再構築や外部専門家の費用、操業停止による売上減少、ブランドイメージの毀損、規制当局への報告と罰金リスクなど、多くの間接コストが積み重なります。

OECDや世界銀行などのレポートでは、サイバー攻撃全体による経済損失が各国GDPの数％に相当する可能性があると指摘されており、その中にはランサムウェアを含む被害が含まれています。ただし、企業が全ての被害額を公表しているわけではなく、実際の損失規模は統計が捉えているより大きいと考えられます。

社会的影響という観点では、次のような点が問題になります。

• 医療機関・自治体・交通インフラなど、公共サービスの停止や遅延による市民生活への影響
• 中小企業が多額の復旧費用に耐えられず、事業継続や雇用に打撃を受けるリスク
• 「身代金を払うべきか否か」をめぐる倫理的・法的な議論（支払いが新たな攻撃の資金源となるジレンマ）
• 暗号資産と正規金融システムの境界があいまいになることで、マネーロンダリング防止の枠組みに負荷がかかること

特に日本では、サイバー攻撃の被害を過小評価しがちな文化や、「情報を公表すると評判が傷つくのではないか」という懸念から報告が遅れるケースも指摘されています。このような“見えない被害”は、統計に現れないまま社会のどこかで負担として積み上がっていきます。

取り締まりと規制の現在地：国際連携とその限界

RaaS型ランサムウェア攻撃に対抗するため、各国政府と国際機関は複数のアプローチを取っています。サイバー犯罪条約として知られる「ブダペスト条約」は、国境を越えたサイバー犯罪捜査の国際協力を促進する枠組みであり、欧州評議会の加盟国を中心に運用されています。日本もこの条約を受け入れており、海外当局との協力捜査の基盤になっています。

また、欧州連合（EU）はNIS指令やNIS2指令を通じて、重要インフラ事業者に対し、サイバーセキュリティ対策とインシデント報告義務の強化を求めています。日本でもサイバーセキュリティ基本法や個人情報保護法が改正され、重大なインシデント発生時の報告や、監督官庁による勧告・命令の枠組みが整備されてきました。

捜査面では、FBIやEuropol、INTERPOLが中心となり、ランサムウェアグループのインフラを押収したり、暗号資産の一部を凍結したりする国際共同作戦が実施されています。ときおり「ダークウェブ上の掲示板やRaaSプラットフォームが一斉に閉鎖された」というニュースが報じられますが、その背後には長年にわたる潜入捜査やOSINT（公開情報分析）、ブロックチェーン解析などの地道な活動があります。

しかし、こうした取り組みには限界もあります。RaaSの運営者や加盟者が複数の国に分散している場合、すべての関係者に対して刑事責任を問うことは困難です。また、暗号資産の技術も進化しており、匿名性の高い新たなプロトコルや、分散型金融（DeFi）を介したマネーロンダリングなど、規制が追いつきにくい領域も増えています。

まとめ：ランサムウェア時代に私たちが意識すべきポイント

ランサムウェア・アズ・ア・サービスは、サイバー攻撃を“外注可能なビジネス”に変え、世界中の組織と個人に影を落としています。最後に、読者が意識しておくべきポイントを整理します。

• RaaSは、開発者・アフィリエイト・マネロン役が分業し、暗号資産を用いて収益を分配するビジネスモデルであり、フランチャイズ型の犯罪市場として機能している。
• コロニアル・パイプライン事件のように、重要インフラや公共サービスが狙われると、被害は企業や行政にとどまらず、市民の日常生活や地域経済に直接波及する。
• UNODC、FATF、Europol、INTERPOL、日本の警察庁などが連携して取り締まりや規制を強化しているが、技術革新と国境を越える構造のため、完全な抑止には至っていない。
• 統計に表れない“見えないコスト”として、復旧費用や営業停止、ブランド毀損などが積み上がり、特に中小企業にとっては事業継続を揺るがすリスクとなる。
• 個々の組織や利用者にとっては、バックアップや多要素認証、権限の最小化、インシデント対応計画の整備など、地道なセキュリティ対策が現実的な防御線となる。

ランサムウェアの脅威は、技術的な問題であると同時に、ビジネスモデルと国際金融を巡る問題でもあります。攻撃の“サブスク化”という現実を直視しつつ、過度に恐怖を煽るのではなく、社会としてどのリスクを受け入れ、どこにコストをかけて防御するのかを冷静に議論していくことが求められます。

真堂 泉（サイバー犯罪・ダークウェブ担当）／ 犯罪経済ラボ

• ディープフェイク恐怖と企業の信用リスク：「存在しない映像」がレピュテーションと株価を揺るがすとき
• 若者と闇バイト：SNSと生活不安がつなぐ危険なライン
• 地方都市の歓楽街と裏社会マネー：風俗・闇市・非合法カジノが支える影の経済圏
• 犯罪統計の「治安悪化」は本当か：認知件数・検挙率・人口構成で読み解く数字の意味