身代金は払うべきか、払わざるべきか——ランサムウェア攻撃が急増する中、この問いへの答えを法律で縛ろうとする動きが世界各国で強まっている。英Financial TimesのHannah Murphy記者がArs Technicaに寄稿した記事によれば、英国政府は公共部門や重要インフラ事業者（国民保健サービスNHS、地方自治体、学校など）に対し、ハッカーへの身代金支払いを禁止する方針を進めている。

なぜ今、身代金支払い禁止が議論されているのか

セキュリティ企業Sophosが2025年に実施した調査によると、ランサムウェア攻撃の標的となった企業のほぼ半数が実際に身代金を支払っており、要求額の中央値も上昇を続けている。サプライチェーンセキュリティ企業Risk LedgerのCEO、Haydn Brooks氏は「2026年のランサムウェア業界は、企業のように洗練されたエコシステムへと進化した」と指摘する。データを取り戻すためハッカー側もB2Bさながらの『誠実な』対応をする一方、支払う側の法的リスクや制裁リスクはかつてないほど高まっているという。

この背景にあるのがAIの悪用だ。Fortinetのシステムエンジニアリング担当ディレクター、Dave Spillane氏によれば、WormGPTやFraudGPT、BruteForceAIといった悪意あるAIハッキングツールの台頭により、2025年の確認済みランサムウェア被害者数は前年の約1,600件から7,831件へと389%増加した。「以前なら1件の攻撃にかかっていた時間で、いまは4つの組織を同時に狙える」とSpillane氏は語る。Nileの最高マーケティング責任者Shashi Kiran氏も「攻撃1件あたりのコストは劇的に下がり、以前は国家レベルでしかできなかったことが、AIの力を借りた生半可なスキルの個人でも実行可能になった」と警鐘を鳴らす。

海外専門家の評価：支払いは「悪循環」か「必要悪」か

支払いの是非については専門家の間でも意見が割れている。SentinelOneのシニア脅威リサーチャー、Jim Walter氏は支払いに強く反対する立場だ。「脅迫者への支払いは、それを行うエコシステムと当事者を強化するだけだ」とし、攻撃者が支払い後にデータを削除する保証はなく、再恐喝やデータの転売が常態化していると指摘する。

一方、ハードディスクのデータ復旧を手がけるDriveSaversのAndy Maus氏はより慎重な見方を示す。「支払い禁止への懸念は、禁止が敷かれているのにデータ復旧が現実的でない場合に何が起きるかだ」と述べ、水道や電力といった重要インフラでは、身代金を払えずデータも復旧できない事態が住民生活に深刻な影響を及ぼしかねないと警告する。実際、2021年と2022年にそれぞれ州レベルで支払い禁止を導入した米ノースカロライナ州とフロリダ州では、「どちらの禁止も犯罪活動を実質的に抑止した形跡は見られない」という。Risk LedgerのBrooks氏も、公共部門で支払いが禁止されれば、犯罪者は規制の緩い民間セクターへ「積極的に矛先を変える」と予測している。

日本市場での注目点

ランサムウェアはIPA（情報処理推進機構）の「情報セキュリティ10大脅威」でも組織向け脅威の上位常連であり、日本にとっても他人事ではない。現時点で日本には英国が検討するような身代金支払いを法的に禁じる制度はないが、海外の規制動向は日本企業にも無関係ではない。特に英国・米国に拠点や取引先を持つ日本企業は、現地子会社や取引先が支払い禁止規制の対象になり得る点に注意したい。また記事が指摘する通り、中小企業ほど標的にされやすい傾向は日本でも共通しており、バックアップ体制やインシデント対応計画の整備は規制の有無にかかわらず急務だ。サイバー保険の契約条件や免責事項に、身代金支払いに関する制限が今後盛り込まれる可能性にも注視したい。

筆者の見解

今回の記事で最も注目したのは、米ノースカロライナ州・フロリダ州の禁止が「犯罪活動を実質的に抑止した形跡が見られない」というくだりだ。禁止だけを掲げて実効性のある代替手段を用意しないアプローチは、たいてい機能しない。これはランサムウェアに限った話ではなく、企業のシステム利用ルール全般に共通する構図で、『使うな』と言うだけでは現場は止まらず、抜け道を探すか、より悪い選択肢に流れるだけだ。重要インフラのように支払い以外に打つ手がない状況をそもそも作らないこと——つまりバックアップや復旧手順を平時から整備し、身代金を払わなくても事業を継続できる『仕組み』を用意しておくことこそが、規制論議より先にやるべき本丸だろう。

もう一つ見過ごせないのが、WormGPTやFraudGPTのようなAIハッキングツールが攻撃のコストを劇的に下げているという事実だ。AIエージェントが人間の作業負荷を下げるという構図は、防御側だけでなく攻撃側にも等しく当てはまる。生成AIの普及がもたらす恩恵と脅威は表裏一体であり、防御側も検知・復旧の自動化にAIを積極活用しなければ、攻守のスピード差はますます開いていく。身代金を『払う・払わない』を議論する前に、そもそも払わずに済む体制をどれだけ作れているか——日本の組織にもその問いが突きつけられている記事だと感じた。

出典: この記事は Pay up or not? Ransomware surge has victims facing tough choices. の内容をもとに、筆者の見解を加えて独自に執筆したものです。