ランサムウェアは、決断を迫る軌道にある。2025年、主張された攻撃は50%急増し、記録上最も活動的な年となり、8,000以上の組織がリークサイトで公に名前を挙げられた。中央値の身代金要求額は、2024年の約12,700米ドルから2025年には約60,000米ドルに跳ね上がった。それでもなお、支払う被害者の割合は過去最低の28%にまで低下したと、Chainalysisの2026年暗号犯罪レポートは報告している。
この逆説は、取締役会と立法府の両方で展開されている議論の中心にある。身代金の支払いを禁止することは助けになるのか、それとも準備のできていない被害者に逃げ道を残さないことになるのか？
禁止の論拠は単純明快な経済学に基づく。ランサムウェアは儲かるから存在する。支払いを断てば、そのモデルは崩壊する。48カ国の同盟が身代金を支払わないことを誓約しているが、拘束力のある法律を持っている国はほとんどない。英国は公共部門の支払い禁止を確認しており、ノースカロライナ州、フロリダ州、テネシー州など複数の米国の州が政府機関に対して同様の制限を可決または検討している。
しかし、全面禁止に反対する論拠は頑なに実用的である。セキュリティ・アンド・テクノロジー研究所のランサムウェア・タスクフォースは、現時点での禁止は被害者への害を悪化させると主張した。中小企業は長期間の業務中断に耐えられない。病院、学校、地方自治体は、バックアップのみで業務を復旧する準備が最も整っていない。タスクフォースは、段階的な複数年にわたるアプローチを推奨した。支払いを違法とする前に、エコシステムの準備態勢、抑止力、妨害能力、被害者支援を構築するよう提言している。
「より重要な問題は、そもそもどうやってランサムウェアの収益性を低下させるかだ」と、Financial Timesが引用したところによると、あるサイバーセキュリティ企業の製品担当バイスプレジデント、ギャビン・ミラード氏は述べた。
データは、圧力がすでに行動を変えつつあることを示唆している。2025年のランサムウェア支払総額は2年連続で減少し、約8億2,000万米ドルとなり、2024年から約8%減少した。より多くの被害者が支払う代わりにバックアップから復元している。しかし攻撃者は、件数と被害者あたりの要求額の増加で補っている。2025年後半のジャガー・ランドローバーへの単一攻撃は、推定25億米ドルの損害を引き起こした。
政策立案者にとっての問いは、支払い率の低下を法制化によって加速するか、市場の力と防御の改善にトレンドを委ねるか、そして政府が待つ余裕があるかどうかである。
Sources: Pay up or not? Ransomware surge has victims facing tough choices (Ars Technica/Financial Times, July 2026); Should Ransomware Payments Be Banned? What the Laws Say in 2026 (STACK Cybersecurity, May 2026)
雅子 訳