教育機関におけるインシデント調査：ランサムウェア攻撃の 85% に ID 侵害が関与

Identity-Based Attacks Drive 85% of Education Ransomware, Sophos Finds

2026/08/28 securityboulevard — Sophos の新たな調査が示すのは、過去 1 年間に教育機関が受けたランサムウェア攻撃の 85% に ID ベースのサイバー攻撃が関与しており、ランサムウェア攻撃者が初期アクセスの手段として ID を悪用するケースが増えている状況である。“The State of Ransomware in Education 2026” レポートは、前年にランサムウェア攻撃を受けた初等・中等・高等教育機関の IT／セキュリティ責任者 226 人から得た回答を基にしたもので、15 業種の IT／セキュリティ責任者 2,158 人を対象とする広範な調査の一部である。Sophos が独立調査を委託し、研究者が 2026年1月～ 3月に回答を収集した。

技術的な根本原因として最も多かったのは、初等中等教育と高等教育のいずれにおいても悪意のメールであり、それぞれが 30% 前後を占めた。初等中等教育ではフィッシングが 24%、侵害された認証情報が 21% で続き、高等教育では侵害された認証情報が 27% で 2 番目に多く、フィッシングが 23% で続いた。その一方で、脆弱性の悪用による攻撃は、初等中等教育で 12%／高等教育で 13% となり、前年の 35% から大きく減少した。

また、教育機関の回答者の 73% は、自組織で最も重大だったアイデンティティ攻撃とランサムウェア・インシデントが関連していたと回答しており、ID を悪用した攻撃がランサムウェア・インシデントに結び付いている実態も明らかになった。

Sophos CTU の Senior Director of Threat Intelligence である Rafe Pilling は、ID 攻撃への継続的な移行が今年のデータで最も大きな変化だったと述べている。同氏は、「攻撃者は侵入するのではなく、ログインするケースが増えている。また、教育機関では、保護すべきアカウント／アプリケーション／アクセス・ポイントが多岐にわたることが多いため、特に攻撃にさらされやすい」と付け加えている。

ランサムウェアによる暗号化を MFA が必ず防ぐわけではない

このレポートで明らかになったのは、多要素認証 (MFA) を導入していても、ランサムウェア攻撃がデータ暗号化の段階に至ることを必ずしも防げないことである。侵害された認証情報を起点として攻撃された教育機関 53 組織のうち、98% が攻撃時に何らかの MFA を有効化していたにもかかわらず、81% でデータが暗号化された。

Pilling は、こうした結果が MFA 自体の機能不全を意味するわけではないと述べている。ただし、MFA の適用範囲にはばらつきがあり、組織が主要なクラウド・アプリケーションを保護していても、VPN／古いアプリケーション／サービス・アカウント／リモート・アクセスなどに MFA が一貫して適用されていない場合がある。

同氏は、「問題として指摘されるべきは、何らかの MFA を有効化するケースと、組織のアクセス経路全体にフィッシング耐性の高い強力な MFA を一貫して適用するケースは、同じではないという点だ」と述べており、単に MFA を導入しているかどうかではなく、すべてのアクセス経路に対して強固な MFA を一貫して適用できていることが重要であると述べている。

Pilling によると、攻撃者はワンタイム・コードのフィッシング／大量のプッシュ・リクエストによるユーザーへの圧力／セッション・トークンの窃取／ヘルプデスクを欺いてアクセス権をリセットさせる手法も悪用している。実際、侵害された認証情報を起点として攻撃を受けた教育機関 53 組織では、最も一般的な方式としてプッシュ・ベースの MFA が 64% で使用されており、それに続くのがワンタイム・パスワード 53% だった。

バックアップだけでは完全な復旧はできない

ランサムウェア攻撃が初期防御を突破すると、課題は復旧へと移る。教育機関では、暗号化されたデータをバックアップから復元するケースが増えているが、復旧には依然として時間と費用の両面で大きな負担が生じている。Sophos によると、教育機関全体の平均復旧コストは身代金の支払いを除いて 226 万ドルに達し、調査全体の 170 万ドルを上回っている。さらに、教育機関の 26% は完全復旧までに 1～3 カ月を要しており、全業種の平均 14% と比較して約 2 倍だった。

その一方で、調査データからはバックアップを利用した復旧が一般化していることも明らかになっている。初等中等教育機関の 77%／高等教育機関の 69% が、暗号化されたデータをバックアップから復元しており、いずれも全業種の 66% を上回った。また、身代金を支払ってデータを復旧した割合は、いずれの教育グループでも 2 年連続して減少している。

Pilling は、「バックアップはデータ復元の問題を解決するが、インシデントそのものを解決するわけではない。ファイルを復元した後でも、組織に求められるのは、攻撃者の侵入経路の特定／攻撃者のアクセス権の無効化／影響を受けたシステムの再構築／認証情報の更新／データ窃取の可能性の調査／環境が安全であることの確認である」と指摘している。

こうしたデータ復元と完全な復旧の違いは、教育機関が抱える人員不足と専門知識の不足を改めて浮き彫りにしている。高等教育機関の回答者の 53% は、スキルや知識の不足が攻撃の一因になったと回答しており、調査全体の 35% を上回った。Pilling が指摘するように、大規模かつ分散した教育環境ではセキュリティ対応能力が不足しているため、暗号化されたデータを復元した後も複雑な作業が続く可能性がある。

全体として、教育機関がデータを取り戻すこと自体は比較的単純な部分なのかもしれないが、攻撃者がアクセスしたアイデンティティとシステムの安全を確保する作業は、より長期化し、より多くの費用を要する可能性がある。

Sophos (State of Ransomware in Education 2026) の調査成果を概説する記事です。保護すべきアカウント群やアクセス拠点の多さに加え、攻撃者が不正侵入から正規ログインへと手法を変化させた状況が背景に存在します。不完全な適用に伴う多要素認証の機能不全やデータ暗号化被害の発生／平均 226 万ドルに達する復旧費用の高騰／復旧完了までの期間の長期化が深刻な問題となります。全アクセス経路へのフィッシング耐性を備えた強固な認証の徹底／侵入経路の精密な特定／悪用された認証情報の即時無効化／影響を受けたシステム基盤の再構築／データ漏洩の有無に関する継続調査といった多角的な防護措置が求められます。