ランサムウェア被害組織の 84％ が AI 関与の攻撃を報告：87％ が ID 基盤への攻撃を経験

AI Used in 84% of Ransomware Attacks as Identity Infrastructure Comes Under Fire.

2026/10/15 gbhackers — ランサムウェア攻撃の被害を受けた組織を対象とする調査において、84% が AI の関与した攻撃を経験し、87% が ID 基盤を標的とする攻撃を報告したことが明らかになった。これらの結果が示すのは、AI によるサイバー犯罪の高度化と、企業の認証／認可を支える ID 基盤のセキュリティ上の課題が密接に関係している状況である。この調査は、9 カ国／8 業種に属する 1,200 人の IT／セキュリティ専門家を対象に実施された。ただし、調査対象はランサムウェア攻撃が成功し、実際に業務の中断が発生した組織に限定されている。

したがって、84% という数値は、ランサムウェア被害組織の回答に基づくものであり、世界中で発生したすべてのランサムウェア攻撃に AI が関与したという意味ではない。また、独立したデジタルフォレンジック調査により、個々のインシデントへの AI の関与が確認されたわけでもない。こうした調査対象の範囲と調査手法の限界を踏まえて、結果を解釈する必要がある。

40% が AI を悪用する攻撃：44% が自社の AI システムを悪用される

Semperis が公開したランサムウェアリスクに関する報告書によると、回答者の 40% が AI を悪用した攻撃を経験し、44% は自社に導入されている AI エージェントや AI システムが悪用される攻撃を経験していた。この2つは異なる攻撃形態であり、前者は攻撃者が AI を利用して攻撃活動を高度化するケース、後者は被害組織に導入済みの AI エージェントやシステムを攻撃者が操作／悪用するケースである。

調査で示された主な数値は以下のとおりである。

調査項目回答割合
AI が関与するランサムウェア攻撃を経験84%
ID 基盤を標的とした、または悪用した攻撃を経験87%
AI を悪用する攻撃を経験40%
自社の AI エージェント・システムが悪用された攻撃を経験44%
AI を検知／対応に有効活用できた49%
防御用 AI ツールが機能しなかった23%

これらの数値は被害組織の回答に基づいており、各項目は異なる攻撃形態や対応状況を示すため、回答が重複する可能性があり、割合を単純に合計することはできない。

AI が攻撃の自動化やソーシャルエンジニアリングを加速

元米国国家サイバー長官の Chris Inglis は、AI がさまざまな面で攻撃者の活動を支援していると CBS News に説明した。具体的には以下のような攻撃活動に利用され得ると述べた。

  • システムやネットワークの弱点の特定。
  • 標的に合わせたソーシャルエンジニアリングの最適化。
  • システムへの侵入プロセスの自動化。
  • 防御側の対応に応じた攻撃戦術の変更。

AI により自律的に実行されるランサムウェア攻撃が、すでに発生していると、Chris Inglis は述べている。ただし、今回の調査では、完全に自律的に実行された攻撃が何件あったかは明らかになっておらず、AI の関与が報告されたすべての攻撃が、自律型 AI により実行されたと解釈することはできない。

LLM がランサムウェアの開発を加速させる恐れ

Semperis でセキュリティ研究を担当する幹部の Tomer Bar は、LLM が悪意のコード開発を加速させる可能性について警告している。AI の応用範囲に関しては、攻撃用コードの作成に加え、ランサムウェアに組み込まれる暗号化処理のテストにも悪用される可能性があるという。

これまで、ランサムウェアの暗号化処理に実装上の不備があれば、その欠陥を突く防御側が、身代金を支払わずに暗号化されたデータを復元できるケースがあった。しかし、AI を悪用する攻撃者が、暗号化処理の実装上の不具合を減らせるようになれば、こうした復旧の機会が失われる可能性がある。

防御側の AI 活用にも課題

調査では、回答者の 49% が脅威の検知やインシデント対応に AI を有効活用できたと回答する一方、23% は導入した防御用 AI ツールが期待どおりに機能しなかったと報告している。これらの結果は、AI がセキュリティ対策を支援する一方、導入するだけでは十分な防御を実現できないことを示している。つまり、AI を導入する環境でも、従来から必要とされているアクセス制御や復旧計画が引き続き重要となる。

Active Directory や Microsoft Entra ID などの ID 基盤が主要な標的に

今回の調査では、ランサムウェア攻撃において ID 基盤が重要な標的となっており、特に Active Directory／Microsoft Entra ID／Okta が主要な攻撃対象として挙げられている。報告された割合は以下のとおりである。

IDプラットフォーム攻撃対象として報告された割合
Active Directory51%
Microsoft Entra ID48%
Okta27%

なお、複数の ID プラットフォームに関連する攻撃を、1 つの組織が経験している可能性があるため、これらの割合は相互に排他的ではない。

ID 基盤の侵害はファイルの暗号化に留まらない

ID 基盤は、ユーザー／サービス／アプリケーションに付与されるアクセス権限を管理する重要な仕組みである。したがって、これを侵害する攻撃者は、正規のアカウントや権限を悪用して組織内のシステムへアクセスする可能性がある。

つまり、ID 基盤への攻撃による影響は、ランサムウェアによるファイルの暗号化だけに留まらない。また、組織内に導入された AI エージェントが操作された場合には、そのエージェントに付与されているアクセス権限が悪用される恐れもある。

AI エージェントへの過剰な権限付与が新たなリスクに

Semperis の危機管理担当幹部である Courtney Guss は、タスクの実行に必要な追加権限を要求する AI エージェントが、ID システムの侵害リスクを高める可能性があると警告した。

AI エージェントは、業務の自動化や効率化に役立つが、適切に制御されていない場合には、組織内のアクセス権限を悪用するための新たな侵入経路になり得る。Semperis が推奨するのは、社内で動作する自動化システムだからといって無条件に信頼するのではなく、エージェント型 AI による ID 基盤へのアクセスを制限することである。

ID 基盤専用のバックアップを確保している組織は 50%

今回の調査では、ID 基盤の復旧体制が十分に整備されていない組織が多いことも明らかになった。ID 基盤専用のバックアップを確保していると回答した組織は全体の 50%、自動化された ID 復旧ソリューションを導入している組織は 42% だった。

復旧対策導入・整備している割合
ID基盤専用のバックアップ50%
自動化されたID復旧ソリューション42%

ID 基盤のバックアップや復旧手段が十分でない場合には、ランサムウェア攻撃後に業務システムを復旧できても、認証／認可の仕組みを安全な状態へ戻せない可能性がある。

Okta の復旧手順を文書化している組織は 28%

ID プラットフォーム別に見ると、復旧手順を文書化している組織の割合にも差があった。

IDプラットフォーム復旧手順を文書化している割合
Active Directory60%
Microsoft Entra ID52%
Okta28%

Active Directory では 60% の組織が復旧手順を文書化していた一方、Okta では 28% に留まった。この差は、ランサムウェア被害からの復旧を考える上で重要な課題となる。

ID 基盤のバックアップや復旧手段が十分でなければ、業務システムを復旧できても認証／認可の仕組みを安全な状態へ戻せない可能性があり、侵害された状態が継続すれば、攻撃者による再アクセスを許す恐れもある。そのため Semperis は、ID 基盤を安全かつ信頼できる状態に復元することを、単なるバックアップ作業ではなく、業務復旧の前提条件と位置づけている。

被害組織の 69% が複数回の攻撃を経験：59% が身代金を支払う

今回の調査では、ランサムウェア被害の繰り返しに加え、従業員の友人や家族にまで及ぶ恐喝手法の拡大も明らかになった。

調査項目回答割合
複数回のランサムウェア攻撃が成功した69%
少なくとも1回、身代金を支払った59%
従業員の友人や家族に対する脅迫を経験した37%

被害組織の 69% は複数回にわたってランサムウェア攻撃を受け、その攻撃が成功したと回答し、59% は少なくとも 1 回、攻撃者に身代金を支払っていた。さらに、37% は従業員の友人や家族に対する脅迫を経験したと報告している。この結果は、ランサムウェアによる恐喝が企業のシステムやデータだけでなく、従業員の友人や家族にまで及んでいることを示している。

AI の権限制御と ID 基盤の安全な復旧が重要

今回の Semperis の報告書が示す重要な課題は、AI による脅威検知を高速化するだけでは、ランサムウェアへの十分な対策にならないという点である。セキュリティ責任者には、以下の対応が求められる。

  1. AI エージェントの権限を制限する：AI エージェントが ID 基盤へアクセスできる範囲を必要最小限に抑え、過剰な権限の付与を防ぐ。
  2. ID 基盤に特化した復旧手順を整備する：Active Directory、Microsoft Entra ID、Okta などの ID システムを、安全で信頼できる状態へ復元するための手順を準備する。
  3. 組織横断的な危機対応訓練を実施する：ランサムウェア攻撃を想定し、関係部門が連携して対応できるよう、復旧を含む危機対応を事前に訓練する。

ランサムウェア攻撃からの復旧では、システムをオンラインに戻すだけでは不十分であり、ID 基盤が侵害されたままでは、攻撃者による不正アクセスの継続や再侵入を許す可能性が残る。そのため、AI により脅威を迅速に検知できたとしても、ID 基盤を安全な状態に復元できなければ、組織全体のセキュリティを回復したとはいえない。

この記事は、Semperis によるランサムウェア被害実態レポートについて解説するものです。AI を悪用した攻撃手法の高度化や過剰な権限を持つ AI エージェントの運用が背景に存在します。影響として、Active Directory や Okta 等の ID 基盤の侵害に伴う不正アクセスの継続／復旧後における再侵入が生じる恐れがあります。対応策として、AI エージェントの権限制限／ID 基盤に特化した復旧手順の整備／組織横断的な危機対応訓練の実施が求められます。