まず、24年にクロノス作戦と呼ばれる作戦が実施され、イギリス・アメリカに加え、日本の警察庁など10カ国の法執行機関が協力し、当時最も活発とされていたLockBitのテイクダウン（閉鎖）を成功させた。LockBit以外にも、KADOKAWAを攻撃したBlackSuitもテイクダウンに追い込まれ、日本でもイセトーを攻撃したことで知られる8Baseの中心人物も逮捕されるなど、国際的な法執行機関の共同作戦が成果を挙げるようになった。
こういった取り組みが広がるにつれて攻撃グループ視点では、かつては「目立つことがブランド力向上へつながる、収益増加につながる」と考えられていたランサムウェアのビジネスモデルが「目立てば摘発される」と考えられるようになった。
その結果、有名なランサムウェアグループに所属することはメリットではなくデメリットとなり、捜査機関から目をつけられにくい新興勢力へと鞍替えする攻撃者が一定数存在すると考えられる。また、RaaS（Ransomware as a Service）やAI活用によって、比較的低いスキルでも攻撃を仕掛けることができるようになったという技術的な側面も新興勢力増加要因の1つと考えられる。
そして、企業側も大規模な業務停止等の報道が増えればセキュリティ対策レベルが向上することになる。資金の潤沢な大企業は、パソコンやサーバーなどの端末を監視して攻撃を検知するEDR（Endpoint Detection and Response）やネットワークとセキュリティを融合して守るSASE（Secure Access Service Edge）の導入も一巡し、防御レベルも数年前と比較すれば高くなった。
これも攻撃グループ視点で考えれば、限られた人員と資金で効率よく攻撃を成功させ身代金を獲得しようとするならば、守りの固くなった大企業よりも、守りの薄い中小企業を標的にしようとするのは自然な流れである。
攻撃側が圧倒的に有利と考えられがちなランサムウェア攻撃だが、防御側の「攻めの一手」は着実に攻撃側の動きを変化させている。しかし、それは、より困難な戦いの道へと向かっているとも言える。攻撃グループの分散が進めば、追跡しなければならない対象と攻撃手法が増加し、攻撃頻度は増加すると考えられるからだ。
IT基盤が被害に遭いグループ全体の業務に影響が出た会社も
では、日本に話を移そう。国内企業におけるランサムウェア被害について自主的な公表と、リークサイト掲載数を基に26年上半期の状況を見てみると、被害件数は132件だった。
