そのうち自社の被害に関する報告が63件、グループ会社における被害報告が32件、企業は報告していないがリークサイトにのみ掲載されていた件数が22件あった。この3つの合計、117件が直接的にランサムウェア被害に遭った企業と考えることができる。
さらに、取引先に顧客情報などを預けており、その取引先がランサムウェア被害に遭い被害を報告している「取引先の侵害」が15件あり、これはランサムウェアグループから直接攻撃を受けたわけではないが、間接的に被害を受けた企業の件数となる。
ここでは、被害報告書から厳密に「ランサムウェア」と断定できる被害報告のみを対象としているため、DDoS攻撃や、ランサムウェア攻撃の特徴を含まない不正アクセスや情報漏洩は含んでいない。このため暗号化を伴わず、被害組織が身代金要求に気づいていないようなケースは統計から漏れている可能性がある。また警察庁の被害届を基にした統計とは傾向が異なる可能性がある点についても注意してほしい。
月次で見ると平均で月22件のランサムウェア被害が発生したことになるが、2月にある企業がグループ全体でランサムウェア被害に遭い、報告件数が大幅に上振れすることになった。
被害報告書から考えられる状況としては、グループ全体のIT基盤を提供しているグループ内のIT企業がランサムウェア被害に遭ったことで、そのIT基盤を利用していたグループ全体に影響を及ぼすことになった。
近年DX化などでIT環境の効率化の観点から、グループ全体でのIT基盤統合が進み、その基盤が被害に遭うと、業務への影響範囲は大きくなる。したがって、グループ全体で画一的な対策を行うのではなく、取り扱う資産の重要性に応じた配分を行う考えが重要である。また、期間中のランサムウェア被害を理由に決算発表を延期した企業が2社あった。
被害企業の過半数が業務への影響あり
業績への影響はどうなのか。被害報告の内容から、1週間以上の業務停止もしくはシステムの再構築を伴ったと考えられるものは「重大」、特定の業務やサービスの数日程度の停止が発生したと考えられるものを「一部停止」とし、これらを合計すると54%であった。
