ランサムウェアの新たな最優先ターゲット：
なぜ2026年、中小企業は大企業の4倍狙われるのか

1. 2026年の典型的な月曜日の朝

14名の個人傷害専門の法律事務所が午前9時に業務を開始します。担当パラリーガルがクライアントデータベースにアクセスしようとします。アクセス拒否。ITに連絡します——とはいっても実際にはルーターも担当するオフィスマネージャーです。彼もログインできません。ファイルサーバーには身代金要求書が表示されています。READ_ME_NOW.txtというファイル名で、72時間以内に9万5千ドルをビットコインで支払わなければ顧客ファイルを公開すると書いてあります。3年分の案件資料、和解記録、医療記録。消えました。

これは仮説ではありません。INC Ransomグループ単独で2026年最初の4ヶ月に20件以上の法律事務所を標的にしています。セキュリティ企業Halcyonは2025年から2026年初頭にかけて法律関係事業者に対するランサムウェア事件を200件以上追跡しました。法律事務所が狙われる理由はランダムではありません——機密性の高いデータ、迅速な解決へのプレッシャー、そして弁護士・依頼者間の秘匿特権を守ることが身代金額そのものより優先されるという攻撃者側の読みがあります。

歯科医院、会計事務所、物流会社も同じカテゴリです。ヘルスケア分野では2025年だけで636件のランサムウェア攻撃が発生し、そのうち26%が小規模プロバイダーを標的にしました。2026年のある事件で患者管理システムをロックされた経営者はこう語っています。インシデントレポートで何度も出てくるお決まりの言葉です：「うちは小さすぎてハッカーに気づかれないと思っていました。」

2. 誰が狙われているか：ターゲット分布

中小企業への標的シフトは2022年頃から始まっていましたが、2024年に法執行機関がいくつかの大規模ランサムウェアグループを摘発した後、急激に加速しました。生き残ったグループと新興グループは、1社の大企業に数ヶ月かけて侵入する代わりに、数十の中小企業を一気に狙う「量」の戦略にシフトしました。

従業員50名未満の42%という数字は衝撃的です。このカテゴリには会計士、歯科医院、3店舗展開の飲食チェーン、地域の物流業者が含まれます。専任のIT担当者がいないどころかセキュリティチームなど存在しない組織です。

2026年で変わったのは自動化のスケールです。攻撃者は数百万のIPアドレスを同時に継続スキャンするツールを使っています。古いVPNエンドポイント、設定ミスのあるリモートデスクトップ、パッチ未適用のCMS——こうした露出したサービスをスキャンが検知すると自動でフラグを立てます。人間の攻撃者がそのリードを拾い、標的型の侵害を開始します。最初のスキャンはほぼコストゼロです。あなたの会社の露出状況は、誰かが意図的に調べる前に「発見されたリード」になっています。

3. 攻撃を実行しているグループ

2026年のランサムウェア環境は2023年より断片化しています。主要グループ——LockBit、ALPHV/BlackCat——は法執行機関によって摘発されましたが、再編されたかあるいは後継グループを生みました。現在、中小企業を最も積極的に狙っている4グループをご紹介します。

これらのグループに共通するのはRansomware-as-a-Service（RaaS）モデルです。コア開発者がマルウェアを開発・保守します。アフィリエイト——実質的に独立した請負業者——が攻撃を実行し、身代金収益を分け合います（通常70/30または80/20でアフィリエイト有利）。このモデルが攻撃の量を急速にスケールさせられる理由を説明しています。開発者を増やす必要はなく、アフィリエイトを増やせばよいのです。アフィリエイトは簡単な標的を好みます。中小企業は簡単な標的です。

4. 中小企業を脆弱にする3つのギャップ

ランサムウェアのアフィリエイトに「なぜその企業を標的にしたのか」と聞けば、正直な答えはほぼ「侵入が簡単だったから」になるでしょう。「簡単」を作り出す3つの条件がインシデントレポートに繰り返し登場します。

ギャップ1：深夜2時に監視する人がいない

大企業のセキュリティオペレーションセンターは24時間365日稼働しています。深夜2時14分に通常会話しないホスト間で異常なSMB接続が発生し、業務時間外に新しい管理者アカウントが作成され、未知のIPへ40GBの送信トラフィックが発生すれば——誰かが対応します。2026年に記録された事件では、800拠点のある小売チェーンが自動システムのアラートと人間のオペレーターの連携によって1時間47分でランサムウェア攻撃を封じ込めました。

多くの中小企業にはそれがありません。異常を調査するはずの担当者が寝ています。ログシステムがあったとしてもレビューされずに積み上がっていきます。攻撃者はこのリズムを知っています——平日の深夜1時から4時に最終ペイロードを展開するのが一般的です。それより前の数日間、業務時間中はあくまで静かに、計画的に動いています。

ギャップ2：把握されていない攻撃対象領域

大企業のセキュリティチームはアセットインベントリを維持しています。公開されているすべてのシステム、IPレンジ、露出しているサービスを把握しています。定期的な脆弱性スキャンを実施し、変化の週次レポートを受け取ります。

多くの中小企業は何が露出しているかを把握していません。怠慢だからではなく、知っておく必要があると誰も教えてくれなかったからです。リモートワーク時代の名残で開いたままのリモートデスクトップエンドポイント。誰もメンテナンスしない旧WordPressサイトのサブドメイン。3年前の開発テストで公開設定にされたまま放置されたS3バケット。ShodanにキャッシュされたJavaScriptファイルのAPIキー。これらはすべて実際の侵入口であり、企業が気づくのは事後のフォレンジックの段階——被害が確定した後です。

ギャップ3：ダブルエクストーションという現実

旧来のモデルは「すべてを暗号化して身代金を要求し、払わなければバックアップから復元」でした。多くの組織はこれに対してバックアップ管理で応じました。そこで攻撃者は第二の層を追加しました：まず盗む、それから暗号化する。今やバックアップから数時間で復元できたとしても、攻撃者はあなたのクライアントデータ、財務記録、従業員ファイルを持っています。払わなければ公開すると脅してきます。バックアップ管理はもはやランサムウェアを無力化しません——脅威の一側面を取り除くだけです。

5. 5日間の攻撃ウィンドウ

初期侵害からランサムウェア実行までの中央値は、2023年の14日から2025年にはわずか5日に短縮しました。攻撃者は加速しています。内部偵察を自動化しました。暗号化前に発見できる窓はどんどん狭くなっています。

6. ランサムウェア攻撃の本当のコスト

メディアは身代金額に注目します。実際のコストはほぼ常に身代金より大きく、組織の予想をはるかに超えることが多いです。お金がどこへ消えるかをお示しします。

Mastercardの調査で「サイバー攻撃を受けた中小企業の5社に1社が倒産または廃業した」という数字が出ていますが、これは誇張ではありません。上記のコスト構造と照らせば現実的な数値です。年商1億5,000万円の20名の専門サービス企業が3,500万円の事件総コストを被り顧客離脱率30%が重なれば、事業継続は本当に危うくなります。

7. ほとんどの中小企業が見えていない12の露出ポイント

以下は仮想的な脆弱性ではありません。中小企業のインシデントレポートに最も頻繁に登場する具体的な状態——攻撃者が企業自身より先に発見する侵入口です。攻撃者は継続的に自動スキャンを実施していますが、多くの企業はスキャンを一度も実施していません。

上記のうち、今この瞬間確信を持って「問題ない」と言えるのはいくつあるでしょうか？2〜3項目以上で「わからない」が正直な答えなら、攻撃対象領域は実質的にマッピングされていません——攻撃者がスケールして探している条件そのものです。

8. 率直な結論

セキュリティベンダーがめったに率直に言わないことがあります。あなたの組織を完全に攻撃不可能にすることはできません。脅威の環境は変化が速すぎ、攻撃対象領域は広すぎ、20名の企業が使えるリソースは完全なセキュリティを実現するには少なすぎます。

達成できること——そして実際に状況を変えること——は、平均より明らかに攻撃しにくいターゲットになることです。攻撃者は経済的に動きます。IPレンジのブロックをスキャンして、あなたの露出しているサービスがクリーン、SSLグレードが良好、メール認証が整っており、認証情報が侵害データベースに存在しないと返ってきたら——次のターゲットに移ります。多くの中小企業は誰かが特定的に彼らのデータを求めているから狙われているわけではありません。スキャンが開いたドアを見つけたから狙われているのです。