2022年中にランサムウェアの被害を受けた組織は、判明しているだけで、米国だけでも最大で1981の学校、290の病院、106の地方政府の行政機関、44の大学に上ることが明らかになった。この数は、ランサムウェア攻撃が依然として公共部門や市民社会にとって重大なサイバー脅威であることを示している。
提供：Getty/PeopleImages
この行政、教育、医療分野のランサムウェア攻撃の被害に関する数字は、セキュリティ企業Emsisoftのサイバーセキュリティ研究者が、各組織の開示情報、報道、ダークウェブに投稿された情報などを分析して調べたものだ。
しかし、ランサムウェアの実際の被害は、これよりもはるかに大きい可能性が高い。このデータは主に一般に公開された報告に基づいているが、ランサムウェア攻撃の被害者の多くはインシデントに関する情報を公開していない。
2022年中にランサムウェア攻撃の被害を受けたと公表した州や地方政府の行政機関の数は106で、2021年の77から大幅に増加した。
Emsisoftは、米国の地方政府に対するランサムウェア攻撃の件数がこれほど増加した主な原因は、アーカンソー州ミラー郡で発生した1件のインシデントにあると述べている。このインシデントでは、1台のメインフレームが侵害を受けたことがきっかけで、55郡のエンドポイントにマルウェアが広がった。
行政機関が報告したインシデントのうち、サイバー犯罪者にデータが盗まれていた事例の割合は4分の1強だった。ただしEmsisoftは、アーカンソー州のインシデントを除外すると、半数以上の攻撃でデータが盗まれていた計算になると述べている。
サイバー犯罪者がランサムウェア攻撃を行う際にデータを盗む手口は、二重脅迫と呼ばれている。二重脅迫とは、身代金を支払わなければ盗んだ情報を公開すると脅迫する行為のことだ。
2022年にランサムウェアの被害を受けた地方政府の行政機関のうち、身代金を支払ったことが分かっているのは1つだけで、その金額は50万ドル（約6600万円）という高額なものだった。行政機関に対して要求された身代金の中で最も高額な要求金額は500万ドル（約6億6000万円）だったが、この身代金は支払われなかった。
教育機関は依然としてランサムウェア攻撃グループの重要なターゲットの1つになっており、2022年中にランサムウェアの攻撃を受けたと報告した教育分野の組織の数は89で、2021年の88を1件上回った。
ただし、攻撃の影響を受けた学校の数は、1年でほぼ倍増した。2021年にランサムウェアの被害を受けた学校の数は1043だったが、2022年は1981に増加している。
ランサムウェア攻撃の被害に遭った89件の組織の内訳は、学区が45で、大学が44だった。2022年に教育機関で起こったインシデントのうち、データが盗まれた事例の割合は65％で、前年の50％よりも増加している。Emsisoftによれば、少なくとも3つの学校が復号鍵を入手するために身代金を支払っており、そのうちの1件では40万ドル（約5300万円）の身代金が支払われたという。
