ランサムウェアの主因、エクスプロイトからID攻撃へと逆転
セキュリティチームは過去10年近く、「パッチ適用の迅速化こそがランサムウェア対策の最善策」と言われ続けてきました。しかし、2026年の新たなデータは、そのアドバイスがもはや現実の脅威と一致していないことを示しています。攻撃者が侵入に使う主な経路はソフトウェアの脆弱性悪用ではなく、IDの侵害に移行しており、多くの組織が信頼している制御策も、導入レポートが示すほど十分に機能していないことが明らかになっています。
本記事では、何が変わったのか、なぜ97%の侵害認証情報を使ったランサムウェア事例で存在していた制御策が機能しなかったのか、そして今後12カ月間のセキュリティ・コンプライアンス投資の優先順位にどのような影響を与えるのかを解説します。
主なポイント
1. ランサムウェアの主因はソフトウェア脆弱性からID攻撃へ。 Sophosの「State of Ransomware 2026」調査によると、悪意のあるメール（26%）とフィッシング（24%）が合計で、脆弱性悪用（18%、3年前は32%）を抜き、ランサムウェアの主な根本原因となっています。
2. MFAは導入されていたが、それでも防げなかった。 認証情報の侵害が根本原因となったランサムウェア事例の97%で、多要素認証（MFA）が環境内のどこかで既に導入されていました。これは、MFAの「存在」と「完全なカバレッジ」が同じではないことを示しています。
3. 実際の攻撃キャンペーンが、そのギャップがどのように悪用されるかを示している。 2026年6月12日から26日にかけて、攻撃者は廃止されたOAuth Resource Owner Password Credentialsフローを利用し、8,100万回以上のログイン試行を実施、64組織で78アカウントを侵害しました。MFAがそのプロトコルの認証経路に含まれていなかったため、MFAを回避できたのです。
4. 認証情報の悪用は攻撃チェーン全体に及ぶ。 2026年版Verizon Data Breach Investigations Reportによると、認証情報の悪用は全体の39%の侵害チェーンに関与しており、脆弱性悪用が初期アクセスの主因に返り咲いた年でも、その傾向は変わりませんでした。
5. コンプライアンスのスケジュールは変化しても、根本的なリスクは変わらない。 国防省は2026年7月13日、CMMC 2.0フェーズ2の第三者認証要件を60日間の見直しのために一時停止しましたが、フェーズ1の自己評価やDFARS 252.204-7012の保護義務は引き続き有効です。
自社のセキュリティを信じていますか。その証明はできますか？
Read Now
ランサムウェアの主因は脆弱性悪用からID攻撃とMFAギャップへ
セキュリティチームは長年、「パッチ適用の迅速化がランサムウェア対策の最善策」とされてきましたが、これはもはや現実の脅威モデルと一致しません。SophosのState of Ransomware 2026レポート（過去1年にランサムウェア被害を受けた17カ国2,158人のIT・サイバーセキュリティリーダーを対象とした調査）では、フィッシングや悪意のあるメールが、全ランサムウェアの根本原因の半数を占めることが判明しました。3年連続で主因だった脆弱性悪用は32%から18%に減少しています。
この変化だけでも大きなニュースですが、さらに注目すべきは同じ調査に隠されたもう一つの事実です。認証情報の侵害が原因となったインシデントの97%で、多要素認証が何らかの形で導入されていました。まさにこの種の攻撃を防ぐために企業が頼ってきた制御策が既にあったにもかかわらず、攻撃は防げなかったのです。
本記事では、Sophosのデータが示す実態、2026年6月の実際の攻撃キャンペーン（この97%という数字の背景となるメカニズム）、Verizon 2026 Data Breach Investigations Reportの裏付けデータ、今月初めに発表された規制組織向けのコンプライアンス動向などを解説します。Kiteworksのセキュアデータ交換で機密コンテンツへのアクセスを管理している組織は、認証だけに頼る組織とは異なる影響を受けており、この傾向が続くほどその差は拡大しています。
Sophos 2026データが実際に示していること
Sophosレポートからは、主因の変化という見出し以上に注目すべき3つの数字が浮かび上がります。
まず、被害者の3分の2（67%）が、過去1年で経験した中で最も重大なID関連攻撃がランサムウェアだったと回答しています。これは、全員がランサムウェア被害を受けた組織という母集団からの率直な告白です。IDの侵害は侵害の「ついで」ではなく、それ自体が侵害であり、暗号化は入口ではなく最終段階だったことを示しています。
次に、認証情報の侵害が根本原因となったケースは23%で、フィッシングや悪意のあるメールとは別カテゴリです。これに50%のフィッシング・メール要因を加えると、調査対象のランサムウェア攻撃の約4分の3が技術的な脆弱性ではなく、何らかのID侵害に起因していることになります。認証情報の窃取によるランサムウェア侵入は、最終的な暗号化がペイロードであるかどうかにかかわらず、HIPAAやGDPRなどのフレームワーク下で報告義務が発生します。ID侵害や攻撃者がラテラルムーブメント中にアクセスしたデータは、ランサムウェアイベント自体とは独立して通知義務を引き起こします。
そして、認証制御を中心に予算を組んでいる組織にとって最も重要なのがMFAの数字です。Sophosは、認証情報の侵害が根本原因となったケースの97%で、多要素認証が既に導入されていたことを明らかにしています。これは、すべての必要なシステムに完全に展開されていなかったこと、そして攻撃者のバイパス手法が防御策よりも早く進化していることの2つが重なった結果だとレポートは指摘します。どちらも「MFA: 有効」とチェックリストに記載されていても見逃されるギャップです。
MFAの「存在」と「カバレッジ」は違う：2026年6月のOAuthキャンペーン
97%導入済みの制御策が97%のケースで失敗する仕組みを最も明確に示したのが、Sophosレポート発表と同じ月に発生した実際の攻撃です。2026年6月12日から26日にかけて、The Hacker Newsによれば、攻撃者はMicrosoft 365やAzureアカウントに対して8,100万回以上のログイン試行を行い、最終的に64組織で78アカウントを侵害しました。
この手法は、ユーザーにプッシュ通知を承認させたり、偽のログインページでワンタイムコードを入力させたりするものではありません。OAuthのResource Owner Password Credentials（ROPC）フローという、Microsoftが数年前に廃止したレガシー認証方式を悪用したものです。この方式は、古いアプリケーションとの互換性維持のため、多くのAzureテナントで依然として有効です。Secure Bulletinのキャンペーン解説によれば、ROPCはユーザー名とパスワードをIDプロバイダーのトークンエンドポイントに直接送信し、対話的なプロンプトが一切発生しません。攻撃者が突破すべきMFAチャレンジ自体が発生しないのです。
このキャンペーンの被害組織は、ポリシーとしてMFAを省略していたわけではありません。多くの場合、SaaSアカウントにはMFAや条件付きアクセスが適切に設定されていました。しかし、VPNコンセントレーターやファイアウォール管理コンソール、レガシー業務アプリケーションには同様の対策が施されていなかったのです。なぜなら、どのシステムで認証情報が2要素なしで使えるかを全て棚卸ししていなかったからです。これこそがSophosが抽象的に指摘したギャップ、「MFAがすべての関連システムに完全に展開されていなかったため、攻撃者が悪用できる隙が生じていた」という状況です。
2つの独立したデータソースが6週間の間隔で同じ失敗パターンを示しているのは偶然ではありません。それは「MFA導入」を単なるプロジェクトの完了とみなすのではなく、継続的に検証するインベントリとして扱うべきだというパターンです。すべての認証エンドポイントと現時点のMFA適用状況をマッピングする正式なリスク評価――特にSaaSアプリのように適用確認が容易なものだけでなく――こそが、MFAポリシーをMFAプログラムへと昇華させる基礎となります。
数字の裏にあるパターン：Verizon 2026 DBIRが示すもの
懐疑的な見方をすれば、Sophosの調査結果はランサムウェアやOAuth ROPCキャンペーンなど、特定の事例に限った話だと考えるかもしれません。しかし、2026年版Verizon Data Breach Investigations Report（22,000件超の確定侵害を分析）は、その見方が狭すぎることを示しています。
Verizonのデータでは、今年は脆弱性悪用が初期アクセスの主因に返り咲いていることが示されています。これはランサムウェア特化のSophos調査とは異なる結果です。しかし、認証情報の悪用は全体の39%の侵害チェーンに関与しており、初期アクセスが主因でない年でも攻撃ライフサイクル全体で最も広く使われている手法であることが分かります。ID侵害は単一カテゴリで他の攻撃手法と首位を争っているのではなく、初期アクセスやラテラルムーブメント、特権昇格など、複数の段階で現れます。
この違いは、セキュリティリーダーが投資の優先順位を決める上で重要です。初期アクセスの阻止だけに特化した防御――パッチ適用やMFAなど――では、攻撃チェーンの残り、つまり認証情報がシステム間を移動したり、攻撃者が正規のアクセス権限を装って本来アクセスすべきでないコンテンツに触れたりする部分がほぼ無防備になります。サプライチェーンリスク管理プログラムでIDガバナンスをサードパーティベンダーアカウント（特にベンダーが内部システムにアクセスするサービスアカウント）まで拡張することで、Verizonデータが最も蔓延していると指摘するラテラルムーブメント段階に対応できます。
コンプライアンスの勢いは一時停止、消滅ではない：CMMC 2.0フェーズ2の一時停止
特に防衛産業基盤の規制組織にとって、今月は「コンプライアンスのスケジュールはリスクよりも早く動くことも遅く動くこともある」という現実を再認識する出来事がありました。2026年7月13日、国防省はCMMCプログラムのフェーズ2――2026年11月10日からDoD契約案件に登場予定だった第三者レベル2認証評価――を、60日間の改革見直しのため一時停止しました（国防省公式発表およびFederal News Networkの報道より）。
ここで変わらなかったことを明確にしておく必要があります。一時停止されたのは監査要件であり、義務そのものではありません。DFARS 252.204-7021（CMMC 2.0を基盤とする契約条項）は引き続き有効です。2025年11月に施行されたフェーズ1の自己評価要件も影響を受けません。そして、カバードディフェンス情報の保護義務であるDFARS 252.204-7012や、それが参照するNIST 800-171のコントロール群（識別・認証、監査・アカウンタビリティなど）も、60日間の見直し期間中ずっと有効です。
一時停止されたスケジュール下でレベル2評価者が検証するはずだったID・アクセス制御は、Sophosデータが今まさに市場全体で静かに失敗していると指摘するものと同じです。一時停止を「ペースダウンの許可」と捉える請負業者は、スケジューリングの問題を解決しても、実際のリスクはそのまま残ります。NIST 800-171コンプライアンス文書で現行のID・アクセス制御を具体的な実践要件にマッピングし、事前評価用ではなく継続的に維持することが、停止されたC3PAO評価で求められる証拠資料であり、自己申告SPRSスコアを守るFalse Claims Act対策にもなります。
アクセス制御からコンテンツガバナンスへ：認証後のギャップを埋める
これら全てへの戦術的な対応策として「MFAをさらに展開し、より多くのシステムに適用する」ことは必要であり、間違いではありません。しかし、データが示すように、MFAカバレッジが紙の上では完全に見えても同じ失敗が繰り返されています。本質的な解決策は、認証成功を「最初のセキュリティ課題の終わり」ではなく、「2つ目の独立したセキュリティ課題の始まり」と捉えることです。つまり、「IDが認証された後、そのIDは実際に何にアクセスできるのか」「事後的に何にアクセスしたかを証明できるのか」という問いです。
この2つ目の問いに対しては、ロールベースアクセス制御（RBAC）や属性ベースアクセス制御（ABAC）を基盤としたアクセス制御が、認証だけでは実現できない役割を果たします。Kiteworksのデータポリシーエンジンは、リクエストごとにユーザーロール、コンテンツ分類、リクエスト時のコンテキストを評価し、単一の認証イベントに全セッションの認可を委ねません。MFAカバレッジの隙間を突破した認証情報でも、このモデル下で管理されるコンテンツに到達するには、2つ目の独立したポリシーチェックをクリアする必要があります。機密コンテンツに分類ラベルを付与してから管理チャネルに流すことが、ABACポリシーの精緻な適用の前提条件です。データ最小化を認証情報のスコープに適用することで、被害範囲も縮小できます。つまり、アカウントには必要なコンテンツだけにアクセス権を与え、許可上可能な最大範囲ではなく、役割に応じた最小範囲に制限することで、MFAを完全に回避されても被害が限定されます。
同じポリシーレイヤーで生成される監査証跡こそが、「このアカウントが侵害された可能性がある」という疑問を、インシデント対応時に検証可能な問いへと変えます。Kiteworksは、セキュアメール、セキュアなファイル共有、マネージドファイル転送、Webフォームを横断した統合ログを提供するため、認証情報侵害後の調査でも、プラットフォームで管理される全チャネルで「いつ・どこで・何にアクセスしたか」を正確に特定できます。統合監査ストリームをリアルタイムでSIEMに連携することで、セキュリティチームは異常な認証後アクティビティ――Verizon DBIRが最も蔓延していると指摘するラテラルムーブメント段階――を、流出前に検知できます。これは、ゼロトラスト・アーキテクチャをネットワーク境界だけでなく、攻撃者が本当に狙うデータ層まで拡張する実践的な違いです。
Kiteworks Data Security and Compliance Risk: 2026 Forecast Reportは、この特定の弱点がどれほど蔓延しているかを数値で示しています。組織の33%が証拠レベルの監査証跡を持たず、このギャップがAIガバナンス成熟度スコアを他の全AIガバナンス分野で20～32ポイント低下させているという相関が明らかになっています。認証後の可視性は二次的な制御策ではなく、むしろ組織のデータガバナンス全体の先行指標に近い存在です。
アイデンティティに強いデータセキュリティプログラムの構築
ここで述べたことは、多要素認証を放棄したり、失敗した制御策とみなしたりする理由にはなりません。むしろ、IDリスクを単一の導入マイルストーンではなく、複数の独立したレイヤーを持つプログラムとして扱うべきだという主張です。
まずは、SaaSアプリのようにMFA適用が容易なものだけでなく、VPNコンセントレーター、ファイアウォール管理コンソール、SFTPサーバー、レガシー認証フローを維持しているアプリケーションなど、認証情報が到達可能なすべてのシステム・プロトコル・アプリケーションを正直に棚卸ししましょう。2026年6月のキャンペーンで明らかになったように、64組織が「MFAカバレッジは完全」と信じていたにもかかわらず、見落としがありました。
廃止可能なプロトコルは廃止し、そうでない場合は代替制御策を文書化しましょう。ROPCは廃止理由が明確に存在し、他にも静かにパスワードのみを受け付けるレガシーフローが残っている可能性があります。
インシデント対応計画も、「MFAがあっても認証情報が侵害される」前提で拡張し、SIEMや監査ログ連携を構築して、数週間ではなく数時間以内に「その認証情報が何にアクセスしたか」を特定できる体制を整えましょう。認証情報ベースのランサムウェア侵入シナリオ――ラテラルムーブメントや流出レビュー、HIPAAやDFARSの通知評価、認証情報のローテーション手順――をカバーした文書化されたインシデント対応計画は、攻撃者の滞留時間が短縮される現代に求められる運用構造です。
最後に、CMMC 2.0フェーズ2の施行一時停止を「猶予」ではなく「強化のチャンス」と捉えましょう。停止された評価で検証されるはずだったID・アクセス・監査制御、特にCUI取扱いに関する部分を引き続き強化する組織は、60日後にどのような新フレームワークが出ても、実質的に強い立場を維持できます。
この変化がサイバー保険と取締役会報告に与える意味
保険引受会社はここ数回の更新サイクルで「MFAが導入されているか」を質問し、「はい」という回答をリスク低減の根拠としてきました。しかしSophosのデータはこの前提を直接覆します。MFA導入の「はい」は、そのカバレッジが完全かどうかをほとんど示していません。同じカバレッジの隙間からランサムウェア被害を受けた組織は、そもそも完全カバレッジを主張しなかった組織よりも、次回更新時に不利な立場となります。
取締役会や監査委員会も、同じ問いを異なる言葉で投げかけています。多くの場合「カバーできているか？」という表現ですが、「どこにギャップがあるか？」という視点が重要です。より有用な取締役会向け指標は、MFAの有無という二択ではなく、「機密コンテンツにアクセス可能なシステムのうち、現時点で何％がMFAを強制しているか」「残りをいつ・どのように埋めるか」というスコープ付きの問いです。これにより、リスク評価はコンプライアンスのチェックボックスから、四半期ごとに進捗を報告できる継続的な指標へと進化します。ガバナンス活動ダッシュボードが環境全体のリスクシグナルを集約するのと同様です。
この再定義は保険引受時の会話にも影響します。MFAカバレッジのギャップを現時点で具体的に棚卸しでき、監査証跡でメール・ファイル共有・マネージドファイル転送における各認証情報のアクセス履歴を示せる組織は、単に「MFA必須」と記載したポリシー文書しか示せない組織とは、リスク姿勢が根本的に異なります。前者は引受会社が直接求める証拠であり、後者はSophosデータがもはや安心材料にならないと示唆する回答です。各認証情報クラスがアクセス可能なコンテンツを機密度別・現行スコープ・最終レビュー日で整理したデータガバナンス文書は、取締役会指標や保険引受会話を、ポリシー主張ではなく検証可能な事実に基づくものにします。
認証とコンテンツアクセスのギャップをガバナンスと監査付きデータ交換で埋める方法について詳しく知りたい方は、カスタムデモを今すぐご予約ください。
よくある質問
SophosのState of Ransomware 2026レポートは、攻撃者が未修正の脆弱性を探して悪用するよりも、フィッシングや悪意のあるメールで有効な認証情報を侵害する方が効率的だと判断したことが要因だとしています。組織が既知のソフトウェア脆弱性へのパッチ適用を迅速化したことで、脆弱性悪用の難易度が上がったことも背景です。盗まれた認証情報は、単一の脆弱性悪用よりも広範かつ監視の甘いアクセス権を得られることが多く、フィッシングや悪意のあるメールが調査の根本原因の半数を占める理由です。また、脆弱性管理プログラムへの投資が成果を上げている一方、IDガバナンスへの継続的な注力や予算が不足していることも反映しています。サプライチェーンリスク管理プログラムでIDガバナンスをサードパーティベンダーの認証情報（サービスアカウント、共有APIキー、統合トークンなど）まで拡張することで、内部MFA適用だけでは対処できないアクセス経路を閉じることができます。
いいえ。MFAは依然として必要な制御策です。Sophosの調査結果は、MFAという技術自体が失敗しているのではなく、認証情報が到達可能な全システムにMFAカバレッジが十分に広がっていないことを示しています。解決策は、MFAやアクセス制御をVPNや管理コンソール、レガシーアプリケーションなど全システムに拡張することであり、認証制御を放棄することではありません。完全なMFAカバレッジとABACによるコンテンツ層でのポリシー適用を組み合わせることで、MFAを回避した認証情報でも、規制データに到達する前に2つ目の独立した認可チェックを受けることになり、認証だけでは実現できない多層防御体制を構築できます。
これは、2026年11月10日からDoD契約案件に登場予定だった第三者レベル2認証評価の要件が、2026年7月13日に発表された60日間の見直しのため一時停止されたことを意味します。ただし、DFARSの義務が消滅したわけではありません。フェーズ1の自己評価要件やDFARS 252.204-7012のカバードディフェンス情報保護義務は、見直し期間中も引き続き有効です。請負業者は、この一時停止期間を新たなフレームワークが出る前にギャップを埋める時間と捉え、進行中のCMMC 2.0コンプライアンス作業の優先度を下げる理由にはしないでください。NIST 800-171の全コントロールセットに対してリスク評価を実施し、C3PAOが期待する証拠レベルで文書化された証拠を準備することが、一時停止期間中の最も防御力の高い姿勢であり、CMMC改革タスクフォースのRFIプロセスへの最良のインプットとなります。
MFAは「誰が」ログインしているかを一時点で検証します。ABACは、その後の各リクエストごとにユーザーロールやコンテンツ分類、コンテキストなどの属性を評価し、認証を通過した認証情報でも、機密データに到達する前に別の継続的な認可チェックを受ける必要があります。両者は攻撃チェーンの異なるポイントをカバーしており、重複するものではありません。コンテンツが管理システムに入る前にデータ分類を適用することが、ABACの精緻な適用の前提条件です。ポリシーエンジンは、分類済みデータでなければ機密度に応じた制限を適用できません。
対話型のMFAチャレンジなしでユーザー名とパスワードを受け付けるアプリケーションやプロトコルを全て棚卸しし、SaaSカバレッジが全体を代表していると仮定せず、VPNや管理コンソール、レガシー業務アプリケーションを優先的に確認してください。そのインベントリと監査証跡のレビューを組み合わせ、各認証情報が「認証成功したか」だけでなく「何にアクセスしたか」を正確に再現できることを確認しましょう。レガシープロトコルが即時廃止できない場合は、代替制御策と廃止予定日を文書化し、誰も見直さない例外のまま放置しないようにします。インシデント対応計画を更新し、ROPC特有の侵害指標（レガシー認証エンドポイントからの異常なトークン発行イベントなど）をSIEMのアラート設定で検知トリガーに追加し、次回同様のキャンペーンが発生した際は事後調査ではなくアラートで即時発見できるようにしましょう。
追加リソース
- ブログ記事 ゼロトラスト・アーキテクチャ：信じるな、常に検証せよ
- 動画 Microsoft GCC High：防衛請負業者がよりスマートな優位性を求める理由
- ブログ記事 DSPMでフラグされた機密データを保護する方法
- ブログ記事 ゼロトラストアプローチで生成AIの信頼を築く
- 動画 ITリーダーのための機密データ安全保管の決定版ガイド