メインコンテンツへスキップ
見出し画像

「ハッキングのビジネスモデル」を分析してみた(1.4万字の図解記事)

    Kiel │ コンサル&プロコーチ

    はじめに

    最近、特にこの1ヶ月くらい、セキュリティ周りは騒がしくなってしましたね。。PHPの件もしかり、てーへんな世の中になりました。。

    日本でも、警察庁に報告された被害は2025年に226件。さらに2026年上半期は123件で、半期としては過去最多です（@IT）。

    今回は、その辺の悪事がどうやって成り立ってるんだろう？と疑問に思い、、悪い方のハッカー、具体的には「ランサムウェアって、ビジネスとしてどう回っているのか」を分析してみました。
    （犯罪をビジネスとして見るのは少し気が引けますが、守る側にとっても、相手の損益構造を知るのは大事だと思ったので。。）

    注記：本稿は防御・理解のための経済分析です。攻撃手法や侵入の手口には触れていません。出典は、セキュリティ企業・研究機関・政府機関・報道の公開レポートに限っています。

    この記事の要点

    • ランサムウェアは「成果報酬型広告×ライドシェア」のような分業ビジネスになっている。

    • 身代金の総額は2023年がピーク。ただし、払う企業は減り、1件あたりの額は上がるという二極化が進んでいる。

    • 法執行が効くのは、犯罪組織どうしの「信頼」が構造的に弱いから。守る側の打ち手は、攻撃者の期待値を下げることに集約される。

    関わるプレイヤーは、大きく三つのアクターに分けられます。
    本稿では、それぞれの稼ぎ方とコストを整理してみました。

    1. 本部：ツールとブランドを貸し出し、身代金の一部を受け取る運営者（RaaSオペレーター）

    2. 実行役：ツールを借りて攻撃を実行する、歩合制の実行犯（アフィリエイト）

    3. 裏方：侵入口の仲介業者や資金洗浄など、分業を支える専門業者

    画像

    市場：総額は縮小、1件あたりは上昇

    この章のポイント：攻撃は増え、払う企業は減り、払う企業からはより多く取る。

    まず、業界全体の「売上」から見てみます。

    ブロックチェーン分析企業のChainalysisは、攻撃者のウォレットに流れ込んだ暗号資産を追跡しています。
    そこから、身代金の支払総額を毎年推計しています（Chainalysis 2026 Crypto Crime Report）。

    画像

    • 2021年：約9.8億ドル

    • 2022年：約5.7億ドル

    • 2023年：約11億ドル（過去最高）

    • 2024年：約8.9億ドル（改定後）

    • 2025年：約8.2億ドル（前年比約8%減）

    この数字は、Chainalysisが攻撃者のものと特定できた送金だけを数えた、保守的な推計です。
    そのため後から上方改定されることも多く、たとえば2022年は当初4.6億ドルでしたが、翌年に5.7億ドルへ改定されました（GovInfoSecurity）。


    払う企業は減った

    総額が伸び悩む最大の理由は、身代金を払う企業が減っていることです。

    Chainalysisの集計では、身代金を払った被害者の割合は次のように下がりました（BleepingComputer）。

    • 2022年：78.9%

    • 2024年：62.8%

    • 2025年：28%（過去最低）

    インシデント対応企業のCovewareの集計でも、支払率は2025年第3四半期に23%まで下がりました。
    2026年第2四半期には、過去最低を更新しています（Coveware）。

    画像


    払う企業からは、より多く取る

    一方で、1件あたりの支払額は上がっています。

    Chainalysisによると、支払額の中央値は2024年の12,738ドルから、2025年に59,556ドルへ。
    368%の上昇です。

    Covewareの2026年第2四半期の案件では、平均と中央値が逆の動きをしました。

    • 平均支払額：約188万ドル（前期比176%増）

    • 中央値：15万ドル（同50%減）

    この差について、Covewareは、データ窃取を伴う少数の高額案件が、平均を押し上げたと説明しています。
    とくに、法律事務所を狙ったグループが、機密性の高い訴訟記録の公開をちらつかせて大口の支払を得たことが大きかったとしています。

    攻撃の件数は過去最多

    総額が減っても、攻撃そのものは減っていません。

    • Chainalysisが引用するeCrime.chの集計：2025年の被害者数は前年比50%増で、過去最も活発な年

    • Searchlight Cyberの集計：リークサイト（窃取データの暴露サイト）への掲載は2025年に7,458件で過去最多、前年比30%増（CIR Magazine）

    つまり業界は、「攻撃の数は増え、払う企業は減り、払う企業からはより多く取る」方向に動いています。

    分業の全体像：RaaSという仕組み

    この章のポイント：本部・実行役・裏方が分業し、身代金を分け合っている。

    現在のランサムウェアの多くは、「RaaS（Ransomware-as-a-Service）」と呼ばれる分業で動いています。

    マルウェアを開発・運営する「本部」が、攻撃を実行する「実行役」にツールとインフラを貸し出します。
    そして、得た身代金を分け合います。
    また、実行役は、侵入口を売る「裏方」から入口を買うこともあります。

    Contiという大手グループの内部資料を分析した学術研究は、この構造を「ギグエコノミーに例えられる」分業だと整理しています（Gray et al., Money Over Morals, arXiv）。

    各アクターの役割をまとめると、次のようになります。

    • 本部（オペレーター）：マルウェアの開発・保守、実行役の募集、交渉用の窓口やリークサイトの運営、身代金の受け取りと分配

    • 実行役（アフィリエイト）：攻撃の実行と、被害者との交渉

    • 裏方：侵入済みネットワークへのアクセスの販売（初期アクセスブローカー、IAB）、資金洗浄、サーバー基盤の提供など

    以下、アクターごとに「誰が、何で稼ぎ、何にコストがかかるのか」を見ていきます。

    アクター①本部：ツールとブランドで稼ぐ

    この章のポイント：本部は自分では手を汚さず、身代金の10〜30%を受け取る。

    本部は、ツール・ブランド・インフラを提供して、身代金の一部を受け取ります。
    これは、メガコーヒーの本部が店に立たずに原材料の供給で稼いでいたのと、よく似た構造です。

    Contiという「決算書」

    本部の内部経済がこれほど詳しく分かっているのは、2022年2月に流出したContiの内部チャット（16万8,000件超のメッセージ）があるからです。
    この一次資料を、各社が分析しています。

    Contiには、管理・財務・人事の機能がありました。
    さらに、物理オフィスを複数持ち、賞罰・人事評価・月間優秀社員まで備えていたといいます。
    報道はこれを「ふつうのIT企業そのもの」と評しています（Check Point Research、CNBC）。

    学術研究が、内部チャットと暗号資産の送金記録を突き合わせて推計した「損益」は、おおむね次のとおりです（Gray et al., eCrime 2022）。

    画像

    • 収入：追跡できた身代金は、前身のRyukを含めて約1億440万ドル。Conti単体では約7,790万ドルで、支出の2倍を超える。

    • 支出：給与・経費の支払は約3,120万ドル。そのうち給与が約2,190万ドルと最大。

    • 組織：ある管理職は、約80名の開発・インフラ部門の月額給与予算を約14.6万ドルと報告していた。

    ただし、Chainalysisは、Conti単体の2021年の収益を約1.8億ドルと推計しています。
    つまり実態は、論文の数字よりさらに大きいと見られます。

    別の分析では、2021年1月〜2022年2月の給与・ツール・外部サービスへの支出を、約600万ドルと推計しています（BreachQuest、Infosecurity Magazine経由）。


    本部の取り分

    本部が身代金から取る割合は、グループによって違います。

    LockBitの首謀者は、個人で少なくとも1億ドルを得たとされます。
    また、グループ全体では5億ドル以上を得たとされています。

    RansomHubの「実行役90%」は、大手崩壊後に実行役を引き抜くための好条件として宣伝されました。
    なお、Contiの数字は、身代金の分配記録から推計したものです。

    ここから、本部が取り分を下げてでも、優秀な実行役を確保しようと競争している構図が読み取れます。

    実際、LockBitの首謀者は、取り扱いが多ければ取り分を10%まで下げると勧誘していました（KrebsOnSecurity）。起訴状にも、他のRaaSグループの実行役を引き抜こうとしていた記述があります。

    アクター②実行役：高歩合だが、守られていない

    この章のポイント：取り分は大きいが、本部の裏切りと摘発のリスクを両方負う。

    実行役（アフィリエイト）は、本部のツールを借りて攻撃を実行し、被害者と交渉する歩合制のワーカーです。
    取り分は80〜90%と大きい。
    ただし、その割にリスクも負っています。

    英国家犯罪対策庁（NCA）は、2024年のLockBit摘発で、同グループが194名の実行役を抱えていたことを突き止めました。
    そのうち最大114名は、「参加費を払ったのに、一度も稼げなかった」とされます（NCA）。

    さらにLockBitは、身代金を払った被害者のデータを、約束に反して削除せず保持していました。
    実行役も、本部に裏切られうる立場だということです。

    つまり実行役は、「高い歩合と引き換えに、本部の信頼リスクと法執行リスクの両方を負う歩合労働者」です。
    合法のギグワークなら評価や契約で守られる部分が、ここにはありません。


    アクター③裏方：侵入口を売る専門業者

    この章のポイント：侵入口の価格は下がり、攻撃の採算は取りやすくなっている。

    攻撃を一から仕掛けるのは手間がかかります。
    そこで、「侵入済みのネットワークへのアクセス」を売る専門業者が育ちました。
    初期アクセスブローカー（IAB）と呼ばれます。

    実行役は、ここから入口を買えば、侵入の手間を省けます。
    しかも、このアクセスの価格は、ここ数年で大きく下がっています。

    画像

    • KELAの集計（2020年7月〜2021年6月）：平均5,400ドル、中央値1,000ドル（KELA）

    • Chainalysisが引用するDarkweb IQの集計：被害者アクセスの平均価格は、2023年初めの約1,427ドルから2026年初めの439ドルへ低下（Tron Weekly）

    • Cyberint（現Check Point）の集計：2024年の出品の86%が3,000ドル未満（The Hacker News）

    集計する会社や期間によって、数字の振れ幅は大きいです。
    それでも、多くの入口が数百〜数千ドルで取引されている点は共通しています。

    価格が下がっている背景には、盗まれた認証情報があふれ、入口が「供給過剰」になっていることがあると指摘されています（GovInfoSecurity）。入口が安く手に入るほど、攻撃の採算は取りやすくなります。

    Chainalysisは、IABが2025年に少なくとも1,400万ドルを受け取ったと推計しています。
    身代金総額（約8.2億ドル）の約58分の1にすぎません。
    それでも、このわずかな投資が、攻撃全体の起点になっています。

    実際、IABへの資金流入が増えると、約30日後に身代金の支払やリークサイト掲載が増える、という先行関係も指摘されています（Chainalysis）。

    このほか、暗号資産の洗浄業者、防弾ホスティング、プロキシ業者などが、裏方として分業を支えています。


    単価を上げる仕組み：恐喝の多重化

    この章のポイント：脅しを強めて単価を上げようとしているが、払う企業はそれ以上に減っている。

    メガコーヒーは、安いアメリカーノで集客しつつ、ラテやトッピングで客単価を上げていました。
    ランサムウェアにも、同じように「単価を上げる仕組み」の変化があります。

    暗号化から、データ暴露へ

    もともとは、データを暗号化して「元に戻してほしければ払え」と迫るのが基本でした。
    しかし、バックアップが普及すると、暗号化だけでは払わせられなくなります。

    そこで主流になったのが「二重恐喝」です。
    データを暗号化する前に盗み出し、「払わなければ公開する」と脅す手口です。
    バックアップがあっても、情報漏えいは防げないためです。

    さらに最近は、暗号化せず「盗んだデータを公開されたくなければ払え」とだけ迫る、データ窃取のみの恐喝も増えています。

    下がる成功率を、脅しの強さで補う

    Check Pointは2025年第3四半期の報告で、暗号化よりもデータ窃取を軸にした恐喝が主流になったと指摘しています。
    具体的には、リークサイトでの公開に加え、DDoS攻撃やメディアへの接触など、複数の手段で圧力をかける手口も広がっています（Check Point）。

    ただ、これはうまくいっていません。
    データ窃取のみの恐喝では、支払率はさらに低く、Coveware案件で15%まで落ちています（Coveware）。

    脅しを強めても、払う企業はそれ以上に減っている、というのが実態です。


    法執行が効く理由：壊れやすい「信頼」

    この章のポイント：犯罪組織どうしの信頼には担保がない。そこを突く摘発が効いている。

    この数年、法執行機関による摘発が目立つ成果を上げています。
    なぜ効くのかを考えると、この業界の弱点が見えてきます。

    主な摘発

    Hive摘発（2023年1月）

    FBIは2022年7月からHiveのネットワークに潜入し、復号鍵を被害者に密かに配り続けました。
    司法省によると、約1億3,000万ドルの支払を阻止したとされます（米司法省）。

    ただし、FBI長官によると、この間にHiveの被害者のうち警察に届け出たのは約2割にとどまりました（TechTarget）。

    LockBit摘発・Operation Cronos（2024年2月）

    NCA主導の国際作戦が、34台のサーバーを停止させ、管理基盤とリークサイトを掌握しました。
    復号鍵は、摘発時点で1,000件超、同年5月までに2,500件超を入手しています（The Hacker News、NCA）。

    復号ツールの開発には、日本の警察も加わりました（Help Net Security）。その後、同年5月には首謀者が特定・起訴されています。

    「出口詐欺」という自壊

    興味深いのは、摘発だけでなく、犯罪組織どうしの裏切りも業界を揺らしている点です。

    2024年3月、ALPHV（BlackCat）は、米医療大手から約2,200万ドルの身代金を受け取りました。
    ところが、それを実行役に分配せず、偽の摘発バナーを掲げて姿を消しました。
    研究者はこれを「摘発ではなく出口詐欺」と断じています（The Hacker News）。


    信頼が通貨なのに、担保がない

    ここに、この業界の構造的な弱点があります。

    RaaSは「評判」で回っています。
    復号を確実に行う、分配をちゃんと履行する——そういうグループに実行役が集まります。

    ところが、合法ビジネスと違って、契約も司法もブランド保護もありません。
    本部が実行役や被害者を裏切っても、誰も守ってくれない。

    だから、評判に過剰に依存し、頻繁にブランド名を変え（リブランド）、法執行による「信頼毀損」が効きます。
    NCAがLockBitのサイトを乗っ取り、「我々は君たちが誰か知っている」と掲示した心理戦は、この弱点を突いたものでした。

    法執行とグループ自身の裏切りの結果、業界は「少数の巨大ブランド」から「多数の小規模アクター」へと断片化しました。
    実際、Check Pointは、2025年第3四半期に活動グループが過去最多の85に達したと報告しています。

    逆説的ですが、この断片化が、追跡と対応をかえって難しくしているという指摘もあります（Check Point）。


    構造的に近い合法ビジネス

    この章のポイント：成果報酬型広告とライドシェアを重ねると、全体像がつかみやすい。

    類似のビジネスを探すときは、3つのアクターがすべてそろっているかを基準にしました。
    本部・実行役・裏方の分業と、取り分の奪い合いまでが共通するのは、次の二つです。

    画像

    成果報酬型広告（アフィリエイト）

    最も構造が近いのは、成果報酬型の広告ネットワークです。ランサムウェアの実行役も、同じ「アフィリエイト」という言葉で呼ばれています。

    • 本部：ASP（アフィリエイト・サービス・プロバイダー）が、成果を計測するツールと広告案件を用意し、成果報酬から手数料を取る。

    • 実行役：アフィリエイターが自分で集客し、成果が出たときだけ報酬を受け取る。集客のコストとリスクは実行役が負う。

    • 裏方：集客用のトラフィックや見込み客リストを売る業者がいる。

    ランサムウェアも、成果（身代金の支払）が出たときだけ収入が発生します。
    本部はツールを貸すだけで、手を汚しません。
    この「成功報酬で、実行コストは実行役持ち」という設計が共通しています。


    ライドシェア

    取り分の決まり方と、供給側の奪い合いでは、ライドシェアが近い事例です。

    • 本部：プラットフォームがアプリとブランドを提供し、運賃から手数料を取る。

    • 実行役：運転手が配車を受け、運賃の大半を受け取る。

    • 裏方：車両リース、保険、決済などの専門業者が分業を支える。

    ライドシェア各社が手数料や報奨金で運転手を奪い合うように、ランサムウェアの本部も取り分を下げて実行役を奪い合っています。

    たとえば、LockBitとALPHVの崩壊後には、各グループが条件を競って実行役を勧誘しました（SC Media）。

    • RansomHub：実行役90%

    • Medusa：100万ドル超の案件は実行役90%

    • Cloak：実行役85%

    二つを組み合わせると

    ランサムウェア経済は、「成果報酬型広告の報酬設計」に「ライドシェアの供給側の奪い合い」を重ねたハイブリッドと見ると、全体像がつかみやすくなります。

    決定的な違いは「信頼の担保」

    ただし、決定的な違いがあります。

    合法ビジネスには、契約・利用規約・法律・評価といった「信頼を担保する装置」があります。
    ASPが報酬を払わなければ訴えられ、プラットフォームが運転手を裏切れば規制当局が動きます。

    犯罪エコシステムには、それがありません。
    ALPHVの出口詐欺やLockBitのデータ不削除が示すとおり、裏切っても法的な救済はない。

    この「信頼の欠如」こそが、評判への過剰依存、頻繁なリブランド、そして法執行による信頼毀損が効く理由です。

    合法プラットフォームは、評判を積み上げるほど強くなります。
    それに対し、犯罪プラットフォームの評判は構造的に脆い。
    ここが、守る側にとっての最大の梃子になります。


    攻撃者の期待値と、守る側の打ち手

    この章のポイント：守る側の勝ち筋は、攻撃者の期待値をマイナスへ押し込むこと。

    攻撃者の判断は、単純化すれば次の式で表せます。

    期待値 ＝ 成功確率 × 支払額 − コスト

    守る側の勝ち筋は、この期待値を恒常的にマイナスへ押し込むことに尽きます。
    各変数の動きと、効く打ち手を整理します。

    画像

    成功確率を下げる：バックアップと「払わない」

    最も直接的なのが、復旧できる状態を作ることです。
    復旧できれば、払う理由がなくなります。

    この点について、Covewareは2025年の振り返りで、身代金を払うかどうかを分けたのは次の三点だったとしています（Veeam/Coveware）。

    • ID基盤が守られているか

    • 復旧できる見通しがあるか

    • 経営陣が圧力の下で判断できるか

    バックアップは「取っている」だけでなく、実際に戻せることを確かめておくことが鍵になります。

    警察庁も、暗号化されたデータを復元するツールを開発しています。
    これまでに2,011万件を復旧させたとしています（秋田魁新報（共同通信））。

    支払率そのものの低下も、攻撃者の収益基盤を削ります。
    Covewareは「払わない判断の一つひとつが、攻撃者から酸素を奪う」と表現しています。

    コスト側を上げる：法執行と制裁

    Hive型の潜入、Cronos型の基盤押収、暗号資産の追跡は、攻撃者のコストとリスクを上げます。

    加えて、換金の経路が少数に集中している点も弱点です。
    Contiの分析では、特定できた身代金の90%超が、身元不明の取引所とGeminiの二つを経由していました（Gray et al.）。

    制度面も動いています。

    米財務省OFACは、制裁対象への身代金支払が罰則の対象になりうると警告しています。
    一方で、当局への自発的な報告を、罰則の軽減要因としています（OFAC勧告）。「払う前に報告する方が得」という設計です。

    さらに英国は2025年7月、公的機関と重要インフラ事業者による身代金支払を禁止する方針を固めました。
    民間企業も、支払う前に政府へ通知する制度の対象になります（The Register）。

    狙いは、攻撃者のビジネスモデルそのものを直撃することにあります。
    ただし本稿時点で、英国の禁止はまだ立法前の段階です。


    保険は「犯人」なのか

    サイバー保険が身代金支払を助長している、という批判はよく聞きます。

    ただ、英国の安全保障シンクタンクRUSIの研究は、保険に加入している組織の方が身代金を払いやすいという有力な証拠はない、と結論づけました。

    そのうえで、身代金の支払禁止ではなく、保険会社がその影響力を使って「払わずに済む道筋」を被害者に用意すべきだと提言しています（RUSI）。


    日本の状況

    この章のポイント：被害は高止まりし、狙われるのは中小企業。被害額も重い。

    最後に、日本の数字を見ておきます。

    警察庁によると、2025年のランサムウェア被害報告は226件でした。
    過去最多だった2022年の230件に次ぐ水準です。

    さらに2026年上半期は123件で、半期としては統計開始以来の過去最多でした（@IT、警察庁PDF）。

    画像

    特徴を三つ挙げます。

    • 狙われるのは中小企業：2026年上半期の被害123件のうち、中小企業が79件（約64%）、大企業が31件、団体等が13件でした（秋田魁新報（共同通信））。

    • 侵入口はVPN機器が最多：2026年上半期も、感染経路で最も多かったのはVPN機器でした。2023年の調査では、有効回答115件のうちVPN機器が63%、リモートデスクトップが18%を占めています（警察白書 令和6年版）。

    • 被害は重い：2026年上半期は、半数超が復旧に1か月以上かかり、被害額は6割が1,000万円を超えました。全業務が止まった会社も9件ありました（nippon.com（時事通信））。

    なお、ここで言う費用は、身代金ではなく、調査・復旧にかかった直接費用である点に注意が必要です。
    払わなくても、被害そのもののコストは大きいということです。


    今後見るべき点

    この業界の動きを追うなら、次の指標が手がかりになります。

    • 支払率（Coveware四半期・Chainalysis年次）：攻撃者のレバレッジが効いているかの、最もきれいな代理指標。

    • 支払総額と支払中央値の乖離：「件数増・総額減・単価増」という二極化がどこまで進むか。

    • 侵入口（IAB）の流入額と価格：攻撃パイプラインの先行指標（約30日先行）。

    • 活動グループ数と上位集中度：断片化＝法執行の圧力の反映。

    • 日本固有：警察庁の半期件数、復旧費用1,000万円以上の比率、VPN経由の侵入比率、バックアップの復元成功率。

    • 制度：英国の支払禁止立法の成立時期と、日本を含む他国への波及。


    おわりに

    ランサムウェアを「ビジネス」として分解すると、分業の姿が見えてきます。
    本部がツールとブランドを貸し、実行役が歩合で攻撃し、裏方が侵入口を売る、という分業です。

    限界費用の小ささと高歩合で急拡大した点は、合法のプラットフォームビジネスとよく似ています。

    ただし、決定的に違うのは「信頼を担保する装置」がないことです。
    だから評判に過剰に依存し、裏切りで自壊し、法執行の信頼毀損が効く。

    守る側にできるのは、派手な対策よりも、攻撃者の期待値を地道に下げることです。
    戻せるバックアップ、払わない方針、報告の習慣、保険の規律。

    一つひとつは地味でも、それが積み重なって「割に合わない標的」になることが、最も確実な防御になります。

    ランサムウェアの損益構造は、守る側が「どこを削れば相手が割に合わなくなるか」を教えてくれているのかもしれません。


    留意点（ファクトの扱いについて）

    • 集計主体で数値が異なります。 Chainalysis（オンチェーンの実支払）、Coveware（自社の対応案件）、Sophos（企業アンケート）、各リークサイト集計（掲載件数）は、測定対象が違うため直接比較できません。本稿は出典を明示して併記しました。

    • 犯罪者の自己申告は検証できません。 分配率（90-10など）やConti内部の数値は、リーク文書・起訴状・報道に基づく「現時点で確認できる範囲」であり、全グループ・全期間には一般化できません。

    • Chainalysisと警察庁の数字は保守的・部分的です。 オンチェーン推計は後日上方改定されることが多く、警察庁の件数は任意報告ベースで実態の一部にとどまります。

    • 英国の支払禁止は未成立です（本稿時点）。

    出典

    市場規模・支払動向

    分業構造・各グループ

    法執行・制度

    日本

    この記事はnoteマネーにピックアップされました

    noteマネー 今週の特集「AI株安で急落！ほかの人はどうしてる？」
     
     

    Kiel │ コンサル&プロコーチ

     
     
    料理と酒とサッカーを愛する、戦略・企業変革のコンサル&プロコーチで、犬飼い。新卒から10数年、某コンサルファーム所属。ソーシャルビジネスも噛んでたりします。

    あなたへのおすすめ