ランサムウェアに対するGoogle Workspaceの本質的な防御策（前編）〜攻撃者の目的を理解する〜

ランサムウェア攻撃者の本当の目的とは？

ランサムウェア対策を考えるうえで、最初に理解しておきたいのが攻撃者の目的です。

ランサムウェアは、英語のRansom（身代金）とSoftware（ソフトウェア）を組み合わせた言葉です。従来は、マルウェアによってファイルを暗号化し、復号するための鍵と引き換えに金銭を要求する攻撃が中心でした。企業にとって業務データが使えなくなることは、事業継続を脅かす問題です。販売管理システムや生産管理システムが利用できなくなれば、日々の業務を停止せざるを得ない可能性もあります。

攻撃者は、こうした状況を利用して金銭を要求します。つまり、暗号化そのものに価値があるのではなく、データを利用できなくすることで、被害企業に支払いを迫ることが目的です。

しかし、攻撃の手法は変化しています。

二重恐喝

二重恐喝とは、企業のデータを暗号化するだけでなく、事前に機密情報を窃取し、身代金を支払わなければ情報を公開すると脅迫する手口です。たとえば、攻撃者が企業のネットワークに侵入し、顧客情報や取引先との契約書、財務情報などを窃取したうえで、サーバー内のデータを暗号化したとします。

被害企業は、業務システムを復旧するためだけでなく、機密情報の公開を防ぐためにも金銭の支払いを要求されることになります。

二重恐喝の攻撃プロセス

警察庁が公開している「ランサムウェア被害防止対策」でも、データの暗号化に加えて情報を窃取し、公開すると脅迫する二重恐喝が被害の多くを占めることが報告されています。重要なポイントは、この攻撃ではバックアップからファイルを復旧できたとしても、窃取された情報を取り戻すことはできません。

ノーウェアランサムとは？

さらに注意したいのが、ノーウェアランサムです。ノーウェアランサムとは、ファイルを暗号化せずに企業のデータを窃取し、その情報を公開しないことなどと引き換えに金銭を要求する手口です。

従来のランサムウェアとの最大の違いは、ファイルを暗号化する工程そのものが存在しないことです。攻撃者は、企業のシステムに不正アクセスして機密情報を窃取した後、データを公開すると脅迫します。業務システムが正常に動作していても、攻撃は成立します。

攻撃手法による違い

このような攻撃では、Google ドライブに保存されたファイルが暗号化されていなくても、機密情報が窃取されれば被害が発生します。また、暗号化されたファイルが存在しないため、暗号化を検知する仕組みやファイルの復元機能だけでは対処できません。

AIによって暗号化が伴わない攻撃が増加する可能性がある

私はAIによる攻撃が今後さらに増えていった時、ノーウェアランサムの被害が暗号化よりも増えてくるのではないかと予想しています。

理由としては、AIの進化によって攻撃者が機密情報を効率的に発見・窃取できるようになるためです。従来のランサムウェア攻撃では、ファイルを暗号化して業務を停止させることが、身代金を要求するための有効な手段でした。

しかし、AIを活用すれば、侵入先の膨大なファイルから顧客情報や契約書、財務情報などを効率的に探索し、脅迫に利用できる情報を選別する作業を自動化できる可能性があります。攻撃者にとっては、暗号化によって異常を検知されるリスクを冒さなくても、機密情報を窃取するだけで金銭を要求できるわけです。

実際にPalo Alto Networksの2026年の調査では、恐喝を伴う攻撃で暗号化が確認された割合は、2024年の92%から2025年には78%へ低下しています。今後、AIによる情報探索や攻撃の自動化が進めば、暗号化を伴わない情報窃取型の攻撃が、さらに増加すると考えています。

Google ドライブのランサムウェア検知機能だけで十分なのか？

Google ドライブにはランサムウェア検知機能があります。パソコン版Google ドライブでランサムウェアによる暗号化が検知されると、ファイルの同期が自動停止されます。これにより、パソコン上で暗号化されたファイルがクラウド上に同期され、被害が拡大するリスクを軽減できます。

また、ファイルの一括復元機能によって、保持されている過去のファイルバージョンへまとめて復元することも可能です。これらは、ランサムウェアによる暗号化被害に対して有効な機能です。しかし、次のような攻撃を直接防ぐものではありません。

• 不正利用されたGoogleアカウントによる機密ファイルの閲覧・ダウンロード
• 攻撃者が利用できる外部アカウントへのファイル共有
• 権限を持つユーザーによる大量のデータ持ち出し
• 暗号化を伴わないノーウェアランサムによる情報窃取

ここで重要なのは、Google ドライブのランサムウェア検知機能を過小評価することではありません。暗号化被害の拡大を防ぐためには有効ですが、守備範囲が異なるということです。

ランサムウェア攻撃の本質が金銭目的の脅迫にある以上、暗号化への対策に加えて、そもそも攻撃者に機密情報を取得させない仕組みが必要になります。

まとめ

今回は、前編として「ランサムウェア攻撃者の目的」と「近年の攻撃手法の変化」について解説しました。ランサムウェア対策というと、ファイルの暗号化を防ぐことや、暗号化されたファイルをバックアップから復元することに注目しがちです。しかし、攻撃者の目的はファイルを暗号化することではなく、企業に金銭を支払わせることです。

特に、機密情報の窃取と暗号化を組み合わせた二重恐喝や、暗号化を行わないノーウェアランサムでは、ファイルを復元できたとしても、すでに窃取された情報による被害を取り消すことはできません。

また、今後AIによって大量のデータから機密情報を探索・分析する作業が効率化されれば、暗号化を伴わない情報窃取型の攻撃がさらに増加する可能性も考えられます。

Google ドライブのランサムウェア検知機能は、暗号化されたファイルの同期による被害拡大を抑える有効な仕組みですが、それだけですべてのランサムウェア攻撃に対応できるわけではありません。ランサムウェアへの本質的な対策を考えるためには、暗号化への備えだけでなく、攻撃者に機密情報を取得させないための仕組みが必要です。

それでは、Google Workspaceには、こうした情報窃取を防ぐためにどのような機能が用意されているのでしょうか。後編では、Google ドライブのアクセス権限管理をはじめ、コンテキストアウェアアクセスやDLP、信頼ルール、監査ログなどを取り上げ、企業が実施すべき具体的なセキュリティ対策について解説します。