この記事で分かること
- 中小規模の組織を狙うグループとして、原典が名指ししているのは何か
- 暗号化されたデータを戻すツールが、どこで公開されているか
- そのツールで、どれだけのデータが戻っているか
ランサムウェアに遭って、ファイルが開けなくなったとします。バックアップから戻せるものは戻すでしょう。バックアップに入っていなかったものは、暗号化されたまま残ります。
身代金を払うかどうかを決める前に、確かめる場所があります。
中小規模の組織に少額を求めるグループが、名指しで挙がっている
令和8年版の警察白書が、特集でサイバー空間の脅威を扱っています（警察庁、令和8年版 警察白書 特集）。その第1節に、ランサムウェアへの取り組みが書かれています（同白書、第1節）。
そこに挙がっている攻撃グループの特徴が、こう説明されています。「平成30年12月頃から、他のランサムウェア攻撃と比べて少額の身代金を、多数の中小規模の組織等に要求するランサムウェア攻撃を仕掛けることが特徴とされる」（同白書、第1節）。名前はPhobosです（同白書、第1節）。
令和4年3月頃からは、Phobosグループの関連組織が仕掛けた攻撃でも、被害が確認され始めました（同白書、第1節）。その関連組織の名前は8Baseです（同白書、第1節）。日本でも被害が認知され、令和5年11月に日本警察が米国等との国際共同捜査に参画しています（同白書、第1節）。
捜査の結果も書かれています。令和6年11月に米国司法省がPhobosの運営者とみられるロシア人を起訴し、令和7年2月までに米国司法省とスイス連邦警察が8Baseの運営者等とみられる男ら四人を検挙しました（同白書、第1節）。
大きな組織だけが狙われているわけではありません。原典が特徴として挙げているのは、少額と、多数と、中小規模です。
復号ツールの開発に1年以上かかり、海外の捜査機関の協力を要した
日本警察の貢献も書かれています。サイバー特別捜査部はIPアドレス等の捜査でPhobosの運営者と居場所の特定に成功し、関係国の捜査機関に情報を提供しました（同白書、第1節）。8Baseについても、海外の捜査機関から提供された暗号資産の情報を分析して運営者らを特定しています（同白書、第1節）。
その部署は、令和6年4月に設置されています。令和4年4月に関東管区警察局へ置かれたサイバー特別捜査隊が発展的に改組されたもので、下に企画分析課と特別捜査課が置かれました（同白書、第1節）。令和7年4月には特別対処課が加わり、重大サイバー事案の発生の予防と被害の拡大の防止に係る体制が強化されています（同白書、第1節）。
原典は、この部が全国の捜査におけるハブであり、国内捜査と国際捜査の結節点でもあると説明しています（同白書、第1節）。
そのうえで、復号のためのツールが作られました。原典は、米国が押収した被疑者のパソコン等のデータの提供を受けて分析を行い、「復号するツールの開発に成功した」と書いています（同白書、第1節）。
時間もかかっています。「同ツールは、同部の技術部門と捜査部門が緊密に連携し、1年以上にわたって当該ランサムウェアのプログラムの解析を行う中で開発された」（同白書、第1節）。
担当した捜査員の手記も載っています。必要な情報が欠けた状態で1年以上が経ち、完成しないかもしれないという焦りの中で、米国の協力でもたらされたデータから有益な情報を見つけた、とあります（同白書、第1節）。
次のランサムウェアに復号ツールが出るとは限りません。
データを復号するツールは、警察庁のサイトで入手できる
公開の時期と場所が書かれています。「令和7年7月、警察庁では同ツールを警察庁ウェブサイトにおいて公開し、国内だけでなく世界各国の被害企業等の被害回復が可能となるよう、国際的に広く周知した」（同白書、第1節）。
LockBitのほうが先に出ています。こちらはサイバー特別捜査隊が独自に開発し、令和5年12月にEUROPOLへ提供しました（同白書、第1節）。令和6年2月には、警察庁がEUROPOL等と連携して情報発信を行っています（同白書、第1節）。
そのLockBitについては、関係国の捜査機関が令和6年2月に被疑者二人を逮捕し、サーバー等のテイクダウンを実施しています（同白書、第1節）。同年10月には関連被疑者四人が逮捕されました（同白書、第1節）。
二つのツールで戻ったのは、24社と17社のデータ
使われた数が書かれています。LockBitのツールでは「少なくとも24の被害企業等が同ツールを活用し、約1,290万件の被害データの復号に成功している」（同白書、第1節）。
Phobosのツールについては、時点つきです。「令和8年4月現在、少なくとも17の被害企業等が約717万件の被害データの復号に成功しており、その復号成功率は99.9％を超えている」（同白書、第1節）。
原典はどちらにも「少なくとも」を付けています。把握できた数であって、全部ではありません。
使った側の言葉も載っています。復号ツールを作った捜査員の手記に、被害企業の声としてこう書かれています。「民間調査会社に依頼しても、費用がかかるのに復元できる保証がないため、復号ツールが警察によって公開されて大変助かった」（同白書、第1節）。
費用と、戻る保証。被害を受けた会社は、この二つを見て、民間の調査会社に頼むかどうかを決めます。
被疑者が捕まったあとに、相談の件数が8割減った例がある
別の事案で、検挙のあとの数字が出ています。日本人を標的にしたサポート詐欺で、令和7年5月にインド共和国の中央捜査局がインド人被疑者六人を逮捕しました（同白書、第1節）。
捜査が動き出したのは、民間からの情報が警察庁に渡ってからです。一般財団法人日本サイバー犯罪対策センターとマイクロソフト社が分析した情報が警察庁に提供され、そこからサイバー特別捜査部が暗号資産の移転状況を追跡しています（同白書、第1節）。特定した被疑者らの情報は、警視庁をはじめとする都道府県警察の捜査情報とあわせて、インド共和国の中央捜査局に提供されました（同白書、第1節）。
その被害の規模も書かれています。「当該被疑者グループの犯行による日本国内の被害件数は少なくとも200件、総被害額は約1億8,000万円であった」（同白書、第1節）。
そして検挙のあとです。原典は、検挙のあとに情報処理推進機構へ寄せられた相談の件数を挙げています。対象は「ウイルス検出の偽警告」に関する相談です（同白書、第1節）。令和7年6月中の件数は「85件（前月比353件（80.6％）減少）」で、前月より著しく減少したとあります（同白書、第1節）。
原典はこの事案を「警察と民間事業者による連携した検挙が、その後の事案発生の抑止に効果があることを示す先駆的な事例」としています（同白書、第1節）。検挙が、そのあとの相談件数まで動かした形です（同白書、第1節）。
明日からできること
決めるのは、遭ったときに何を順に見るかです。
復旧の道を、順番に三つ書き出します。バックアップから戻す。戻らないものを数える。自社が受けたランサムウェアの復号ツールが出ているかを確かめる。
順番を先に決めておく理由は、遭ったあとに調べる時間がないからです。払うかどうかの判断は、この順番を通したあとに来ます。
被害の中身を記録に残します。どのランサムウェアだったか、暗号化されたのは何件か。ランサムウェアの名前が分からないと、公開されているツールが自社の被害に使えるかを判断できません。件数は、どこまで戻せたかを数えるときに要ります。
通報の先も決めておきます。サポート詐欺の事案では、民間が持っていた情報が警察庁に渡ったところから捜査が動きました（同白書、第1節）。通報するかどうかを、遭ったその日に考えなくて済みます。
復号ツールが出ていないランサムウェアもあります。そのときに戻せるのは、バックアップにあるものだけです。それでも順番を決めておくと、払うかどうかを考える前に、戻せる範囲がはっきりします。