攻撃のコストが暴落した。守る側はどうする？

まず結論から言う。ランサムウェア攻撃にAIエージェントが使われ始めた。これは「攻撃が賢くなった」という話ではない。攻撃のコストが劇的に下がったという話だ。

これまでランサムウェアを仕掛けるには、それなりのスキルを持った人間が必要だった。ターゲットのネットワーク構成を調べ、脆弱性を探し、侵入経路を設計する。時間もかかるし、人件費もかかる。だから攻撃者は「割に合う」大企業を狙っていた。

その構造が壊れつつある。

「JadePuffer」と呼ばれるランサムウェアグループは、偵察からフィッシングメールの生成、脆弱性スキャン、初期侵入までの工程をAIエージェントで自動化していると報告されている。人間がやっていた作業をAIが代替することで、攻撃1件あたりのコストが大幅に下がった。

これが意味することはシンプルだ。「小さい会社だから狙われない」が通用しなくなった。

攻撃のコストが下がれば、身代金100万円の中小企業でも「割に合う」ターゲットになる。500社に同時に仕掛けて、10社から100万円ずつ取れれば1,000万円。AIエージェントの運用コストはほぼゼロに近い。攻撃者にとっては十分なビジネスだ。

何が変わったのか——攻撃の「自動化」の中身

JadePufferの手法で注目すべきは、攻撃の各フェーズがAIエージェントによって連鎖的に実行される点だ。

フェーズ1：偵察の自動化
AIエージェントが公開情報（企業のWebサイト、SNS、求人情報など）をクロールし、使用しているソフトウェア、メールアドレスの命名規則、組織構造を自動で把握する。従来、攻撃者が数日かけていた作業が数分で終わる。

フェーズ2：フィッシングメールの生成
偵察で得た情報をもとに、ターゲット企業の業種・取引先・担当者名に合わせたフィッシングメールをAIが自動生成する。「請求書の件でご確認ください」といった汎用的な文面ではなく、実在の取引先名を使った精度の高いメールが作られる。セキュリティ企業の分析では、AI生成のフィッシングメールは従来型と比べて開封率が約2.5倍という報告もある。

フェーズ3：脆弱性の探索と侵入
メール経由でマルウェアが実行されると、AIエージェントが社内ネットワークをスキャンし、パッチ未適用のサーバーや古いVPN機器を自動で特定する。ここも人手が不要。

つまり、攻撃の「質」が上がったのではなく、攻撃の「量産」が可能になった。これが本質的な変化だ。

被害額のリアル——中小企業の場合

では、実際に食らったらいくらかかるのか。

IPA（情報処理推進機構）やセキュリティベンダー各社のレポートを総合すると、従業員100人以下の中小企業がランサムウェア被害を受けた場合の損害額は以下のような構造になる。

中央値をざっくり約700万円と見るのが現実的だろう。身代金を払わなくても、業務が止まるだけで数百万円が飛ぶ。従業員30人の会社で23日間業務が止まれば、それだけで売上ベースで数百万円の損失だ。

しかも、これは「1回」の被害額だ。一度やられた会社は「払う会社」としてリストに載り、再攻撃されるケースも報告されている。

月いくら払えば「元が取れる」のか——3段階で整理する

ここからが本題だ。被害額700万円を前提に、セキュリティ投資の損益分岐を考える。

レベル1：月額1万円以下——「鍵をかける」レベル

やること：

• UTM（統合脅威管理）機器のリース導入（月5,000〜8,000円）
• クラウド型アンチウイルスの導入（1台月500円×20台＝月1万円）
• Windows Update・ファームウェア更新の自動化

月額コスト：約1.5万円（年間18万円）

正直に言えば、AIエージェントを使った攻撃に対しては心もとない。ただし、「パッチ未適用のまま放置」「ファイアウォールなし」という状態は、玄関を開けっ放しにしているのと同じだ。まずここを塞ぐだけで、自動スキャンによる「楽な標的」リストからは外れる可能性が高い。

損益分岐：年間18万円 × 39年 ＝ 700万円。 39年間被害ゼロなら元が取れる……と計算するのは間違いだ。ランサムウェア被害に遭う中小企業の割合は年々増加しており、ある調査では中小企業の約4社に1社が何らかのサイバー攻撃を経験しているとされる。期待損失額で考えれば、年間18万円は「保険料」として十分安い。

レベル2：月額3〜5万円——「検知して止める」レベル

やること：

• EDR（エンドポイント検知・対応）の導入（月2〜3万円）
• クラウドバックアップの自動化（月5,000〜1万円）
• 年2回のフィッシング訓練メール（年間10万円＝月約8,000円）

月額コスト：約4万円（年間48万円）

このレベルが中小企業にとっての実質的な防御ラインだと考えている。理由は2つ。

1つ目は、EDRを入れることで「侵入された後」に検知・隔離できる。AIエージェントによる攻撃は侵入までは自動化されているが、侵入後の横展開でEDRに引っかかるケースが多い。完璧ではないが、被害の拡大を食い止められる確率が大幅に上がる。

2つ目は、クラウドバックアップ。ランサムウェアの本質は「データを人質に取る」ことだ。バックアップが別の場所に、世代管理されて残っていれば、身代金を払う必要がない。復旧にかかる時間は数日に短縮できる。業務停止23日が3日になれば、逸失利益は数百万円単位で減る。

フィッシング訓練も地味だが効く。訓練を受けた従業員のフィッシングメール開封率は、未訓練の場合と比べて約60%低下するというデータがある。AIが精巧なメールを作っても、「怪しいと思ったら開かない」習慣があれば初期侵入を防げる。

損益分岐：年間48万円の投資で、700万円の被害を1回防げれば約14.5年分の投資を回収できる。 3年以内にランサムウェア被害に遭う確率を考えれば、十分に「元が取れる」投資だ。

レベル3：月額10〜15万円——「任せて眠れる」レベル

やること：

• SOC（セキュリティ監視）の外部委託（月8〜12万円）
• 脆弱性診断の定期実施（四半期ごと）
• インシデント対応の初動を外部に委託

月額コスト：約12万円（年間144万円）

24時間365日の監視を自社でやるのは、中小企業には無理だ。SOCの外部委託は「セキュリティの専門チームを月12万円でレンタルする」ようなもの。以前なら月50万円以上かかっていたが、クラウド型SOCサービスの普及で価格が下がってきた。

ただし、正直に言えば、従業員50人以下の会社でここまで必要かは業種による。 医療、金融、製造業で取引先から「セキュリティ体制の証明」を求められるケースが増えている。そういった企業にとっては、このレベルの投資は「セキュリティコスト」ではなく「取引継続のための必要経費」だ。

結局、中小企業はどうすればいいのか

3つのレベルを並べたが、まずやるべきはレベル2だ。月4万円。

理由はシンプル。レベル1は「狙われにくくする」だけで、狙われたら止められない。レベル3は効果は高いが、多くの中小企業にはオーバースペック。レベル2の「EDR＋バックアップ＋フィッシング訓練」は、コストと効果のバランスが最も良い。

そして、もう1つ重要なこと。これは「IT部門の仕事」ではなく「経営判断」だ。

月4万円を「高い」と感じるなら、こう考えてほしい。ランサムウェアに食らって23日間業務が止まったとき、その損失は誰が負うのか。取引先への納期遅延、顧客データの流出、信用の失墜。これらのリスクを月4万円でヘッジできるなら、火災保険より費用対効果が高い。

攻撃者のコストが下がった時代に、守る側がやるべきこと

AIエージェントの登場で、攻撃のコスト構造が根本から変わった。これは一時的なトレンドではない。攻撃の自動化は今後さらに進む。

だが、守る側にも同じ武器がある。EDRもSOCもAIで進化している。クラウドバックアップのコストも年々下がっている。5年前に月30万円かかっていた防御体制が、今は月4万円で組める。

攻撃のコストが下がったなら、防御のコストも下がっている。 問題は、それを知っているかどうか、そして経営者が動くかどうかだ。

「うちみたいな小さい会社は狙われない」——その常識は、AIエージェントが壊した。月4万円の判断を、来月に先送りする理由はもうない。

—