中堅企業を狙うランサムウェア攻撃：Black Kiteが報告書を発表

まず、Black Kiteが中堅企業と定義するのは、年間売上高が1000万～10億ドルの企業だ。弱点や苦しい事情がよく知られている中小企業や、被害発生時に大規模に報道される大企業と違い、中堅企業がサイバーセキュリティの議論で取り上げられる機会は少ない。

Black Kiteの報告書は、2023年1月～2026年6月に発生した1万3336件のランサムウェア攻撃を分析したものだ。中堅企業が置かれた特異な立場が、自社のシステムを守る力にどう影響しているかを検証している。

企業は、ある企業にとってのサプライヤーであり、別の企業にとっての顧客でもある。サプライヤーとしてセキュリティ対応が求められ、顧客としては仕入先企業のリスク評価を実施する必要がある。

同報告書は「通常、大企業ではサプライヤーとしての対応と、仕入れ先企業のリスク評価は、別の問題として扱われる。異なるチームがそれぞれの予算で対応している」と指摘する。一方、中堅企業では、人員が少ないため、その2つの問題を担当する人員がいないケースが多い。

サプライヤーとしての立場と顧客としての立場は、「サプライチェーン全体のサイバーリスク」という1つの問題を異なる方向から見ているにすぎない、と同報告書は指摘する。

2人以下のチームが300社を担当する体制

最も被害を受けた業種は製造業、専門サービス業、建設業、卸売業だ。いずれも他社に製品やサービスを供給する企業が多く、サイバー攻撃による被害は取引先の川下や周辺へと急速に連鎖する（注2）（注3）。

「こうした企業の1社が攻撃を受けると、その事案は当該企業の名前で記録される。だが被害はそこで終わらない」とBlack Kiteは述べる。

こうしたサプライチェーンのリスクこそが、中堅のサプライヤーを抱える大企業が、中堅企業に大量のセキュリティ質問への回答を求める理由だと報告書は指摘する（注4）。報告書は、サプライヤーのサイバーセキュリティ上の責任を明文化した米国と欧州の規制を例に挙げている。

だが、中堅企業は、顧客企業からの監視やセキュリティに関する要求に十分に適応できないことが多い。

「ベンダーリスク管理プログラムに関する業界調査では、2人以下のチームが300社を超えるサプライヤーを担当している実態が確認されている。この比率では、手作業で継続的に監視することは不可能だ」とBlack Kiteの研究者は書いている。

狙われるのは「最も小さい中堅」 攻撃の72％は北米に集中

調査期間中のランサムウェア攻撃は、中堅企業の中で均等に分布していたわけではない。最も規模の小さい層に当たる年間売上高1000万～5000万ドルの企業が全体の約半分を占め、年間売上高5000万～5億ドルの「コア中堅企業」が40～45％で続いた。年間売上高5億～10億ドルの「上位中堅企業」で攻撃を受けた企業は少数だ。Black Kiteによると、攻撃を受けた上位中堅企業は、2023年の126社から2025年の45社へと64％減少した。

同報告書は、北米と欧州の中堅企業12万128社のネットワークから集めたデータに基づいている。ただし、被害は北米に大きく偏っていた。調査期間中に中堅企業を狙った攻撃の72％は北米企業を標的にしたものだった。北米の被害企業数が2023年から2026年にかけて増えた一方、欧州の被害企業数はほぼ横ばいだった（編注1）。