英Sophosは7月10日、ランサムウェアの実態に関する最新版の調査レポートを発表した。それによると、ランサムウェア被害組織の50％近くが攻撃者へ身代金を支払っており、過去6年間で2番目の高水準だった。また、支払い経験のある組織の53％は、攻撃者との交渉で金額が最初の要求額よりも少なくなったと回答した。
調査は、過去1年以内にランサムウェア被害を経験した従業員数100～5000人の17カ国の組織に所属するITやサイバーセキュリティ部門のリーダーを対象として、2025年1～3月に実施した。3400人が回答している。
それによると、身代金の支払額の中央値は100万ドルで、攻撃者による最初の要求額は組織規模や売上高で大きく異なり、売上高10億ドル以上での中央値は500万ドル、売上高2億5000万ドル以下では35万ドルだった。
身代金要求額の中央値は2024～2025年に3分の1に減少したが、支払額の中央値では50％減少し、同社は企業がランサムウェアの影響を最小限に抑えることに成功しつつあると指摘する。攻撃者との交渉で支払額を減らせるケースは多く、実際に最初の要求額よりも支払額が減少したケースの71％では、被害組織もしくは第三者機関が攻撃者と交渉していたという。
ランサムウェア被害は、脆弱（ぜいじゃく）性の悪用が3年連続で攻撃の技術的な根本原因の1位だった。ただ、被害組織の40％は、認識していないセキュリティのギャップを攻撃者に突かれたと回答。63％は組織のリソース問題が要因だと答えたほか、3000人以上の組織では専門知識の欠如、251～500人の組織では人材や能力の不足を挙げる回答が多かった。
他方で、データが暗号化される前に攻撃を阻止できた組織は過去最高の44％に上り、データ復旧にバックアップを利用した企業は過去最低の54％にとどまった。被害からの復旧コストの平均は2024年の273万ドルから2025年は153万ドルに減少した。復旧期間が「1週間」と回答した組織は53％で2024年の35％から上昇し、「1カ月以上」は2024年の34％から20225年は18％に減少した。
