ランサムウェアが狙っていたのは社長ではなく課長だった——被害者351人の内訳

ランサムウェア（身代金要求型ウイルス）の被害が報じられるとき、話題になるのはたいてい「どの会社がやられたか」「どのシステムが止まったか」「いくら要求されたか」です。その一段手前、つまり最初に乗っ取られたのが社内のどんな立場の人だったのかは、ほとんど表に出てきません。

セキュリティ企業Zscalerの脅威研究チームThreatLabzが2026年8月6日に公開した調査は、そこを正面から見ています。あるランサムウェア集団のひとつのキャンペーンを1か月間追跡し、334の組織にまたがる351人の被害者を洗い出したもの。集団の名前は公表されていませんが、まず社内に入り込み、社内データを大量に抜き出したうえで、重要なシステムだけを選んで暗号化する手口で知られるグループだと説明されています。

そこで浮かび上がった被害者像が、かなり具体的でした。

「特権ユーザー」という言葉が指してきた範囲

企業のセキュリティ対策では、長いあいだ「特権ユーザー」といえば管理者権限を持つ人のことでした。サーバーやドメインを管理する情報システム部門の担当者、システムの設定を変えられる立場の人。多要素認証を厚くする、権限を必要最小限に絞る、操作ログを重点的に監視する——こうした手当てはこの層に集中して投じられてきました。

もうひとつ警戒されてきたのが、経営層をかたる詐欺です。社長やCFOの名前で「急ぎで送金してほしい」というメールが届くタイプの手口は、ビジネスメール詐欺として広く知られていて、社内研修でも定番の題材になっています。

つまり守る側の想定は、「いちばん強い権限を持つ人」と「いちばん偉い人」の二つに寄っていました。今回の351人は、そのどちらでもありません。

管理者権限ではなく決裁権限

被害者の62%が、課長級以上の肩書を持っていました。ただし役員ではありません。そして約75%が、経理・財務、営業、オペレーション（業務管理）、人事、マーケティングという5つの業務領域で働いていた人たちです。内訳は経理・財務が17.7%、営業が17.4%、オペレーションが16.8%。ここに情報システム部門は入っていません。

Zscalerはこれを「ビジネス上の特権（business privilege）」という言い方で説明しています。技術的な権限ではなく、その人の役割と社内の人間関係によって生まれる権限のことです。管理職のアカウントが乗っ取られたときの価値は、システムに何ができるかではなく、業務にどこまで手が届くかで決まる。管理職は支払いを承認し、予算や取引先を見て、契約書に目を通し、機密性の高い記録を扱い、部署をまたいで仕事を動かしています。

攻撃側は、乗っ取った端末から得た情報と、外から誰でも見られる公開情報とを突き合わせて、その組織の指揮系統を組み立て直します。誰が誰に報告し、誰が最終的に金額に判を押すのか。そのうえで、支払いの判断を早く動かせる立場の人を選んで狙う。同じ脅迫メールを社内全員に一斉送信するのではなく、先に下調べを済ませているわけです。

つまり狙われているのはサーバーの鍵ではなく、社内で支払いが通っていく道筋そのものでした。社長名義の突然の送金依頼は怪しまれますが、経理課長が普段どおりに処理する支払いは怪しまれません。

平均46歳という数字の読み方

被害者の年齢は23歳から70歳まで幅がありましたが、平均は46歳。X世代（おおむね1960年代半ばから1980年ごろの生まれ）が44%を占めて最大の層でした。

この偏りについてZscalerは、年齢そのものが理由ではないだろうと見ています。40代から50代は、多くの人がすでに管理職として定着している時期です。重要なシステムに触れられて、機密情報を持っていて、決定に関われる。攻撃側が探している条件がひととおりそろう場所に、たまたまこの年代が多く座っている、という説明になります。

業種で見ると、製造や物流を含む産業セクターが35.5%、IT関連が14.6%で、合わせてちょうど半数でした。産業側では工場や配送、物流を支えるシステムへの入り口になりやすく、IT側では知的財産やサービス提供の基盤が露出しうる。どちらも止まると業務と売上に直結するため、脅迫の材料として効きやすい領域です。

一人の侵入で終わっていない

もうひとつ、見過ごしにくい数字があります。十数社では、同じキャンペーンのなかで複数の従業員が侵害されていました。最初の一人に入り込んだところで手を止めず、部署をまたいで横に広げていった形跡です。目的は、価値のあるデータと、身代金の判断に影響を与えられる人の両方に届く確率を上げること。裏を返せば、最初に見つかった一台を隔離して終わりにすると、残りを見落とすことになります。

Zscalerが挙げている対策も、この構図に沿ったものです。TeamsやSlackのような社内コミュニケーション基盤で、外部からの心当たりのないメッセージや通話をブロックしておくこと。情報システム部門を名乗る相手から普段と違う依頼が来たときは、行動する前に社内の正規の連絡経路や社員名簿で本人確認する習慣をつけること。そして一人目が見つかったあとも、利用者・端末・アプリケーション・データ転送・リモートアクセスの動きを追い続けること。

下調べや、本人になりすます精度は、AIの普及でさらに上がっていくとも指摘されています。文面の不自然さや誤字といった、これまで気づきの手がかりになっていた要素が減っていく方向の話です。

数字の扱いと留意点

この調査を読むときに、いくつか押さえておきたいことがあります。

まず、比較の基準がありません。「経営層から中間管理職へ標的が移った」と言うには、以前は役員が何%狙われていたのかという数字が必要ですが、今回の公表にその前期比較は含まれていません。言えるのは「この1か月間のこのキャンペーンでは、被害者の内訳がこうだった」というところまでです。

数値の出どころも押さえておく必要があります。これはZscalerが自社のセキュリティ基盤から得たデータをもとにした調査で、第三者による検証を経たものではありません。母集団は同社のサービスを使っている組織に偏ります。攻撃集団の名前や帰属は特定されておらず、被害額、身代金が実際に支払われたかどうか、地域ごとの内訳も公表されていません。

広く引用されている「ランサムウェアの試行が146%増」「公開された恐喝事案が70%増」「盗まれたデータ量が92%増」という数字は、今回の調査のものではない点にも注意が必要です。これはZscalerが2025年7月に公表した年次レポート（対象期間は2024年4月〜2025年4月）の数値で、今回の管理職に関する調査とは別のものです。2026年版の年次レポートは、この調査から2か月以内に出る予定とされています。

海外では今回の話が「40代のITマネージャーが狙われている」という見出しで報じられていますが、データを見ると約75%は情報システム部門ではない職種でした。見出しの印象と中身がずれている例なので、引用するときは元の内訳に当たったほうが確実です。

そして、この結果をそのまま日本に当てはめられるかどうかも分かりません。国内の被害傾向を知りたい場合は、警察庁やIPA（情報処理推進機構）が別途出している統計を見る必要があります。

それでも、守る対象を「管理者権限を持つ人」から「支払いや契約が通る人」まで広げて考え直す材料としては、十分に具体的な調査です。多要素認証も権限管理も入れているのに狙われた、という状況が起きるとすれば、抜けているのはたぶん技術の側ではなく、組織図の読まれ方のほうかもしれません。