ランサムウェアの起源と語源｜世界初の攻撃から名前の由来・歴史をたどる

ランサムウェアの起源は、1989年に登場した「AIDSトロイの木馬（PC Cyborg）」までさかのぼります。名前の由来である「ランサム（ransom）」は英語で身代金を意味し、データを人質に取って金銭を要求するという攻撃の本質をそのまま言い表しています。この記事では、語源と世界初の攻撃という2つの起点から、CryptoLockerやWannaCryを経て現在の二重脅迫に至るまでの歴史、仕組み、そして「起源から学べる対策」までを、一次情報にもとづいて整理します。

まとめ｜この記事の要点

• 語源：「ランサム」は身代金。ラテン語 redemptio（買い戻し）にさかのぼる言葉で、中世の捕虜解放金と同じ発想がサイバー攻撃に持ち込まれた。
• 言葉の誕生：「ランサムウェア（ransomware）」という呼称は、2005年前後にセキュリティ企業のレポートで使われ始めた比較的新しい用語。
• 起源：世界初は1989年の「AIDSトロイの木馬」。暗号は単純で解読可能だったが、「データを人質にする」という手口の原型となった。
• 転換点：2013年のCryptoLockerがビットコイン要求で収益化を確立し、2017年のWannaCryが自己増殖で世界規模の被害をもたらした。
• 現在：暗号化に加えデータ暴露で脅す「二重脅迫」が主流。日本ではIPA「情報セキュリティ10大脅威 2026」の組織向け1位を6年連続で占める。

ランサムウェアの語源｜「ランサム」は身代金を意味する

ランサムウェア（ransomware）は、「ランサム（ransom＝身代金）」と「ソフトウェア（software）」を組み合わせた造語です。攻撃者が被害者のデータを暗号化して人質に取り、その解放と引き換えに金銭を要求する——この一連の行為を、金銭と人質という古典的な犯罪の構図で表した名前だといえます。

「ランサム（ransom）」の由来はラテン語 redemptio

「ランサム」は中世英語の「ransoun」に由来し、さらに古フランス語の「rançon」、その源流であるラテン語の「redemptio（買い戻し・贖い）」までさかのぼります。いずれも「代償を払って解放する」という意味を核に持つ言葉です。中世ヨーロッパでは、戦争で捕らえた捕虜を解放する見返りに支払う金銭を指してこの語が使われました。人質を取り、解放の対価を要求するという構図は、対象が人からデジタルデータへ置き換わっただけで、ランサムウェアにそのまま受け継がれています。

「ランサムウェア」という言葉が生まれた経緯（2005年前後）

身代金要求型の攻撃自体は1989年から存在しましたが、「ランサムウェア」という呼称が定着したのは2005年前後です。2004〜2005年にかけて暗号化型のマルウェア「GPCoder（GPCode）」が出現し、これを分析したセキュリティ企業のレポートのなかで、より高度な「ランサムウェア（RansomWare）」型の脅威が今後現れるだろう、という文脈で用いられたことが普及のきっかけとされています。つまり「ランサムウェア」は、攻撃手法そのものより十数年遅れて生まれた、比較的新しい言葉です。日本語では長らく「身代金要求型ウイルス」とも呼ばれてきました。

ランサムウェアの起源｜世界初の攻撃「AIDSトロイの木馬」（1989年）

記録に残る世界初のランサムウェアは、1989年の「AIDSトロイの木馬」です。別名を「PC Cyborg」といい、作者はハーバード大学で学んだ進化生物学者ジョセフ・L・ポップ（Joseph L. Popp）でした。ポップは世界保健機関（WHO）のエイズ会議の参加者に向けて、「AIDS Information – Introductory Diskettes（エイズ情報 入門ディスケット）」と記した約2万枚のフロッピーディスクを郵送します。インターネットが一般に普及する前の時代に、感染経路として物理的なディスクの配布が選ばれた点が、この起源の大きな特徴です。

ディスク内のプログラムはパソコンの起動回数を数え、90回に達したところでCドライブのファイル名を暗号化し、システムを使えなくしました。画面には、機能を回復したければパナマの「PC Cyborg Corporation」宛に189米ドルを支払うよう要求するメッセージが表示されます。もっとも、この暗号は鍵を1つしか使わない単純な方式（対称暗号）で、プログラムのコードから復号手段を取り出せたため、実際には身代金を払わずに復旧できました。技術的には稚拙だったといえます。

ここに、ランサムウェアの起源を理解するうえで見落とせない点があります。最初の攻撃を成立させたのは、強力な暗号ではなく、「人の不安につけ込む配布（社会工学）」と「支払いの導線（当時は郵送とマネーオーダー）」だったということです。以降の歴史は、この2つの要素——被害者にファイルを開かせる手口と、足のつかない集金方法——がそれぞれ高度化していく過程として読むと、一貫して見えてきます。なお、逮捕されたポップは訴訟能力なしと判断され、利益をエイズ研究に寄付すると述べたと伝えられています。

ランサムウェアの歴史｜1989年から現在までの進化

AIDSトロイの木馬から現在までの約35年間で、ランサムウェアは「解けてしまう暗号」から「実質的に解けない暗号」へ、「郵送での集金」から「暗号資産での集金」へと進化しました。主な節目を年表で整理します。

暗号技術の武器化（2004〜2006年）

2004〜2005年に登場したGPCodeは、ロシアの利用者を標的に電子メールで送りつけられました。これは現在フィッシングと呼ばれる手口の先駆けです。続く2006年のArchiveusは、公開鍵暗号（RSA）を使った初期のランサムウェアの一つで、暗号化と復号に別々の鍵を用いる方式を持ち込みました。攻撃者だけが復号鍵を握るこの仕組みにより、AIDSトロイの木馬のように「コードを解析すれば自力で復旧できる」という弱点が消え、被害者が金銭を払う以外に手がない状況が現実味を帯びていきます。

ビットコインが変えた収益構造（2013年）

2013年後半に現れたCryptoLockerは、ランサムウェアの歴史上の大きな転換点です。ファイルをRSA-2048という強力な暗号で施錠し、身代金の支払い手段としてビットコインを要求しました。「Gameover Zeus」ボットネットを使って広範囲にばらまかれ、わずか4か月ほどで推定20万〜25万台に感染しました。身代金を実際に支払った被害者は全体の約1.3%にとどまったとされますが、感染台数が桁違いだったため、それでも数千万ドル規模（推定2,700万〜3,000万ドル）の利益を生んだと報告されています。追跡の難しい暗号資産で確実に集金できるようになったことで、ランサムウェアは「割に合う犯罪」へと変質しました。起源のAIDSトロイの木馬が抱えていた「集金の難しさ」という制約が、ここで解消されたのです。

自己増殖による世界的被害（2017年）

2017年5月12日に出現したWannaCryは、ネットワークを自ら渡り歩いて感染を広げる「ワーム」型のランサムウェアでした。Windowsの脆弱性を突く「EternalBlue」と呼ばれる攻撃コードを利用し、更新プログラムを適用していない端末に対して、わずか1日で150カ国・23万台超へ拡大しました（その後の累計はさらに増加）。翌6月には同じ脆弱性を悪用したNotPetyaが登場します。こちらは身代金を要求する外見を持ちながら、マスターブートレコードまで破壊し、支払っても復旧できない「ワイパー（破壊型）」に近いもので、世界全体で約100億ドルの被害をもたらしたと見積もられています。人手を介さず自動で広がる攻撃が、被害規模を一気に押し上げた時期です。

攻撃の分業化と二重脅迫（2016年〜）

2010年代半ばからは、ランサムウェア本体を開発する側と、実際に攻撃を仕掛ける側が分かれる「Ransomware as a Service（RaaS）」が広がりました。開発者がマルウェアを提供し、技術力のない実行犯（アフィリエイト）が利益を分け合う分業モデルで、攻撃のすそ野が一気に広がります。2019年にはMazeが、データを暗号化する前にあらかじめ盗み出し、「支払わなければ盗んだ情報を公開する」と脅す二重脅迫を確立しました。バックアップから復旧できても情報漏えいの脅しは残るため、対策の難度が上がっています。2021年に米国の石油パイプライン大手コロニアル・パイプラインが操業停止に追い込まれた攻撃も、RaaSグループ「DarkSide」によるもので、同社は約440万ドル相当のビットコインを支払いました。起源では単純だった「配布」と「集金」が、それぞれ分業と暗号資産によって完成された段階といえます。

ランサムウェアの仕組みと種類｜なぜデータが人質になるのか

ランサムウェアが金銭要求の道具として機能するのは、「被害者だけが復号できない」状態を暗号技術で作り出せるからです。ここでは基本的な動作と、代表的な種類を整理します。

感染から身代金要求までの流れ

典型的な暗号化型ランサムウェアは、次の順序で動きます。まずメールの添付ファイルや脆弱性を突いて端末に侵入し、社内ネットワークを探索して被害範囲を広げます。次に、写真・文書・データベースなどのファイルを暗号化します。このとき攻撃者側だけが復号鍵を保持するため、被害者は自力で元に戻せません。最後に、復号鍵と引き換えに身代金を要求する画面や文書を残します。ただし、支払っても鍵が渡される保証はなく、二重脅迫では支払い後も情報が公開される事例が報告されています。

暗号化型・画面ロック型・二重脅迫型の違い

ランサムウェアは、被害者を追い込む手口によって大きく分けられます。

このほか、偽の警告で不安をあおる「スケアウェア」や、暗号化を装いつつ実際にはデータを破壊するNotPetyaのような型もあります。名前は「ランサム＝身代金」でも、必ずしも金銭回収を主目的としない亜種が存在する点は押さえておくべきです。

ランサムウェアの主な感染経路

感染経路を理解することは、そのまま防御策の設計につながります。かつてはメール経由が中心でしたが、近年は組織のネットワーク境界にある機器の脆弱性を突く侵入が目立ちます。警察庁が公表する近年の被害分析でも、企業・団体の感染経路はVPN機器やリモートデスクトップ（RDP）の弱点を悪用したものが大きな割合を占めています。主な経路は次のとおりです。

• VPN機器・RDPの脆弱性：更新されていない境界機器や、推測されやすい認証情報が突破口になる。現在の法人被害で最も多い侵入口。
• フィッシングメール：取引先や公的機関を装い、添付ファイルや悪意あるリンクを開かせる。1989年の郵送配布から続く「人を欺く」手口の直系。
• 不正なウェブサイト・広告：正規サイトに見せかけ、閲覧しただけでマルウェアを送り込む。
• USBメモリなど外部デバイス：感染済みの媒体を接続することで持ち込まれる。
• サプライチェーン：取引先や委託先を経由して侵入する。近年はこの経路の深刻さが増している。

起源から学ぶランサムウェア対策｜「身代金を払わない」ための備え

ランサムウェアの歴史は、「集金を確実にする側」と「集金を成立させない側」のせめぎ合いでした。裏を返せば、攻撃者に金銭を渡さずに事業を復旧できる状態を作れれば、この攻撃は割に合わなくなります。そのための最優先はバックアップです。

基本方針として、身代金は支払わないことを前提に備えるべきです。支払っても復号鍵が渡される保証はなく、支払い実績のある組織が再び標的にされる例もあり、結果的に犯罪組織の資金源となります。警察や専門機関も支払いではなく通報を推奨しています。そのうえで、具体的には次の備えが有効です。

• オフラインバックアップの徹底：データを3つ保持し、2種類の媒体に、うち1つはネットワークから切り離して保管する（3-2-1ルール）。定期的に復元テストを行い、いざというとき本当に戻せるかを確認する。
• 脆弱性の解消と多要素認証：VPN機器・OS・業務システムを最新に保ち、外部公開する接続には多要素認証を必須にする。現在の主要な侵入口を塞ぐ。
• 権限の最小化とネットワーク分離：感染が起きても被害範囲を広げないよう、アクセス権を必要最小限にし、重要システムを分離する。
• 従業員教育：フィッシングの見分け方や、不審な添付・リンクを開かない習慣を組織全体で共有する。

日本のランサムウェア被害｜IPA10大脅威で6年連続1位

ランサムウェアは、日本でも最大級のサイバー脅威です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの「ランサム攻撃による被害」が6年連続で1位となり、この脅威は11年連続11回目の選出を数えます。企業規模を問わず現実の脅威であり続けているといえます。取引先や委託先を狙うサプライチェーン攻撃が2位に続く点も、単独の防御では守り切れない現状を示しています。

実際、国内でも大手企業の被害が相次いでいます。飲料大手を襲った攻撃では受注や出荷が長期間止まり、そのアサヒグループへのサイバー攻撃の発生から復旧までの時系列は、事業停止の重さを物語ります。動画配信サービスが標的となったニコニコ動画（KADOKAWA社）がランサムウェア攻撃を受けた経緯や、ランサムウェア感染で出荷が全面停止したアスクルの事例も、暗号化による直接被害だけでなく、事業継続そのものが人質に取られることを示しています。取引先を巻き込んだ被害としては、村田製作所の不正アクセスによる情報漏洩のように、サプライチェーン全体へ影響が及ぶケースも増えています。最新の被害動向は、JNSA 2025セキュリティ十大ニュースの解説で確認できます。

よくある質問

ランサムウェアの語源は何ですか？

「ランサム（ransom）」は英語で身代金を意味し、ソフトウェア（software）と組み合わせた造語です。ランサムはラテン語の redemptio（買い戻し）にさかのぼる言葉で、中世に捕虜の解放金を指して使われました。データを人質に取り解放の対価を要求する手口が、この言葉で表されています。

ランサムウェアの起源（世界初の攻撃）はいつですか？

記録上の世界初は、1989年の「AIDSトロイの木馬（PC Cyborg）」です。生物学者ジョセフ・ポップが約2万枚の感染フロッピーディスクを郵送し、起動90回でファイルを暗号化して189ドルの支払いを要求しました。暗号は単純で自力復旧が可能でしたが、「データを人質にする」手口の原型となりました。

「ランサムウェア」という言葉はいつ生まれたのですか？

攻撃自体は1989年からありますが、「ランサムウェア」という呼称は2005年前後に定着しました。暗号化型マルウェアGPCoderを分析したセキュリティ企業のレポートで用いられたのがきっかけとされ、手法より十数年遅れて生まれた比較的新しい用語です。

ランサムウェアとコンピュータウイルスの違いは何ですか？

ウイルスは自己複製してファイルやシステムに感染を広げ、破壊や改ざんを目的とするものが中心です。一方ランサムウェアは、データを暗号化して人質に取り、金銭を得ることを主目的とします。ランサムウェアはマルウェア（悪意あるソフトウェア）の一種で、目的が「金銭の要求」に特化している点が最大の違いです。

ランサムウェアに感染したら身代金を払うべきですか？

推奨されません。支払っても復号鍵が渡される保証はなく、再び標的にされたり、犯罪組織の資金源になったりします。まずは感染端末をネットワークから切り離し、警察や専門機関へ通報したうえで、バックアップからの復旧を検討するのが基本です。日頃からオフラインバックアップを備えておくことが最善の対策です。

関連記事

• アサヒ サイバー攻撃の時系列まとめ｜発生から復旧完了までの全経緯・被害・原因
• ニコニコ動画（KADOKAWA社）がランサムウェア攻撃を受けた背景と詳細について
• 村田製作所の情報漏洩（不正アクセス）｜原因・被害範囲と取引先の対策
• ランサムウェア感染によるシステム障害でアスクル業務停止
• JNSA 2025セキュリティ十大ニュース解説――ランサム攻撃・生成AI・クラウドリスク