ランサムウェアの語源と起源｜ransom（身代金）の由来と1989年の世界初の攻撃

ランサムウェア（ransomware）は、英語の「ransom（ランサム＝身代金）」と「software（ソフトウェア）」を組み合わせた言葉です。ransomはラテン語の redemptio（買い戻すこと）から古フランス語を経て13世紀に英語へ入った語で、捕らえられた人を取り戻すための代価を指してきました。攻撃としての起源は、1989年12月にロンドンから郵送された「AIDS Information Diskette」です。一方、ransomwareという語を辞書が最初に確認した使用年は2005年で、攻撃から16年後です。この記事では、語源を英語辞典で、起源を当時のセキュリティ専門誌でたどり、2025年の国内統計までつなげます。

まとめ｜ランサムウェアの語源と起源の要点

• 語源：ransom（身代金）＋software。ransomは13世紀に英語に入った語で、ラテン語 redimere（買い戻す）に由来し、redemption（贖い）とは双子語です。
• ransomの意味：名詞は「人質の解放と引き換えに要求される金」、動詞は「代価を払って人を解放させる」です。
• 使用記録：ransomwareの最初に確認された使用年は2005年（Merriam-Webster）で、攻撃の始まりより後です。
• 起源：1989年12月にロンドンから約2万枚が郵送された「AIDS Information Diskette」。起動90回前後でファイル名を暗号化し、パナマの私書箱へ189ドルまたは378ドルの「リース料」を求めました。
• 暗号の転換点：1996年、YoungとYungが公開鍵暗号で作者以外には解けない人質を作れることを論文で示しました。
• 現在：2025年の国内被害報告は226件（警察庁）。判明した侵入経路の87%がVPN機器とリモートデスクトップで、バックアップから復元できたのは99件中20件でした。2026年上半期は123件で、半期として過去最多です。

ランサムウェアの語源｜ransom（身代金）とsoftwareの組み合わせ

ランサムウェアは、データを暗号化するなどして使えなくし、元に戻すことと引き換えに金銭を要求するマルウェアです。Merriam-Websterの辞書は ransomware を、暗号化されたファイルにアクセスするために被害者へ身代金（ransom）の支払いを求めるマルウェア、と定義しています。名前は、要求の中身（ransom）と道具の種類（software）を並べたものです。日本の警察庁も「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」の脚注で、英語の ransom（身代金）と software の2つの単語が組み合わさった造語と説明しています。語尾の -ware は古英語 waru（売り物の品）に由来し、コンピューターの software は hardware をもとにした造語として1960年から、mal-（悪い）を付けた malware は1997年に記録されています（Etymonline）。

ransomの英語での意味と使い方

Cambridge Dictionaryによると、名詞の ransom は「捕らえられた人（ときに動物）と引き換えに要求される多額の金」です。発音は /ˈræn.səm/（ランサム）です。動詞の ransom は「金を払って人を解放させる」という意味で、例文は Her father ransomed her for a million dollars.（父親が100万ドルを払って彼女を取り戻した）です。この定義では払う側の動作を表すため、攻撃者の側の行為は名詞を使った demand a ransom（身代金を要求する）や hold … to ransom（…を人質に取る）で表すと誤解がありません。

ransomの由来｜ラテン語redimere（買い戻す）とredemptionの双子語

英語の語源辞典Online Etymology Dictionary（Etymonline）によると、ransomは13世紀に raunsoun という形で現れ、「捕虜の解放のために支払う金」と「地獄落ちからの贖い」の2つの意味を持っていました。古フランス語の ranson（現代フランス語の rançon）を経て、ラテン語の redemptio（買い戻すこと）にさかのぼります。redemptio は動詞 redimere（red-「元へ」＋emere「取る・買う」）の名詞形です。Merriam-Websterも、中英語 ransoun ← アングロ・フランス語 rançun ← ラテン語 redemptio という同じ経路を示しています。

同じ redemptio は、14世紀半ばに redemption（贖い）として英語にもう一度入りました。Etymonlineは ransom を redemption の doublet、つまり同じ語源から別の道筋で入った双子語と記しています。語末が -n から -m に変わった理由はわかっておらず、Etymonlineは比較の例として seldom や random を挙げるにとどまります。

ransomwareの使用記録｜辞書が確認した最初の使用年は2005年

Merriam-Websterは ransomware の First Known Use（最初に知られる使用）を2005年としています。辞書が示すのは年だけで、最初に使った文書までは示していません。早い使用例として、2005年9月26日の米IT誌Network Worldの特集「Files for ransom」は、冒頭で「Ransomware has emerged as the latest security worry.（ランサムウェアが最新のセキュリティ上の懸念として浮上した）」と書いています。一方、1989年の事件を振り返ったセキュリティ専門誌Virus Bulletin 1992年1月号は、プリンターに出力された要求文を、引用符付きで ‘ransom’ note と表記しました。事件の直後に出た1990年1月号も、ディスクを Trojan horse（トロイの木馬）や extortion（恐喝）の試みと呼び、法律面の解説記事の言葉は computer blackmail（コンピューターを使った脅迫）でした。Virus Bulletinの1990年1月号・3月号・1992年1月号のいずれにも ransomware という語は出てきません。後述する1996年の論文も、こうしたプログラムを cryptovirus（暗号ウイルス）と呼んでいます。

ランサムウェアの起源｜1989年12月の「AIDS Information Diskette」

記録に残る最初の身代金要求型プログラムは、1989年12月に郵送された「AIDS Information Introductory Diskette Version 2.0」です。ディスクにはエイズ（HIV）の感染リスクを判定する質問票ソフトが入っており、著作権者として「PC Cyborg Corporation」の名がありました。役に立つソフトを装ってハードディスクを使えなくする、トロイの木馬の典型です。以下は、事件を同時期に報じた英国の専門誌Virus Bulletinの記事にもとづきます。

AIDSディスクの配布経緯｜ロンドンから約2万枚の郵送

Virus Bulletin 1990年1月号によると、ディスクは1989年12月8日〜12日にロンドンから投函され、英国のほか欧州・アフリカ・北欧・オーストラリアに届きました。英国での送付先はパソコン誌PC Business Worldの購読者名簿で、名簿は欺いて入手されたものでした。枚数は当初1万枚前後とみられ、同号の編集注で2万枚近くに引き上げられています。送り主は、使えば身元をたどられる料金計器（英国では郵便局に登録されていた）を避け、20ペンス切手を1枚ずつ貼っていました。

同誌1990年3月号によると、PC Business Worldからは10月に7,000枚の宛名ラベルが購入され、WHO（世界保健機関）のデータベースから取った3,500人分の名簿も使われていました。

AIDSディスクの仕組み｜起動90回前後のファイル名暗号化と料金請求

1990年1月号の技術解析（Jim Bates執筆）によると、プログラムはQuickBASIC 3.0製でした。インストールすると起動時に読み込まれるAUTOEXEC.BATを書き換え、コメント行に見せかけた命令で起動のたびに隠しプログラムを呼び出します。同時に、パナマの私書箱宛ての「リース料」の請求書を印刷します。

隠しプログラムは起動回数を数え、試験では通常90回で発動しました（ばらつきあり）。発動するとCドライブのファイル名と拡張子を変換表で1文字ずつ置き換え、ファイルとフォルダを隠し属性にします。画面には偽のDOS環境が現れ、「ソフトウェアのリース期限が切れた」という警告が繰り返されます。ただし変えるのは名前だけで、ファイルの中身は無傷でした。変換表がわかれば元に戻せたため、Batesはトロイの木馬を取り除くAIDSOUTと、発動後に名前を元に戻す復号用のAIDSCLEARを作り、どちらも無料で提供しました。1990年1月号の時点で、AIDSOUTのディスクは90か国を超える国で入手できました。

要求額は、1990年3月号が載せた起訴事実に「189米ドルまたは378米ドル」とあります。支払いは「身代金」ではなく「ソフトウェアの使用料」という建前でした。ディスクに同梱された使用許諾書は、支払わなければプログラムの仕組みで利用を終了させ、コンピューターは正常に動かなくなると明記していました。1990年1月号は、十分な警告があり利用者が使わない選択もできるなら支払い要求は適法になりうる、というCIX上の弁護士たちの議論まで紹介しています。脅迫を契約に見せかけた点に、最初のランサムウェアの特徴があります。

作者とされたポップの裁判｜訴訟能力を理由とする審理の打ち切り

1990年3月号によると、作者とされたのは米国籍のジョセフ・ルイス・ポップ（Joseph Lewis Popp）で、1972年にオハイオ州立大学で生物学を学び、1979年にハーバード大学で人類学の博士号を得た動物学者・人類学者でした。ロンドンの警察（シティ警察と首都警察）のコンピューター犯罪班が1990年1月18日に恐喝容疑で逮捕状を請求し、2月1日にFBIがオハイオ州の実家で身柄を確保しています。本人は、WHOの関係者が黒幕だと主張しました（WHOは否定）。

ポップは1991年5月に英国へ移送され、恐喝11件で起訴されました。しかし1992年1月号によると、精神科医が訴訟能力が無いと証言し、裁判所は審理を打ち切りました。イタリアのあるエイズ研究団体は、慌てて対応した結果10年分の研究データを失っています。捜査責任者の推計では、ディスクを実際にインストールしたのは受け取った人の約5%、約1,000台でした。

公開鍵暗号で「解けない人質」が理論化された1996年

AIDSディスクの弱点は、元に戻すための情報がプログラムの中にあったことです。この弱点を理論で埋めたのが、コロンビア大学のAdam YoungとIBMワトソン研究所のMoti Yungが1996年のIEEE Symposium on Security and Privacyで発表した論文「Cryptovirology: Extortion-Based Security Threats and Countermeasures」です。

論文は、作者の公開鍵だけを持ったウイルスがデータを暗号化すれば、秘密鍵を持つ作者しか元に戻せず、作者は秘密鍵と引き換えに身代金（ransom）を要求できる、という攻撃を定義し、実際に動くウイルスを作って試しています。AIDS Information Trojanを悪意あるプログラムによる最初期の恐喝の試みの1つとして挙げ、被害者がウイルスを解析でき、復号に必要な共通鍵もその中から回収できるモデルでは、共通鍵暗号だけで解読不能な人質を作ることはできないと述べています。1人の被害者に秘密鍵を渡すと、その鍵が公開されて全員が救われかねない、という攻撃者側の弱点と、被害者ごとに鍵を変えれば解消できることまで書かれていました。暗号化型ランサムウェアの基本設計は、実害が広がる約10年前に示されていたことになります。

見落とされがちなのは、論文の定義に「新しいバックアップが無ければ」という条件が付いていることです。被害者が新しいバックアップを持っていれば取引は成り立ちません。のちの攻撃者がバックアップを先に壊すようになるのは、この条件の裏返しです。論文は2020年に同学会のTest of Time Award（1995〜2006年発表分）を受けています。

ランサムウェアの歴史｜1989年から2025年までの年表

AIDSディスクから現在までの主な節目は次のとおりです。

自作の暗号からRSAへ｜Gpcode（2004〜2006年）

Kasperskyの分析記事によると、未知のプログラムで暗号化されたファイルの検体が初めて届いたのは2004年12月で、標的は主にロシアの利用者でした。作者は当初、自作の暗号を使っていたため簡単に解読されています。2006年1月のGpcode.acはRSAで56ビットの鍵を作り、同年6月7日のGpcode.agは660ビットの鍵を使いました。Kasperskyはこの鍵も破りましたが、鍵を長くして解読に対抗する流れは、1996年の論文が描いた方向へ攻撃が近づいていく過程でした。

CryptoLockerの身代金要求｜MoneyPakとBitcoin（2013年）

米国のCISA（当時のUS-CERT）は2013年11月5日の注意喚起で、CryptoLockerが公開鍵と秘密鍵を使う非対称暗号でファイルを暗号化し、被害者に3日以内の支払いをMoneyPakかBitcoinで求めていると警告しました。支払っても復号鍵が届かなかったという被害者の声も、同じ注意喚起に記されています。米司法省の2014年6月2日の発表によると、CryptoLockerは2013年9月ごろから出回り、2014年4月時点で23万4,000台超に感染し、約半数が米国でした。最初の2か月で2,700万ドルを超える身代金が支払われたとの推計も紹介されています。公開鍵の人質に、匿名性の高い支払い手段が組み合わさった時期です。

WannaCryとNotPetya｜2017年の自動拡散と破壊活動

2017年5月12日に広がったWannaCryは、Windowsのファイル共有（SMBv1）の脆弱性を突いて、人の操作なしに端末から端末へ感染しました。この脆弱性を修正するセキュリティ更新MS17-010は、2か月前の2017年3月14日に公開済みでした。脆弱性を突く攻撃コードの仕組みはexploitの解説で扱っています。英国会計検査院（NAO）の調査報告によると、イングランドの国民保健サービス（NHS）では236のトラストのうち少なくとも81が影響を受け、数千件の診察や手術が取り消されました。NHS Digitalは3月と4月にパッチ適用を警告していました。全体では、ENISA（欧州ネットワーク・情報セキュリティ機関）が150か国超で約19万台が影響を受けたとの推計を、2017年5月15日時点で公表しています。

翌6月のNotPetyaは身代金を要求する画面を出しながら、実際には破壊を目的とした攻撃でした。米ホワイトハウスは2018年2月15日の報道官声明で、ロシア軍による攻撃と名指しし、欧州・アジア・米州で数十億ドル規模の損害を出した「史上最も破壊的で損害の大きいサイバー攻撃」と述べています。身代金要求を装っていても、目的が金銭とは限らない例です。

盗んだデータで脅す二重恐喝｜Maze（2019年）

Check Pointの分析は、公に知られた初期の二重恐喝の例として、2019年11月の米警備会社Allied Universalの事件を挙げています。300ビットコイン（約230万ドル）の要求を拒まれた攻撃者は、Mazeランサムウェアで侵入した際に盗んだ情報を使うと脅し、その一部を公開しました。バックアップで復旧できる被害者にも支払いを迫れるようになったことで、この手口は国内でも主流になっています（後述）。

日本のランサムウェア被害｜2025年は226件、侵入経路はVPN機器が最多

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、企業・団体からのランサムウェア被害報告は2025年に226件で、2022年の230件に次ぐ水準でした。規模別では中小企業が143件と6割を占め、手口が判明した153件のうち136件が、暗号化に加えて盗んだデータの公開で脅す二重恐喝型です。種別が判明した149件ではQilinが32件で最多で、2024年に最多だったLockBitは31件から19件に減りました。Qilinは2025年秋に被害を公表したアサヒグループへのサイバー攻撃や、京王電鉄のランサムウェア被害の件でも、リークサイトで犯行を主張したと報じられているグループです（両社の公表資料は攻撃者の名前を挙げていません）。

侵入経路の4列は経路が判明した件数だけです。2021〜2025年の合算では485件中398件（82%）がVPN機器とリモートデスクトップで、不審メールは24件（5%）でした。起源が郵送物を開かせる手口だったのに対し、いまの国内被害の主な入口は外部に開いた接続口の弱点です。2026年上半期（令和8年上半期）の報告は123件で、前年同期の116件を上回り、半期の件数として統計を取り始めた2020年下半期以降で最多となりました（令和8年上半期の情勢）。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」です。この脅威は2016年に初めて選ばれ、2026年版で11年連続11回目の選出となりました。

起源と現在の比較｜侵入経路・暗号・集金・脅し・復旧の5点

1989年のAIDSディスクと2025年の国内被害を並べます。

変わっていないのは、被害者を「払う以外に戻す方法が無い」状態に追い込む狙いです。暗号化されたデータを支払わずに取り戻す手段の一つが、1996年の論文でも前提条件とされた、復元可能なバックアップです。ところが警察庁の統計では、2025年に被害組織の大半（回答116件中105件）がバックアップを取っていたのに、復元結果が判明した99件のうち元に戻せたのは20件でした。戻せなかった理由が判明した72件のうち48件は「バックアップの暗号化・消去」、19件は運用不備です。

典型的な失敗は、業務と同じ認証基盤で管理するNASやファイルサーバーにバックアップを置き、侵入者に一緒に暗号化されることです。対策は次の順に進めます。

• 入口を塞ぐ：VPN機器とリモートデスクトップの更新を最優先にし、外部から入れる接続には多要素認証を付けます。
• バックアップを切り離す：少なくとも1世代は、ネットワークから切り離すか、書き換えできない設定（イミュータブル）で保管します。手順はバックアップのやり方と企業の運用設計で整理しています。
• 復元を試す：取得しているだけでは戻せる証明になりません。別環境へ戻す試験を定期的に行います。
• 盗まれる前提で備える：二重恐喝では暗号化に加えて盗んだデータの公開で脅されるため、バックアップだけでは情報漏えいへの脅迫に対処できません。重要データの暗号化保存に加え、復号鍵とデータへのアクセス権限を制限し、外部への大量送信を監視します。

身代金を払っても、復号や盗んだデータの削除が保証されるわけではありません。1989年に被害者を救ったのは支払いではなく、変換表を解析して作られた無料の除去・復号ツールでした。

よくある質問

ランサムウェアの語源は何ですか？

英語の ransom（身代金）と software を組み合わせた言葉です。ransomは古フランス語の ranson を経てラテン語の redemptio（買い戻すこと）にさかのぼり、13世紀に英語に入りました。

「ランサム（ransom）」は英語でどういう意味ですか？

Cambridge Dictionaryでは、名詞は身代金、動詞は「代価を払って人を解放させる」という意味です。hold someone to ransom で「人質に取って身代金を求める」を表します。

世界初のランサムウェアはいつ、誰が作ったものですか？

1989年12月に郵送された「AIDS Information Diskette」（PC Cyborg）が、記録に残る最初の例です。作者とされたのは米国籍の動物学者・人類学者ジョセフ・L・ポップで、恐喝で起訴されましたが、訴訟能力が無いとして審理は打ち切られました。

ランサムウェアはどこの国で生まれたのですか？

1989年の最初の例は、米国籍の人物が作者とされ、英国ロンドンから郵送され、支払い先はパナマの私書箱でした。英国の警察が捜査し、米国で逮捕されています。単一の国の産物というより、最初から国境をまたいだ犯罪でした。

「ランサムウェア」という言葉はいつから使われていますか？

Merriam-Websterは最初に確認された使用年を2005年としており、同年9月の米IT誌Network Worldの特集にも使用例があります。同辞書が確認した最初の使用年は1989年の攻撃から16年後ですが、造語された正確な時期までは示されていません。

関連記事

• トロイの木馬とは？正体とウイルス・ワームの違い・感染の仕組みと企業の対策を実装目線で解説
• AI駆動型マルウェアとは｜実行時にLLMを呼ぶ攻撃の実例と検知が外れる理由【2026年】
• サイバー攻撃の手口と対策とは？侵入経路の分類と実装者向けの防御策を解説【2026年時点】
• バックアップのやり方｜PC・サーバー・クラウド別の手順と企業の運用設計【2026年】
• アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧とQilinメンバー拘束（2026年10月時点）