近年、企業を標的としたランサムウェア攻撃は高度化しており、単なる「データの暗号化」にとどまらない手口が主流になりつつあります。特に注目されているのが「ダブルエクストーション（二重恐喝）」と呼ばれる攻撃手法です。

この攻撃では、データを暗号化するだけでなく、事前に情報を盗み出し「公開する」と脅迫されるため、被害はより深刻になります。初動対応を誤ると被害が拡大する恐れがあり、企業の信用や事業継続にも大きな影響を与える可能性があります。

そこで本記事では、ダブルエクストーションの仕組みや具体的な手口、被害事例、リスク、そして実践すべき対策までをわかりやすく解説します。

＼ランサムウェア感染調査に特化したチームが対応中／

ダブルエクストーションとは何か

ダブルエクストーションは、従来のランサムウェアを進化させた攻撃手法であり、「暗号化」と「情報公開の脅迫」を組み合わせた特徴があります。

従来のランサムウェアとの違い

ダブルエクストーションとは、従来のランサムウェア攻撃を発展させた手法であり、「データの暗号化」と「情報公開による脅迫」を組み合わせた二重の恐喝モデルを指します。

従来はシステムやファイルを暗号化し、その復号と引き換えに身代金を要求する単一の構造でした。しかしダブルエクストーションでは、暗号化の前段階で機密情報を窃取し、支払いに応じなければ外部に公開するという新たな圧力が加わります。

この構造により、企業は単なるシステム復旧の問題ではなく、「情報漏えいリスク」や「社会的信用の失墜」といった経営レベルの判断を迫られることになります。

従来型ランサムウェアは、バックアップが存在すれば復旧可能であり、身代金を支払わずに解決できるケースもありました。

一方、ダブルエクストーションでは状況が大きく異なります。攻撃者は事前にデータを外部へ送信しているため、仮にバックアップから復旧できたとしても、情報漏えいそのものは防げません。

つまり、被害は以下の2軸で同時に発生します。

• 業務停止（暗号化によるシステム障害）
• 情報漏えい（外部公開リスク）

この「復旧しても終わらない」という点が、従来型との決定的な違いです。

なぜ今ダブルエクストーションが増えているのか

ダブルエクストーションが急増している背景には、攻撃者側にとっての「成功率」と「収益性」の高さがあります。

企業は、システム停止よりも情報漏えいによる 信用毀損や法的責任を強く恐れる傾向があります。そのため、公開を回避するために身代金の支払いを検討せざるを得ない状況に追い込まれやすくなります。

さらに、ダークウェブ上には「リークサイト」と呼ばれる公開基盤が存在し、実際に被害企業のデータが公開されている事例も多数確認されています。これにより、脅迫の信憑性が高まり、交渉を有利に進める環境が整っています。

結果として、「支払わせやすい構造」が完成していることが、増加の本質的な要因です。

＼ランサムウェア感染調査に特化したチームが対応中／

ダブルエクストーションの攻撃手法

ダブルエクストーションは単発の攻撃ではなく、複数の段階を経て実行される組織的なプロセスです。

データ窃取＋暗号化の流れ

一般的なダブルエクストーションの流れは以下の通りです。

1. 初期侵入（VPN機器や脆弱性、認証情報の不正利用など）
2. 権限昇格・内部ネットワークの横展開
3. 機密データの特定と収集
4. 外部サーバーへのデータ送信（窃取）
5. システムおよびファイルの暗号化
6. 身代金要求と脅迫開始

この一連の流れにより、企業は攻撃の発覚時点で既に「情報を盗まれている状態」にあります。つまり、検知＝被害発生後であるケースがほとんどです。

リークサイトによる脅迫の仕組み

攻撃者は独自のリークサイトを運営し、身代金に応じない企業の情報を段階的に公開します。

最初は一部のサンプルデータを公開し、「実際に情報を保有している」ことを証明します。その後、期限を設けて支払いを迫り、応じない場合はデータ全体を公開する、あるいは第三者へ販売するケースもあります。

このプロセスにより、企業は以下の複合的リスクに晒されます。

• 個人情報・機密情報の漏えい
• 取引先や顧客からの信用失墜
• 法的責任・損害賠償
• 二次被害（フィッシング・詐欺など）

これらの被害は単なるシステム障害にとどまらず、事業継続や取引関係に直接的な影響を与える経営リスクへと発展します。

＼ランサムウェア感染調査に特化したチームが対応中／

実際のダブルエクストーションの被害事例

デジタルデータフォレンジックには、ランサムウェア感染によって発生したダブルエクストーションについて複数の企業からの相談が寄せられています。これらの事例からは、被害が単一の問題にとどまらず、さまざまな形で顕在化することが分かります。

例えば、ある企業ではランサムウェア感染によりシステムが停止し、事業継続に支障が出る事態となりました。

一方で、別の企業では情報漏えいの可能性に関して、警察から連絡を受けるケースも確認されています。

また、顧客から情報漏えいの有無や影響範囲について報告を求められるケースもあり、対外的な説明対応に追われる企業も少なくありません。

さらに、別の事例では、実際に攻撃者とみられる海外の人物から複数回にわたる電話での脅迫を受け、心理的な圧力の中で身代金支払いの対応を迫られる状況も発生しています。

このように、ダブルエクストーションの被害は企業ごとに現れ方が異なるものの、共通しているのは「システム障害」「情報漏えい対応」「対外対応」が同時並行で発生する点です。

出典：お客様の声

ダブルエクストーション被害に遭った場合のリスク

ダブルエクストーションの被害は、IT部門に限定された問題ではなく、法務・広報・経営を含む全社的なリスクへと波及します。
特に、被害の全体像が不明確なまま意思決定を迫られる点が、企業にとって最大の課題となります。

法的リスク・賠償問題

情報漏えいが発生した場合、個人情報保護法をはじめとする各種法令への対応が求められます。具体的には以下の対応が必要となる可能性があります。

• 監督官庁への報告
• 本人（顧客・従業員）への通知
• インシデント内容の公表

しかし実務上の最大の問題は、被害範囲が特定できていない状態で報告を求められることです。

不正確な情報を開示すれば、後の訂正により信頼を損ない、
逆に報告が遅れれば、法的リスクや行政指導の対象となる可能性があります。

事業継続リスク（BCP観点）

システム停止による業務影響は短期的な問題に見えますが、実際には中長期的な事業継続リスクへ発展します。

• 基幹システム停止による業務停止
• サプライチェーンへの影響
• 復旧遅延による機会損失

さらに、復旧後であっても、情報漏えいの影響により取引条件の見直しや契約停止が発生する可能性があります。

レピュテーションリスク

情報漏えいが公表された場合、企業の信用は短期間で大きく毀損します。

• 顧客離れ
• 新規取引の停滞
• 採用活動への影響

特に近年は、SNSやメディアを通じた情報拡散により、影響が長期化・広域化する傾向があります。

対外対応・コミュニケーションリスク

被害発生後、企業は複数のステークホルダーへの同時対応を求められます。

• 顧客・取引先からの問い合わせ対応
• メディア対応（記者会見・リリース）
• 社内外への説明責任の履行

この際、情報が不十分なまま対応すると、説明の不整合が生じ、さらなる信頼低下を招きます。

意思決定リスク（経営判断）

ダブルエクストーションにおいては、短期間で重大な経営判断を行う必要があります。

• 身代金支払いの可否
• 情報公開のタイミングと範囲
• 公表戦略の策定

これらはすべて、被害の実態が把握できていなければ適切に判断できません。つまり、情報の不確実性そのものがリスクとなる構造です。

こうした複合的なリスクに適切に対応するためには、まず被害の全体像を正確に把握することが不可欠です。
そのためには、専門的な調査による事実確認が前提となります。

＼ランサムウェア感染調査に特化したチームが対応中／

ダブルエクストーション被害の発生時にやるべきこと

ランサムウェアに感染し、ダブルエクストーションの被害が疑われる場合、初動対応の内容と順序が被害規模を大きく左右します。
特に重要なのは、証拠を保持しながら状況を正確に把握することです。

やってはいけない対応

被害発覚直後に行われがちな対応の中には、状況を悪化させるものがあります。

• 不用意な再起動
• ログやデータの削除
• 独自判断での復旧作業

これらの対応は、攻撃の痕跡やログを消失させ、侵入経路や被害範囲の特定を困難にする原因となります。

フォレンジック調査の重要性

ダブルエクストーションでは、攻撃者が既に内部に侵入し、データを窃取している可能性が高いため、表面的な復旧だけでは不十分です。

被害の全体像を把握するためには、ログ解析や端末調査などを通じて、以下の点を明らかにする必要があります。

• 侵入経路
• 攻撃者の内部活動範囲
• 情報流出の有無および対象データ
• 被害発生の時系列

これらを把握しなければ、適切な対外説明や再発防止策の策定はできません。

ランサムウェア感染調査会社に相談する

ランサムウェア感染に伴うダブルエクストーションが疑われる場合、被害の正確な把握には高度な専門知識と技術が必要となります。
そのため、社内対応のみで全容を解明することは困難なケースが大半です。

特に、ログや通信履歴などの重要な証拠は時間の経過とともに上書きされるため、対応が遅れるほど調査可能な範囲は限定されていきます。
つまり、初動の遅れそのものが調査不能リスクにつながります。

専門の調査会社に依頼することで、以下の対応を一貫して実施することが可能です。

• 侵入経路および攻撃手法の特定
• 情報流出の有無および対象範囲の把握
• 対外説明に必要な客観的根拠の整理
• 再発防止策の策定

これにより、企業は不確実な状況の中で判断するのではなく、事実に基づいた意思決定を行うことが可能になります。

被害の全体像が不明確な段階であっても、早期に専門業者へ相談することが、結果的に被害拡大の防止と対応コストの最小化につながります。