まず名前の話から。「ランサムウェア」はransom（身代金）＋ software の合成語です。ノーウェアランサムはそこから ware（ソフトウェア）を no（無く）した、という組み立てになっています。「身代金は要求するが、そのための専用プログラムは使わない」という意味です。

ではどうやって脅すのか。盗んだデータそのものが人質になります。暗号化して手元のデータを使えなくする必要はありません。「これを公開されて困るのはあなたですよね」という一点で交渉が成立するからです。

警察庁の資料は、この手口について次のように触れています。

短い記述ですが、統計編ではこの手口を従来型のランサムウェアとは分けて集計しており、その集計は2023年（令和5年）上半期から始まっています。数年前まで統計の区分にすら存在しなかった手口だ、ということです。

第1章 おわり — 次は第2章

暗号化は攻撃者にとって強力な武器のはずでした。それをあえて省く理由は何でしょうか。攻撃者の立場に立って並べてみると、理由がはっきりします。

攻撃者側の合理性を筆者が整理したものです。公式な分析ではありません。

並べてみると、最後の行以外はすべて「暗号化しない」側が有利です。攻撃者は交渉材料を1つ手放す代わりに、手間・検知リスク・発覚リスクのすべてを下げています。

もう1点、見落とされやすい理由があります。暗号化は被害組織を追い詰めすぎるのです。業務が完全に止まれば、その組織は公表せざるを得ず、警察も動き、報道もされます。金を払う余裕すら失うかもしれません。業務が止まらないほうが、静かに交渉が進む可能性が高い、という計算が働き得ます。

第2章 おわり — 次は第3章

ノーウェアランサムの進み方は、二重恐喝の攻撃から最後の暗号化だけを抜いたものだと考えるとわかりやすいです。侵入し、権限を取り、内部を探索し、データを持ち出す。ここまでは同じで、その先がありません。

問題は、その「ありません」が意味することです。段階ごとに、何を手がかりに気づけるのかを並べてみます。

警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の攻撃の流れの記述をもとに、筆者が「目で気づけるか／ログで気づけるか」の2軸で整理しました。公式な分類ではありません。

「人が目で気づけるか」の列を上から下まで見てください。ほぼすべて「気づけない」です。従来型のランサムウェアなら、この列の最後に「ファイルが開けなくなる」という決定的なサインが入りました。それが無いのがノーウェアランサムです。

一方で「ログを見れば気づけるか」の列は、段階4まですべて「気づける」です。つまりこの手口は、ログを見ている組織には見えていて、見ていない組織にはまったく見えないという性質を持ちます。

第3章 おわり — 次は第4章

混同されやすい言葉を整理します。ノーウェアランサムは、隣にある3つの言葉と1点ずつ違います。

分類は警察庁資料の記述をもとに筆者が整理したものです。

この表の使いどころは、社内で説明するときです。「暗号化されていないから二重恐喝ではない」「金銭を要求されているから単なる情報漏えいではない」というふうに、1列ずつ確認していけば呼び名が決まります。呼び名が決まれば、参照すべき対応手順も決まります。

第4章 おわり — 次は第5章

個人が組織と同じ形でノーウェアランサムの標的になることは、一般的ではありません。ただし構造がそっくりな出来事は個人にも起きます。クラウドストレージやSNSのアカウントを乗っ取られ、保存していた写真やファイルを盗まれ、「ばらまかれたくなければ払え」と要求される、という形です。

共通しているのは「何も壊されないので気づきにくい」という点です。乗っ取られてもログインはできますし、ファイルもそのまま残っています。

優先順位は筆者の整理です。

第5章 おわり — 次は第6章

ノーウェアランサムに対する備えは、従来型のランサムウェア対策と7割は同じで、3割が違います。同じなのは入口対策です。違うのは、バックアップの比重が下がり、検知とログの比重が上がることです。

効果の評価は、警察庁資料が示す攻撃の流れをもとにした筆者の整理です。製品や環境によって結果は異なります。

この表で最も重要なのは2行目です。オフラインバックアップは、ノーウェアランサムにはほとんど効きません。バックアップは今も必要な備えですが、それだけを根拠に「うちは大丈夫」と言えなくなった、という理解が必要です。

代わりに3行目と4行目が最上位に来ます。とくに外向きの大量通信は、この手口で唯一と言っていい能動的な検知ポイントです。夜間や休日に、普段は外部と通信しないサーバーから大量のデータが出ていく。そこに気づけるかどうかがすべてになります。

第6章 おわり — 次は第7章

ノーウェアランサムの被害は、たいてい攻撃者からの連絡で発覚します。メールが届く、あるいはリークサイトに社名が載る。そこで初めて分かります。

このとき起きがちなのが、「本当かどうか確かめてから動こう」という判断で時間を失うことです。システムは正常に動いているので、緊急事態という実感が湧きません。しかし、実際にはすでに情報が外に出ています。

警察庁資料の「ランサムウェア被害後の対応策」および実務上の整理にもとづく筆者のまとめです。個別の判断は専門家にご確認ください。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ