定義の文は、警察庁の資料の記述をほぼそのまま使っています。原文は次のとおりです。

この短い文に、RaaSの重要な点が3つ入っています。①環境一式を提供する ②見返りは身代金の分け前 ③技術力のない者でも攻撃できる。順に見ていきます。

まず「環境一式」です。提供されるのは暗号化するプログラムだけではありません。盗んだデータを公開するためのリークサイトも含まれます。攻撃を実行する側は、脅す舞台を自分で用意しなくていい、ということです。

次に「分け前」。開発グループは自分では侵入しません。実行者が成功したときにだけ収入が入ります。失敗のコストを実行者に負わせ、成功だけを回収する設計です。

そして「技術力のない者でも」。ここが防御側にとって最大の意味を持ちます。攻撃者の数が、技術者の数に制限されなくなったのです。

役割の分類は、警察庁資料の「開発・運営を行うグループ」「アフィリエイトと呼ばれる多数の実行者」という記述をもとに、公開されている捜査の経緯を加えて筆者が整理したものです。実際の組織構造は事案ごとに異なり、公式な分類ではありません。

第1章 おわり — 次は第2章

身も蓋もない話ですが、理由は普通の産業と同じです。分業したほうが効率がいいからです。

ランサムウェア攻撃を一人で最初から最後までやろうとすると、必要な能力が多すぎます。暗号化プログラムを書ける。侵入経路を見つけられる。社内ネットワークを動き回れる。交渉ができる。暗号資産を扱える。この全部ができる人間は多くありません。

そこで役割を切り分けると、それぞれの担当は1つの能力だけあればよくなります。結果として参加できる人数が増え、攻撃の総量が増えます。

分業の効果を筆者が整理したものです。公式な分析ではありません。

3行目と5行目が、防御の実務に直接効いてきます。警察庁の資料も、この点を明確に書いています。

つまり「◯◯というランサムウェアだから、こういう手口だ」という予測が立たないということです。同じ名前のランサムウェアでも、入り方も、居座り方も、盗み方も、実行者によって違います。「特定の攻撃パターンだけを塞ぐ」という守り方が成立しにくくなった、という意味でもあります。

第2章 おわり — 次は第3章

RaaSという言葉を知っても、それだけでは守り方は変わりません。大事なのは分業の結果として、攻撃のどの部分が変わったかです。段階ごとに整理します。

警察庁資料が示す攻撃の流れと、RaaSに関する記述をもとに筆者が整理しました。公式な分類ではありません。

この表で注目してほしいのは1行目と4行目です。

1行目。分業が進むほど、侵入は「買えるもの」に近づきます。だからこそ、侵入経路をつぶす対策の価値が下がるどころか上がります。警察庁の統計では侵入経路の6割以上がVPN機器でした。ここを管理することは、分業の一番上流を断つことに相当します。

4行目。リークサイトが標準で提供されるということは、実行者が「公開して脅す」を選ぶハードルがほぼゼロだということです。二重恐喝が主流になった背景には、この標準装備化があります。

第3章 おわり — 次は第4章

RaaSは「商売のかたち」の名前です。他の言葉とは指している階層が違うので、並べて整理しておきます。

例えは理解のための便宜的なもので、実態を正確に表すものではありません。

この階層がわかると、ニュースの見出しの意味が変わって見えます。「RaaSグループを摘発」は仕組みの元締めを止めた話。「LockBitの被害が減少」は特定のブランドが弱った話。「二重恐喝が主流」は脅し方の話。それぞれ別のレイヤーの出来事です。

第4章 おわり — 次は第5章

正直に書きます。RaaSは企業・団体を狙う仕組みであり、個人が直接の標的になることは一般的ではありません。この語を個人向けの脅威として煽るのは適切ではないと考えます。

ただし、個人と無関係かというとそうではありません。つながっているのは「侵入に使われる認証情報」の部分です。

攻撃者は、未修正の脆弱性のほかに「漏えいした認証情報や簡易なパスワード」を悪用して組織のネットワークへ侵入する、と警察庁は記述しています。この「漏えいした認証情報」は、どこかのサービスから流出したIDとパスワードの組み合わせです。

「漏えいした認証情報や簡易なパスワード」が侵入に悪用されるという記述は警察庁資料より。表の整理は筆者によるものです。

RaaSの分業構造では、この「使える認証情報」を集めることそのものが1つの役割として成立します。あなたのパスワードの使い回しが、分業のいちばん上流に材料を供給してしまう可能性がある、ということです。

第5章 おわり — 次は第6章

RaaSに対する特別な対策、というものはありません。RaaSは攻撃の商売のかたちであって、攻撃の手口そのものではないからです。効く対策はランサムウェア対策と同じです。

ただし、分業構造を理解していると優先順位のつけ方が変わります。分業の一番上流にあるのは「侵入経路と認証情報」です。ここを断つことは、下流の多様な手口すべてに対して同時に効きます。

「重さ」は筆者の評価です。組織の規模・体制によって異なります。侵入経路の割合は警察庁資料より。

上の3行はどれも、新しい製品を買わなくてもできることです。分業化された攻撃に対して、いちばん費用対効果が高いのは、いちばん地味な作業だというのが現実です。

第6章 おわり — 次は第7章

被害に遭った組織が通報をためらう理由はいくつもあります。公表したくない、捜査に時間を取られたくない、どうせ犯人は海外だから捕まらない。気持ちはわかります。

しかし、警察庁の資料には通報が実利につながった具体例が載っています。ここは他の解説記事ではあまり触れられない部分なので、詳しく紹介します。

ランサムウェアグループ「LockBit」に対する国際共同捜査（オペレーション Cronos）で、日本のサイバー特別捜査隊（当時）は、暗号化されたデータを復号するツールを独自に開発しました。そして2023年12月にはそのツールをEUROPOLに提供し、2024年2月には世界中の企業等で被害回復が可能となるよう情報発信を行っています。

同様に、ランサムウェアグループ「Phobos/8Base」についても、2025年7月にFBIの協力を得つつ、サイバー特別捜査部が復号ツールを開発しています。

そして、摘発は統計にはっきり表れています。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月）。件数はランサムウェア種別が判明した攻撃件数。Qilinについて資料は「割合が急増」と記載しており、具体的な件数は本記事では確認していません。

数字を見れば、摘発は明確に効いています。Phobos/8Base は23件から1件です。一方で、Qilinという別の種別が急増しました。これが第2章で見た分業構造の帰結です。元締めが1つ止まっても、実行者は別のサービスへ移ります。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ