言葉のポイントは、「二重恐喝」はマルウェアの名前ではないということです。「LockBit」や「Qilin」はランサムウェアの種別の名前ですが、「二重恐喝」はそれを使ってどう脅すかというやり方を指しています。ですから「二重恐喝ウイルスに感染した」という言い方は、厳密には少しずれています。

警察庁の資料は、現在の状況をこう記述しています。

「多数確認されている」という表現に注目してください。脅すだけで終わらず、実際に公開されているということです。

なお、脅しの段数はさらに増えることがあります。整理すると次のようになります。

三重・四重という呼び方は業界で使われる整理であり、警察庁の資料で定義された区分ではありません。警察庁の資料で明確に扱われているのは二重恐喝と、暗号化を伴わない手口（ノーウェアランサム）です。

第1章 おわり — 次は第2章

二重恐喝が生まれた理由は、実はとてもわかりやすいものです。バックアップが普及したからです。

暗号化だけの攻撃は、被害組織がバックアップから復旧できてしまえば1円も取れません。攻撃者から見ると、それまでの侵入と潜伏の手間がすべて無駄になります。そこで攻撃者は、復旧されても効き目が残る材料を探しました。それが「盗んだデータを公開する」という脅しです。

攻撃者側の合理性を筆者が整理したものです。公式な分析ではありません。

この表の3行目が本質です。二重恐喝は被害組織を「黙っていられない状態」に追い込む手口だと言えます。復旧できたかどうかに関係なく、個人情報が外に出た可能性がある時点で、組織には別の義務が発生します。その話は第6章で扱います。

実際に盗まれたデータは、攻撃グループがダークウェブ上に用意したリークサイトに掲載されます。ここが「公開する」の中身です。段階的に少しずつ公開して支払いを促す、という進め方も見られます。

第2章 おわり — 次は第3章

二重恐喝でいちばん誤解されているのが順番です。「暗号化された。その後データも盗まれたらしい」と受け取られがちですが、実際は逆です。警察庁が示す攻撃の流れでは、データの持ち出しが先、暗号化が最後です。

攻撃者はネットワーク内部を探索して重要データとバックアップの場所を把握し、データをクラウドストレージなどへアップロードして窃取したあとに、暗号化を実行します。つまり画面に脅迫文が出た時点で、窃取はとっくに完了しています。

警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の「ランサムウェア攻撃の代表的な流れ」の記述をもとに、筆者が「バックアップ」「情報漏えい」の2軸で整理しました。公式な分類ではありません。

この表が示しているのは、「バックアップの有効性」と「情報漏えいの成否」が別々に進行しているということです。バックアップは4行目で無効化されますが、情報漏えいはその1つ前の行ですでに確定しています。

つまり、完璧なオフラインバックアップを持っていて1日で完全復旧できた組織でも、情報漏えいの被害はまったく減っていません。これが二重恐喝の設計の核心です。

第3章 おわり — 次は第4章

もうひとつ、二重恐喝の周辺でよく混同される言葉を整理します。

分類は警察庁資料の記述をもとに筆者が整理したものです。

この表を横に見ていくと、「窃取する」の列がほとんど埋まっていることがわかります。暗号化するかどうかは攻撃者の選択にすぎず、共通しているのはデータを持ち出すことです。対策の重心を「復旧できる体制」から「持ち出しに気づける体制」へ移す必要がある、というのがこの表の結論です。

第4章 おわり — 次は第5章

二重恐喝の直接の標的は企業・団体です。個人が二重恐喝を受けることは一般的ではありません。しかし個人にとって二重恐喝は、「自分の情報が、自分の知らないところで公開される」という形でやってきます。

2025年下半期に国内で起きた事案では、1社で顧客や従業員の個人情報が約191万件、別の1社で約74万件、漏えいまたはそのおそれがあるとされました（警察庁資料の記載）。この件数の中には、その企業を利用しただけの一般の人が大量に含まれています。

優先順位は筆者の整理です。

第5章 おわり — 次は第6章

ここがこの記事でいちばん伝えたい章です。二重恐喝を受けた組織が直面するのは、システムの復旧作業だけではありません。個人データが漏えいした（またはそのおそれがある）場合、個人情報保護委員会への報告と、本人への通知が義務になる場合があります。そして、それには期限があります。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」および「漏えい等報告・本人への通知の義務化について」（2026年8月16日確認）。報告義務の対象となるのは、要配慮個人情報が含まれる事態、財産的被害が生じるおそれがある事態、不正の目的をもって行われた漏えい等が発生した事態、1,000人を超える漏えい等が発生した事態、の4類型です。個別の該当性は必ず一次情報と専門家にご確認ください。

この表を、第3章の時系列と重ねてみてください。「発覚日」から数え始めます。脅迫文を見つけた日から3〜5日で、まだシステムも復旧していない状態で、第一報を出さなければならない可能性があります。

以上を踏まえた、組織としての備えを優先度順に並べます。

「重さ」は筆者の評価です。組織の規模・体制によって異なります。侵入経路の割合は警察庁資料より。

第6章 おわり — 次は第7章

二重恐喝の初動は、通常のランサムウェア被害の初動に「情報漏えいとしての対応」が重なります。時計が2つ動き始める、と考えてください。1つは復旧の時計、もう1つは報告期限の時計です。

1〜4は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の「ランサムウェア被害後の対応策」にもとづきます。5・6は報告義務および実務上の整理です。個別の判断は専門家にご確認ください。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ