RaaS（Ransomware-as-a-Service）とは？サイバー攻撃の「産業化」が企業にもたらすリスク｜ハチマルヤ合同会社（808）

RaaS（ランサムウェア・アズ・ア・サービス）とは、ランサムウェア攻撃をサブスク形式で提供する闇ビジネスです。技術力ゼロでも攻撃が可能になった背景・ビジネスモデルの実態・企業が取るべき対抗策を、ハチマルヤ合同会社（808）が解説します。

—

「サイバー攻撃の『サブスク』があるって、知っていましたか？」

NetflixやSpotifyのようなサブスクリプション（定額課金）モデルが、いまサイバー犯罪の世界でも爆発的に広がっています。その名も、「RaaS（Ransomware-as-a-Service）」。

「月額299ドルから始められる！」「初心者でも安心の24時間サポート付き！」「満足いただけなければ全額返金！」——冗談のような宣伝文句ですが、これらはダークウェブ上で実際に展開されているビジネスの実態です。

技術力がなくても料金を払えば誰でも攻撃を実行できる環境が整い、サイバー犯罪は「産業」として完全に組織化されています。この記事では、RaaSの全貌と企業が取るべき対策を、ハチマルヤ合同会社（808）が解説します。

---

1. サイバー攻撃が「サブスク化」している

かつての攻撃と何が違うのか

かつてサイバー攻撃は、高度な技術力を持つハッカー集団が長期間かけて準備し実行するものでした。しかし、現在は根本的に状況が変わっています。

技術力ゼロでも、料金を払えば今日から攻撃を実行できる——そんな時代が到来しています。

RaaSとは何か

RaaS（Ransomware-as-a-Service / ランサムウェア・アズ・ア・サービス）とは、ランサムウェア攻撃に必要な「ウイルス本体」「管理システム」「身代金回収の仕組み」などをパッケージ化して「サービス」として提供するビジネスモデルです。

	従来のランサムウェア攻撃	RaaS（現在）
必要な技術力	高い（プログラミング・セキュリティ知識が必要）	不要（サービスを購入するだけ）
参入コスト	高い（ツール開発に数ヶ月〜数年）	低い（月額数百ドルから）
攻撃者の規模	少数の高度犯罪集団のみ	誰でも参入可能

なぜ爆発的に広がっているのか

理由は単純です。「儲かるから」であり「手軽だから」です。

攻撃が「民主化」し、副業感覚で犯罪に参入することが技術的に可能になりました。開発者は攻撃リスクを負わずにツール利用料で安定収益を得られ、利用者（攻撃者）は開発の手間なく低コストで攻撃を実行できます。RaaS市場は年々拡大し、今や数百億ドル規模の産業になっているとみられています。

---

2. 闇のビジネスモデルの実態

ダークウェブ上では、驚くほど整備されたサービスが展開されています。

料金プランの例

正規のSaaSビジネスと見紛うような階層型プランが設定されています。

エントリープラン（月額$299〜500）

• 基本的なランサムウェア機能＋メールサポート
• 身代金の取り分：70%

スタンダードプラン（月額$999〜1,500）

• データ窃取機能（二重恐喝用）＋24時間チャットサポート
• 身代金の取り分：75〜80%

完全成功報酬型（初期費用0円）

• 初期費用なし。身代金が支払われた際に20〜30%を手数料として支払う。

顧客サポートの充実

RaaSの運営者は、利用者（攻撃者）を「大切な顧客」として扱います。

• 直感的なダッシュボード：攻撃成功数・感染PC台数・獲得した身代金がグラフで表示される。
• 多言語24時間チャットサポート：平均15分以内に回答。
• チュートリアル動画とフォーラム：攻撃マニュアルや「効果的なターゲットの選び方」まで完備。
• 品質保証（SLA）：「暗号化に失敗したら全額返金」「満足度95%保証」などの条件が設定されている。

---

3. RaaSのビジネスモデルを解剖する

RaaSが組織化されているのは、合理的な「分業システム」として設計されているからです。

プレイヤーの役割分担

プラットフォーム開発者（Developer）：高度な技術力を持つハッカー集団。ランサムウェアの開発・サーバー運営・サポート提供に専念。自分で攻撃するリスクを負わずに、ツール利用料で安定収益を得る。

アフィリエイト（Affiliate）：RaaSを利用する攻撃者（実行犯）。ターゲット企業の選定・侵入・ランサムウェアの散布・身代金交渉を行う。開発スキルなしで高い収益を狙える。

被害企業：ターゲットとなる側。

異常なROI（投資収益率）

たとえば月額1,000ドルのプランで中小企業1社から5万ドルの身代金を奪った場合、手数料を差し引いても投資収益率は約4,000%に達します。この「割の良さ」が新たな参入者を引き寄せ続けています。

---

4. 法執行機関との「いたちごっこ」

警察・FBIなどが動いていないわけではありません。2024年には「LockBit」、2023年には「Hive」といった巨大RaaSが摘発されました。

しかし、根絶は極めて困難です。

• 地理的分散：開発者・サーバー・利用者が世界各地に散らばり、一斉摘発が難しい。
• 匿名性：ダークウェブと暗号資産を使うため、追跡が困難。
• ビジネスの強靭性：1つのRaaSが摘発されても、流出した技術・人材を活用して後継サービスがすぐに立ち上がる。

需要がある限り供給は生まれ続ける。この構造的課題は当分続くとみられています。

---

5. 企業が取れる唯一の対抗策——「需要を断つ」

警察だけでは完全に止められないとすれば、企業側にできることは何か。

答えは明快です。「攻撃しても儲からない環境を作ること」です。

RaaSはビジネスです。攻撃コストに対して得られる利益（身代金）が少なければ、攻撃者は撤退します。

「攻撃コスト」を上げる対策

VPNの穴を塞ぐ・多要素認証（MFA）を導入する：侵入の手間が何倍にも増えます。「ここは面倒だ」と思わせることができれば、より手薄なターゲットへ矛先が向きます。

バックアップで「身代金支払い」を拒否できる状態にする：データが自力で復旧できれば、身代金を払う必要がなくなります。「攻撃しても金にならない」とわかれば、RaaS市場全体の縮小につながります。

セキュリティ投資は「コスト」ではありません。犯罪者のROIを下げ、自社と社会を守るための「投資」です。

---

まとめ

• RaaSとは、ランサムウェア攻撃をサブスク形式で提供する闇ビジネス。技術力がなくても月額料金で攻撃が可能になった。
• 開発者・アフィリエイト（実行犯）の分業体制により、RaaSは産業として完全に組織化されている。
• 法執行機関との「いたちごっこ」が続き、RaaSの根絶は当面困難な状況。
• 企業が取れる対抗策は「攻撃しても儲からない環境を作ること」。VPN脆弱性対策・MFA導入・オフラインバックアップが有効。
• セキュリティ投資は犯罪者のROIを下げる「投資」として位置づける必要がある。

---

ハチマルヤ合同会社（808）では、RaaSをはじめとするランサムウェア脅威への対策支援を行っています。現状のセキュリティレベルの診断から最新脅威に対応した対策プランの策定・従業員教育の実施支援まで、「何から始めればいいかわからない」という段階からご相談を受け付けています。

---

参考資料・出典

※1 FBI Internet Crime Complaint Center（IC3）「Internet Crime Report 2023」
https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf

※2 Europol「Internet Organised Crime Threat Assessment（IOCTA）2023」
https://www.europol.europa.eu/cms/sites/default/files/documents/Europol_IOCTA_2023.pdf