2026年4月、JIPDEC（日本情報経済社会推進協会）から公表された『企業IT利活用動向調査2026』は、日本のサイバーセキュリティ対策における「希望的観測」を根底から覆すものだった。
多くの経営者が、万が一の際には「身代金を払えば、少なくともデータは戻るだろう」という淡い期待を抱いている。しかし、今回暴かれた数字はその期待がいかに無惨なギャンブルであるかを冷徹に物語っている。
1. 「44.2％」という救済の嘘：支払い企業に訪れる残酷な現実
まず、私たちが直面している「絶望的な数字」を整理しよう。調査対象1,107社のうち、約半数に近い45.8％が感染を経験し、その中の43.8％（222社）が身代金を支払った。
ここで最も注視すべきは、感染企業全体における「復旧の成否」の内訳だ。
| 感染後のステータス | 割合（感染企業内） | 意味するもの |
| 身代金を支払い、復旧できた | 20.2% | 支払っても救われるのは5社に1社 |
| 身代金を支払ったが、復旧できなかった | 25.6% | 支払った企業の58.4%が「無駄金」 |
| 支払わずに、復旧できなかった | 28.4% | 準備なき不払いの末路 |
| 支払わずに、復旧できた | 約25.8% | 真の勝者（バックアップ体制の勝利） |
支払った企業の「6割弱」は何も取り戻せない
単純計算をすれば、身代金を支払った222社のうち、実に約130社（58.4%）が「金を払ったのにデータもシステムも戻らなかった」という最悪の結末を迎えている。
これは「一か八か（50%）」という博打ですらなく、最初から負け越している賭けだ。攻撃者が約束を守る「誠実さ」など、このビジネスモデルには最初から組み込まれていない。
2. 狙われる「製造業」と「中小企業」の脆弱な防衛線
今回の調査では、業種や規模による「傷の深さ」の違いも鮮明になった。
製造業：感染率57.1%という異常事態
全業種で最も感染率が高かったのは製造業だ。スマートファクトリー化が進み、生産ライン（OT）がネットワークに繋がったことで、攻撃者にとって「工場を止める」という脅迫が極めて容易になった。彼らは、納期に追われる製造業の「弱み」を熟知している。
中小企業：感染すれば86%が「詰む」
従業員300人未満の中小企業における復旧成功率は、わずか14%。これは、大企業の復旧率と比較しても極めて低い。中小企業にとってランサムウェアは「一時のトラブル」ではなく、そのまま「廃業」へと直結する致命傷であることをこの数字は示唆している。
3. なぜ「エリート経営者」は藁をも掴んでしまうのか
企業のトップに立つ冷静な人間たちが、なぜ成功率4割強という低い賭けに50億円もの身代金を投じてしまうのか。そこには、パニック状態における特有の心理トラップがある。
-
「何かをしなければならない」という強迫観念： 停止したライン、止まった受注。目の前の地獄を止めるために、37%（※感染全体の中での支払い復旧率）という低い数字が「唯一の光」に見えてしまう。
-
責任という名の劇薬： 「社員を守るため」「取引先に迷惑をかけないため」という正義感が、犯罪組織へ資金を供与するという長期的リスクを麻痺させる。
-
孤立無援の午前3時： 誰にも相談できない状況下で、攻撃者が提示するカウントダウンタイマーに追い詰められ、指が決済印へと向かってしまう。
4. 略奪者の肖像：日本のアパートで「ネロ」になるために
私たちは、自分たちを脅迫している相手が「冷酷なマシーン」だと思いがちだ。しかし、その実態はRaaS（Ransomware as a Service）という高度なサブスクリプションを駆使する、極めて「人間的な欲望」に忠実な組織だ。
彼らの多くは、ロシアや旧ソ連圏の「飢えたナード（オタク）」たちである。彼らにとって日本のコンテンツや文化は、かつて情報の飢餓の中で憧れ続けた「聖地の芸術」だ。
彼らが奪い取った50億円。その金で彼らが買うのは、「日本の静かなアパートで、誰にも邪魔されずアニメを観て暮らす」という、歪んだ平穏である。
ネロが凍える体でルーベンスの絵を渇望したように、彼らもまた「救済としてのコンテンツ」を求めている。だが、その代償として、日本の数万人の従業員の日常を焼き払っているのだ。
5. 「37%の勝者」が辿る、さらなる闇
運良くデータを復旧させた83社（37%）が、その後どうなったか。調査データはそこまで詳細に語らないが、セキュリティの現場では周知の事実がある。
一度支払った企業は、ダークウェブ上で「優良顧客リスト（カモリスト）」に登録される。
-
再攻撃率の高さ： 支払い実績がある企業は、別のグループからも「あそこは金を出す」と狙われる。
-
100%の汚染： 犯人の鍵で開いたデータには、次回用のバックドアが仕掛けられている。
結局、身代金を払っても、その後には「数億円規模のシステム全刷新（Wipe & Rebuild）」が待っている。50億円を払って手に入れたのは、「一時的な静寂」と「終わりのない恐怖」でしかない。
結論：最強の盾は、ツールではなく「諦め」という知性
今回のJIPDEC調査が私たちに突きつけた真実。それは、「払わない」ことは道徳の問題ではなく、最も「合理的」な経営判断であるということだ。
「払わない」ことを選択するには、一つの覚悟が必要になる。それは、南さんがかつて仰ったような「存在しなくても仕方ない」という成熟した諦めだ。
-
オフライン・バックアップを死守する。
-
感染を前提としたBCP（事業継続計画）を策定する。
-
PPAPのような古い慣習を、経営者の決断で断ち切る。
「今夜、全システムが暗号化されたとして、我が社は1円も払わずに立ち直れるか？」
この問いにYESと言える準備こそが、50億円を要求してくる犯罪者から「交渉権」を奪い取る、唯一無二の武器になる。AIが攻撃を加速させるこれからの時代、最後にあなたを救うのは、最新のソフトではなく、リーダーとしての「揺るぎない覚悟」なのである。
