Ransomware Frontline Report
2. 現在の脅威モデル：暗号化の前に何が起きるか
2.1 まず、ランサムウェアそのものだけを脅威と考えない
現代の事案では、侵入、認証情報の窃取・悪用、管理権限の獲得、データ収集、外部への持出し、暗号化、交渉が別のツールや担当者で行われ得る。防御側が「端末でランサムウェアを検出したか」だけを追うと、暗号化前の準備行為、あるいは暗号化を伴わない恐喝を見逃す。
この章のモデルは、実在の特定事件を再現する手順ではない。CISAとIPAが示す防御上の観点を、運用設計のために抽象化したものである。[S01][S06]
2.2 初期アクセス：入口は「穴」だけではない
初期アクセスとして一般に警戒すべき領域は、次の五つである。
| 領域 | 何が危険か | 防御上の問い |
|---|---|---|
| 認証情報 | 漏えい、再利用、フィッシング、認証疲労 | MFAがあるかではなく、例外を含めて突破されにくいか。 |
| 公開サービス | 未更新のVPN、リモートアクセス、境界機器、Web管理面 | 全公開資産を把握し、所有者・更新期限・監視を持つか。 |
| メール・人 | 添付、リンク、なりすまし、支払変更など | 入口制御と、報告しやすい訓練があるか。 |
| 委託先接続 | 保守用VPN、管理アカウント、API、SaaS連携 | 誰が何へ、いつまで、どのログ付きで接続できるか。 |
| 端末・持込資産 | 未管理端末、旧OS、共有端末、管理外ブラウザ | 組織資産として識別・更新・隔離できるか。 |
ここでの誤りは、「フィッシング対策をしたから入口は閉じた」と考えることである。Verizon 2025 DBIR は、既知の初期アクセス経路として認証情報悪用と脆弱性悪用を重要な要素として扱う。防御は、一つの経路を完璧にするより、複数経路で侵害の成立条件を減らす層状設計になる。[S03]
2.3 足場と探索：侵害済みのサインを見落とさない
攻撃者は、足場を得た後に「何があるか」を調べる。防御側から見れば、急な暗号化ではなく、その前段の次の変化が重要な観測点になる。
- ふだん使われない場所・時刻・端末からの認証成功。
- 新しい多要素認証要素、条件付きアクセスの例外、アプリ同意、メール転送設定。
- 管理グループ・特権ロールへの追加、共有アカウントの利用増加。
- 管理サーバー、ID基盤、バックアップ、仮想化、セキュリティ製品の管理画面への異常な接続。
- 複数システムにまたがる短時間の探索、共有・ディレクトリ・重要データへのアクセス集中。
各項目は、それ単独で悪性と断定できない。例えば夜間の管理操作は保守でも起きる。だからこそ、資産の重要度、利用者の通常行動、変更申請、端末の健全性、他のログを結び付けて判断する。ログを集めるだけでなく、誰が判断するか、夜間に誰を呼ぶか、どの行為を自動遮断してよいかを決める必要がある。
2.4 権限拡大と横展開：管理プレーンを守る理由
ランサム攻撃で危険なのは、個々のデータサーバーだけではない。IDプロバイダ、ディレクトリ、仮想化基盤、バックアップ管理、EDR・MDM、クラウドテナント、ネットワーク管理は、多数のシステムへ影響を持つ管理プレーンである。ここが侵害されると、攻撃者は防御設定の変更、認証情報の追加、復旧資産への到達などを狙える可能性がある。
この構造を理解するうえで重要なのは、個々の端末（Guest OS）だけを点検しても、その上位にある管理層まで安全だと確認したことにはならない、という点である。管理系の認証情報や制御機構がGuest OSとは別の層に存在する構成では、端末側でマルウェアが見つからないことをもって、環境全体の信頼性を判断できない場合がある。
実務判断：重要度の高い管理プレーンは、通常業務の端末や一般的なインターネット閲覧と同じ信頼境界に置かない。専用の管理端末、強い認証、最小権限、承認付きの一時昇格、詳細ログ、別経路の緊急アクセスを検討する。
「ネットワークを分割した」ことだけでも不十分である。分割を越える管理アカウント、同期アカウント、バックアップエージェント、リモート運用ツール、クラウド管理者がどこまで届くかを、実際の権限で検証する。
図4 管理プレーンと信頼境界
| 起点 | 到達先 | 防御上の確認 |
|---|---|---|
| 利用者・端末 | ID・認証、業務システム | 端末の健全性、MFA、最小権限があるか。 |
| 管理者・管理端末 | ID、仮想化、ネットワーク、バックアップ | 日常利用と分離し、操作ログを残しているか。 |
| ID・認証 | 業務システム、クラウド管理 | 特権・例外・セッションを継続的に監査しているか。 |
| バックアップ管理 | 復旧データ | 本番と異なる信頼境界で削除・変更を守っているか。 |
この信頼関係のどれか一つが強い権限で無制限につながると、局所的な侵害が広い停止へ転化しやすい。目的は製品構成を示すことではなく、権限と到達性をレビューすることである。
2.5 データ窃取：秘密性は可用性と同時に壊れる
二重恐喝において、攻撃者は暗号化より前にデータを持ち出すことがある。したがって、復号またはバックアップ復旧に成功しても、情報漏えいの調査と通知義務の検討は残る。Playに関するCISA勧告は、データ窃取後の暗号化を含む二重恐喝を説明している。[S08]
この局面で必要なのは、持出しを「外部IPの大量通信」だけで探さないことである。クラウドストレージ、正規のファイル共有、管理者アカウント、委託先連携を使う場合、通信が暗号化され、通常の業務に似ることがある。重要データの分類、アクセス監査、通常時のデータ移動量、外部共有の承認履歴があって初めて異常を判定しやすくなる。
2.6 実行と恐喝：最後の段階だけに賭けない
暗号化の兆候には、短時間の大量ファイル変更、複数ホストでの同時障害、復旧用資産やセキュリティ設定への異常操作などが含まれ得る。ただし、検知後に被害をゼロにすることは難しい。暗号化の瞬間だけを検知目標にすると、攻撃者が準備に使った時間を防御側が失う。
要求画面、メール、リークサイトの掲載は重要な証拠になり得る。スクリーンショットだけでなく、時刻、対象システム、通信ログ、変更履歴、影響を受けたアカウントを、改変しない方法で保全する。攻撃者に連絡するかどうかは、技術者だけで即断しない。法務、経営、保険、外部専門家、必要に応じた捜査機関との判断体制を平時に定める。
2.7 現況を数字で読むときの注意
IC3は2025年に、3,600件超のランサムウェア苦情と3,200万米ドル超の損失を報告した。[S02] しかし、これは支払った身代金、停止損失、復旧費、逸失利益、法務費、再発防止費のすべてを表す数字ではない。2023年の2,825件・5,960万米ドル超、2022年の2,385件・3,430万米ドル超とも、報告率や分類が違い得る。[S12][S13]
数字は危険度の証拠であって、正確な単価表ではない。自組織の優先順位は、外部統計の順位ではなく、停止した場合の業務影響、復旧時間、保持データ、接続先、権限構造で決めるべきである。