何が起きたのか：Akiraアフィリエイトのセーフモードでの誤算

ランサムウェア集団は、自社のマルウェアがスムーズに動作するように多大な労力を費やしている。だから、あるAkiraのアフィリエイトがたった一つのまずい判断で自らの攻撃を台無しにしたと知るのは、少し溜飲が下がる話だ。

このインシデントに関する報道によると、Akiraランサムウェアのアフィリエイトは、侵害した被害者のコンピューターをセーフモード（通常はトラブルシューティング用に用意されたWindowsの縮小起動モード）で再起動した。狙いは単純だ。セーフモードは最小限のドライバーとサービスのみを読み込むため、通常ならエンドポイント検出・対応（EDR）ツールやウイルス対策ソフトの起動を止められる。攻撃者は、これらの防御が動いていなければ、暗号化ペイロードが邪魔されずに作業を完了できると考えたのだ。

ところが、その再起動は攻撃者自身の暗号化ツールを壊してしまった。被害者のセキュリティソフトを停止させたのと同じ制限環境が、マルウェアの動作に必要なコンポーネントまで取り除いてしまったのだ。攻撃は途中で停滞し、アフィリエイトが慎重に計画した恐喝の試みは、暗号化プロセスが完了する前に崩れた。

これは、深刻な事件の中にある小さな、ほとんどブラックコメディのような一幕だ。ランサムウェアグループも常に正しくやれるわけではなく、彼らのツールも侵害されたネットワーク上で動く他のソフトウェアと同じくらい脆いことがある。

セーフモードが防御だけでなく暗号化ツールまで壊した理由

セーフモードは、コアドライバーとシステムサービスのみを読み込むことで、ITスタッフやユーザーが不調なWindowsマシンをトラブルシューティングできるようにするために存在する。過去にランサムウェアのオペレーターがセーフモードに頼ってきたのはまさにこのためだ。多くのEDRエージェントやウイルス対策製品は通常のスタートアップサービスとして設定されており、この制限された状態ではWindowsがそれらを読み込まない。理屈の上では、暗号化ツールが誰にも何にも邪魔されずにファイルをロックするための進路が開ける。

問題は、セーフモードがセキュリティソフトだけを選択的に無効化するわけではないという点だ。これは全か無かの環境であり、どのドライバー、サービス、システムコンポーネントがそもそも利用可能かを制限する。暗号化ツールがその最小限の範囲外の何かに依存している場合、それが特定のドライバーであれ、バックグラウンドサービスであれ、マルウェア作者が考慮しなかった依存関係であれ、ペイロードは、回避しようとしていたウイルス対策製品と同じくらい簡単に失敗し得る。

今回のケースでは、Akiraアフィリエイトのツールはどうやら、そのような切り詰められた状態でも動くようには作られていなかった。暗号化ツールはセーフモードでは提供されない何かを必要としており、攻撃は自らの重みで崩壊した。これは、攻撃用ツールもまたソフトウェアであり、実行環境についての前提を持つ人々によって作られるということを思い出させる。その前提が崩れたとき、どれほどリソースのあるランサムウェア活動でさえ、自らの手順書につまずくことがあるのだ。

攻撃者は通常、暗号化前にどのようにセキュリティツールを無効化するのか

セーフモードでの再起動は、ランサムウェアのアフィリエイトが暗号化ツールを展開する前に道を開けるために使ういくつかの手法の1つにすぎない。他には、盗んだり侵害したりした管理者資格情報を使ってEDRエージェントを手動でアンインストールまたは無効化する、セキュリティプロセスを終了させるために特別に設計されたツールを展開する、脆弱なドライバーを悪用して保護されたサービスを停止する、ウイルス対策設定に関連するレジストリキーやグループポリシー設定を変更する、などがある。

これらの手法すべてに共通するのは、攻撃者が、たとえ短時間でも、セキュリティツールが監視していない隙間を必要としているということだ。ランサムウェア活動が暗号化ツールに触れる前のアクセスと偵察の段階に多くの時間を費やす理由の一部はここにある。Akiraの被害者ターゲティングのより広範なパターンを見ると、このグループが幅広い業界や企業規模に対して活動しており、場当たり的な即興というより、かなり再現性のある手順書を持っていることがうかがえる。その一貫性があるからこそ、今回のセーフモード失敗のようなミスは注目に値する。通常は十分に練られたプロセスに生じた珍しいほころびなのだ。

Akira型攻撃に直面する組織への多層防御の教訓

明白な教訓は、組織がすべての攻撃者に今回のようなミスを期待すべきだということではない。攻撃をきれいに成功させにくくするのは、単一のツールではなく多層防御だということだ。ネットワークが1つのウイルス対策製品だけを唯一の防御線として依存している場合、セーフモードでの再起動や資格情報を使った停止だけで、その防御は一挙に無力化され得る。一方、改ざん防止機能を備えたEDR、制限されたローカル管理者権限、ネットワークセグメンテーション、監視されたブート構成を運用している組織は、暗号化が始まる前に攻撃者が失敗したり捕捉されたりする機会をはるかに多く与える。

このインシデントはまた、個々の話題に反応するのではなく、ランサムウェアの傾向を長期にわたって追跡する価値がある理由を浮き彫りにしている。Qilin、Akira、LockBit5を取り上げた2026年第2四半期のランサムウェアまとめは、これらのグループが四半期ごとに戦術をどう進化させているかについて有益な文脈を提供しており、セキュリティチームが単に対応するのではなく先手を打つのに役立つ。

これがあなたにとって意味すること

中小企業のITを管理しているなら、この話はいくつかの基本を確認する良いきっかけになる。EDRやウイルス対策には、再起動やレジストリの変更で簡単に無効化されないよう改ざん防止が有効になっているか。ローカル管理者権限は厳しく制限され、1つの侵害されたアカウントで攻撃者がスタートアップサービスを再設定できないようになっているか。本番システムでの異常な再起動やセーフモードの動きを実際に監視している人はいるか。それだけでも調査に値する危険信号になり得る。

これらはいずれも特殊なツールを必要としない。必要なのは一貫性と、セキュリティを単一のチェックボックスではなく多層的なものとして扱う姿勢だ。

実践可能なポイント

  • EDRやウイルス対策ツールで改ざん防止を有効にし、セーフモードでの再起動やレジストリ変更で無効化されないようにする。
  • ローカル管理者権限を制限し、攻撃者がシステムサービスを再構成しにくくする。
  • 予期しないセーフモードでの起動やサービス無効化イベントを、進行中の侵入の早期警告として監視する。
  • オフラインで検証済みのバックアップを維持し、暗号化が失敗または部分的に成功しても復旧に慌てずに済むようにする。

Akiraランサムウェアのセーフモード失敗は、高度な犯罪活動でさえ、彼らが悪用するのと同じ複雑さによって失敗し得ることを思い出させてくれる。強力で多層的な防御は攻撃を止めるだけでなく、攻撃者に何かがうまくいかなくなったとき、それが自分に有利に転ぶ確率を高めてくれる。