ランサムウェア攻撃は減少しているが、脅威はより鋭くなっている

セキュリティ企業Halcyonの新しい四半期レポートは、ランサムウェアの動向を追う者に複雑なメッセージを届けている。攻撃の総量は減少しているが、成功する攻撃の背後にある手口は、検知と阻止が格段に難しくなっているのだ。主な発見は、ランサムウェアグループが、ファイル暗号化マルウェアを展開する前にエンドポイント検出応答（EDR）ソフトウェアを無効化する、いわゆる「EDRキル」手法をまずます展開していることである。

EDRツールは、多くの組織がノートPC、サーバー、ワークステーション上で不審な動きが本格的な侵害に発展する前に検知するために依存しているセキュリティソフトだ。攻撃者が最初にそのソフトウェアを静かに停止したり視界を遮ったりできれば、ネットワーク内を移動し、データを窃取し、システムを暗号化する時間を稼げ、攻撃の最中に発見される可能性がはるかに低くなる。

特殊技術から標準手法へ

Halcyonの2026年第2四半期のデータによれば、かつては最も高度なランサムウェア集団だけの限定的で高度な技術能力と考えられていたものが、今では攻撃連鎖の日常的な一部となっている。エンドポイントセキュリティの無効化や回避はもはや例外ではなく、現代のランサムウェア運用を行うグループにとって、ますます当たり前の手段になりつつある。

この変化が重要なのは、EDRが、組織が侵入を早期に検知するために投資してきた主要な防御層の一つだったからだ。もしその層を無効化することが、稀な特注技術ではなく標準的で再現可能な手順になれば、それほど高度でないグループでもトップクラスの攻撃者と同じ結果を達成するためのスキル障壁が下がる。また、EDRのアラートが作動するといった従来の侵害の兆候がまったく現れず、データが盗まれたりシステムがロックされたりする前に、セキュリティチームが受ける警告が少なくなることも意味する。

Halcyonのレポートで強調されている皮肉は、ランサムウェア攻撃の生の数が減少しているのと同時に、この変化が起きていることだ。インシデントの数が減っても、必ずしもリスクが減ったとは限らない。むしろ、今起きている攻撃は、より標的を絞り、より多くのリソースを投じ、開始されると阻止するのがより困難である可能性がある。なぜなら、背後にいる攻撃者は、防御側が最も頼りにするツールを特に無効化するために手口を適応させているからだ。

これはITセキュリティだけでなくプライバシーにとっても重要である理由

EDRキル技術を、単にIT部門の純技術的でバックオフィス的な関心事と片付けたくなるかもしれない。しかし、その結果は、標的となる組織内にデータが保管されている一般の人々に直接降りかかる。今日のランサムウェア攻撃は、暗号化だけで終わることは稀で、グループは日常的にまず機密ファイルを外部に持ち出し、身代金が支払われなければそれを流出させると脅迫する。攻撃者が検知ツールを無効化し、長期にわたって妨害を受けずに行動できると、顧客記録、従業員ファイル、財務文書、企業独自のビジネス情報など、最も重要なデータを探し出してコピーする時間がより多く取れる。

Gentlemenランサムウェアがソジャ・デ・ポルトガルを攻撃し491GBが流出した最近の事例は、こうした攻撃が個人や企業にとって現実の情報露出につながることを明確に示している。その特定の事例がEDR回避を伴っていたかどうかは別として、攻撃者が足場を固め最小限の妨害で活動できる場合に、どれほどのデータが一掃されうるかを示している。

これがあなたにとって意味すること

ほとんどの読者にとって、これはパニックへの呼びかけではない。多くの組織が依存しているセキュリティ前提が変化していることへの注意喚起だ。あなたがITやセキュリティの仕事をしているなら、Halcyonの調査結果は、EDRだけを確実な早期警戒システムと見なせなくなったことを強調しており、多層防御、ネットワーク監視、迅速な対応計画がこれまで以上に重要であることを示している。あなたが企業、学校、医療機関、サービスプラットフォームに個人データを保持されている個人なら、この傾向は、それらの組織のいずれかで侵害が起きた場合に、これまでより少ない事前警告で情報が流出する可能性があることを思い起こさせる。攻撃者はより静かに行動するのが上手くなっているからだ。

実践的なポイント

役割に関わらず、いくつかの実践的な手順が役立つ：

  • セキュリティインフラを管理しているなら、EDRアラートだけに依存せず、ネットワークレベルの監視や、検知ツールが無効化されることを想定した定期的な机上訓練と組み合わせること。
  • オフラインバックアップを含むセキュリティポリシーを推進し支持すること。EDRの無効化に成功したランサムウェアグループは、バックアップシステムも標的にする時間が多く取れることが多いためだ。
  • 個人としては、データが保存されているあらゆる場所で固有のパスワードを使い、多要素認証を有効にすること。そうすれば、あなたが依存している企業が侵害を受けても、他のアカウントは保護され続ける。
  • 取引のある企業からの侵害通知に注意を払い、推奨されるパスワード変更やクレジット監視の申し出には迅速に対応すること。

ランサムウェアの生の数は減少傾向にあるかもしれないが、EDRキル技術の高度化により、発生した攻撃はそこに触れるデータにより大きなリスクをもたらす。こうした脅威がどのように進化しているかについて最新情報を把握しておくことは、一歩先を行くための最も簡単な方法の一つだ。