ランサムウェア攻撃の半数は今やフィッシングが引き金に

ランサムウェアの主原因、脆弱性の悪用からアイデンティティ攻撃へ

長年、ランサムウェア集団といえば、ITチームがセキュリティ更新プログラムの適用に追われるような未修正のソフトウェアの脆弱性を悪用することで知られていました。しかし、もはやそれが主な手口ではなくなっています。Dark Reading が報じた新たな調査結果によると、現在ではフィッシングと悪意のあるメールがランサムウェア攻撃全体の半数を占め、ソフトウェアの脆弱性を抜いて主要な侵入口となっています。

さらに注目すべき点として、認証情報を使った攻撃の 97% では、多要素認証（MFA）がすでに導入されていました。MFA は、盗まれた認証情報に対する最も強力な防御策の一つと長らく考えられてきたものです。つまり、攻撃者が成功しているのは、組織が基本的なセキュリティ衛生を怠っているからではありません。攻撃者は、その防御をすり抜ける方法を見つけたために成功しているのです。

この変化が重要なのは、本当のリスクがどこにあるのかが変わるからです。サーバーにパッチを適用し、ソフトウェアの穴を塞ぐことは依然として重要ですが、データが示すのは、攻撃者がコードを破るよりも人を騙すことに注力するようになったということです。巧妙なメール、偽のログインページ、あるいはタイミングの良い電話一本が、かつてのゼロデイ脆弱性に匹敵する威力を持つようになっています。

MFA だけでは攻撃を防げない理由

MFA は長年にわたり、認証情報の盗難に対するほぼ完璧な防御策として喧伝されてきました。その考え方はシンプルです。パスワードが盗まれても、攻撃者がシステムに侵入するには、電話に送信されるコードや認証アプリなどの第二の要素が依然として必要だというものです。この理屈は、基本的なパスワード推測攻撃に対しては有効です。しかし、最新のフィッシングキットに対しては、それほど通用しません。

攻撃者は MFA を回避するために特別に設計された手法で適応してきました。リアルタイムのフィッシングプロキシは、被害者が入力した瞬間にパスワードとワンタイムコードの両方を傍受し、コードの有効期限が切れる前に本物のログインシステムにその情報を中継することができます。また、セッショントークンを直接標的にする手法もあり、攻撃者は第二の要素を一切必要とせずに、すでに認証済みのセッションを乗っ取ることが可能です。このデータセットにおいて、認証情報を使ったランサムウェア攻撃の 97% で MFA が導入されていたという事実は、MFA を有効にしているだけではもはや十分ではないことを示しています。どのように実装されているか、特にフィッシングに耐性があるかどうかが、存在しているかどうかと同じくらい重要なのです。

これは MFA が無価値だという意味ではありません。依然として、自動化された大量かつ低労力の攻撃の多くを阻止しています。しかし、これを唯一の万能策として頼りにしている組織や個人は、時代遅れの脅威モデルに基づいて行動していることになります。

広範な侵害の状況との比較

このランサムウェアに特化した傾向は、業界の他の場所で記録されている、関連はあるものの異なる変化と並行して存在しています。vpn.social が取り上げた Verizon 2026年データ侵害調査報告書 にあるように、広範な侵害全体で見ると、盗まれた、あるいは脆弱なパスワードを抜いて、ソフトウェアの欠陥が主要な侵入口となっています。一見すると、これはランサムウェアに関する調査結果と矛盾するように思えますが、この二つのデータセットは異なるものを測定しています。DBIR はあらゆるカテゴリと業界にわたる侵害を調査しているのに対し、このランサムウェアの調査は、特にランサムウェアの操作担当者が最初の足掛かりをどのように得ているかに焦点を絞っています。

両方を合わせると、専門化の様相が見えてきます。一部の攻撃者はソフトウェアの脆弱性を大規模に悪用する自動化を洗練させている一方で、ランサムウェアのグループは特に人間を標的としたソーシャルエンジニアリングに注力しています。これはおそらく、ネットワーク全体にランサムウェアを展開するために必要な特権アクセスを、より迅速かつ確実に得られる手段だからでしょう。両方の傾向が同時に真実であり得ますし、どちらも同じ根底にある現実を示しています。すなわち、攻撃者は常に抵抗が最も少ない経路を選び、その経路は絶えず変化するということです。

私たちにとって何を意味するのか

仕事用でも個人用でも、メールを使用する人なら誰でも、この傾向の影響を直接受けます。ランサムウェアは、専任のIT部門を持つ大企業だけを標的にするわけではありません。中小企業、医療機関、学校、個人事業主など、すべてが同じフィッシング戦術で日常的に標的にされています。一見したところ巧妙なメールを不適切なタイミングで開いてしまうだけで、組織全体のファイルを暗号化する攻撃の侵入口になり得るのです。

実践的な教訓は、MFA を放棄することではありません。MFA はより広範な防御の一部であり、最終到達点ではないと認識することです。フィッシング耐性のある認証方式、予期しないログインプロンプトへの注意深い精査、急を要する内容のメールに対する基本的な懐疑心。これらはすべて、すでに MFA で保護されているアカウントであっても、依然として不可欠です。

実践すべき対策

• 自分が要求していない MFA のプロンプトは、日常的な通知ではなく危険信号と捉え、自分で開始していないものは絶対に承認しない。
• 可能であれば、SMS やアプリベースのコードだけに頼るのではなく、ハードウェアセキュリティキーなどのフィッシング耐性のある認証方式を使用する。
• ログイン、パスワードのリセット、アカウントの確認を求めるメールで切迫感を煽るものに警戒する。これらは典型的なランサムウェア侵入の手口である。
• 現在はアイデンティティ攻撃がランサムウェアの主原因となっているが、ソフトウェアのパッチ適用を継続する。脆弱性を悪用した攻撃が消えたわけではなく、頻度で追い抜かれただけである。
• チームや組織を管理している場合、技術的な防御策と並行して、フィッシングに対する意識向上トレーニングに投資する。データが示す通り、現在ではシステムだけでなく、人間が主な標的となっているのだから。

ランサムウェアの戦術がアイデンティティとソーシャルエンジニアリングへとシフトし続ける中、これらの攻撃が実際にどのように展開されるかについて情報を入手し続けることが、利用可能な最も効果的な防御策の一つです。今日、真のリスクがどこにあるのかを理解することが、攻撃者にその隙を突かれる前に、ギャップを埋めるための第一歩です。