今日、ランサムウェア攻撃の5分の4は同じ方法で始まる。サーバーではなく、誰かの「ID」からだ。The Manila Timesが報じたこの一つの統計は、何年も前から進行していた変化を如実に示しており、もはや無視できないものとなっている。攻撃者はもはや、未パッチのサーバーやゼロデイ脆弱性を探し回ったりはしない。フィッシングで入手したり、購入したり、流出したりした認証情報を使って、ごく普通の正規ユーザーであるかのように正面玄関からログインしてくるのだ。

この変化が重要なのは、ほとんどの組織や個人にとって「セキュリティ」が実際に意味するものを変えてしまうからだ。有効なユーザー名とパスワードを持っている相手をファイアウォールで阻止することはできない。攻撃者がサーバーの脆弱性を突く必要がなければ、パッチを適用したサーバーも役に立たない。認証情報を使ったランサムウェア攻撃は、戦場をネットワークインフラから人間のアイデンティティへと移してしまった。つまり、最も重要となる防御策も変わったのだ。

ランサムウェアの侵入口はなぜインフラではなくアイデンティティなのか

何年もの間、ランサムウェア防御戦略の中心はインフラにあった。サーバーにパッチを当て、ネットワークをセグメント化し、侵入を監視する。こうした防御は今でも重要だが、それらが想定する脅威モデルは急速に時代遅れになりつつある。攻撃の5分の4が「侵入」ではなく「ログイン」から始まるなら、状況は一変する。攻撃者は、認証情報を使う方が、技術的なエクスプロイトよりも安価で、素早く、しかもアラートをトリガーする可能性がはるかに低いことに気づいたのだ。

フィッシングキット、クレデンシャルスタッフィングツール、情報窃取型マルウェアによって、ログイン詳細情報を収集することは、手間がかからずリターンの大きなビジネスになった。そこに、個人用アカウントと仕事用アカウントで使い回される膨大な数のパスワードが組み合わされば、攻撃者はファイアウォールに触れることなく、有効な認証情報を安定的に供給できる。いったん内部に入ってしまえば、彼らは侵入者のようには見えない。従業員や請負業者、管理者が仕事をしているようにしか見えず、まさにそこがこの手法の非常に効果的な理由なのだ。

盗まれた認証情報が従来のセキュリティ防御をすり抜ける方法

従来のセキュリティツールは、異常なトラフィックパターン、不正なアクセス試行、マルウェアのシグネチャといった異常を検知するように作られている。本物の認証情報を使った正規のログインは、こうした検知網のほとんどに引っかからない。エンドポイント検知システム、侵入防止ツール、適切に設定されたファイアウォールでさえも、何かを「破壊」しようとする攻撃者を阻止するために設計されている。たとえ盗まれたものであっても、手渡された鍵をただ使っているだけの相手に対しては、はるかに効果が低いのだ。

これも、ランサムウェアがアクセスを獲得してからの動きが極めて速くなった理由の一部である。Spiralsランサムウェアのオペレーションに関する報告では、攻撃者が初期アクセスから24時間以内に被害者の環境全体を暗号化したことが示された。侵入に脆弱性の悪用が必要なければ、より多くの時間とリソースが直接被害フェーズに注ぎ込まれる。同じパターンは、Qilinランサムウェアの攻撃者が悪用したPalo Altoファイアウォールの認証バイパス脆弱性CVE-2026-0257に関連する攻撃にも見られる。そこでは、ブルートフォースによるハッキングではなく、侵害された認証が攻撃者に足がかりを与えた。

防御の最前線としての多要素認証とパスワードマネージャー

盗まれた認証情報が主な侵入口であることを考えれば、最も効果的な防御策は、盗まれたパスワードだけでは役に立たなくするものだ。多要素認証（MFA）は最も明確な例である。フィッシングやデータ侵害によってパスワードが漏洩しても、MFAはアクセスを許可する前に、認証アプリのコードやハードウェアキーなど、第二の検証ステップを要求する。リスクを完全に排除するわけではないが、ログイン認証情報だけに頼る攻撃者にとって最も容易な経路を閉ざすことができる。

パスワードマネージャーは、関連する問題である「パスワードの使い回し」に対処する。複数のアカウントで同じパスワードを使い回していると、一組の認証情報が漏洩しただけで、無関係な複数のシステムが解除されてしまう。パスワードマネージャーを使えば、アカウントごとに一意で複雑なパスワードを使うことが現実的になり、一組の認証情報が露出した場合の被害範囲を限定できる。どちらのツールも設定は複雑ではなく、認証情報を使ったランサムウェア攻撃が悪用するまさにその弱点を直接的に突くものだ。

管理者および機密アカウントのアクセス保護におけるVPNの役割

VPNは認証情報の窃取に対する万能薬ではないが、特に管理者や機密システムにリモートアクセスするすべての人にとって、具体的かつ有用な役割を果たす。VPNはユーザーとアクセス先ネットワーク間の接続を暗号化するため、特に保護されていない公共ネットワーク上で、認証情報が転送中に傍受されるのを防ぐのに役立つ。重要なインフラを管理するリモート管理者にとって、VPNアクセスとMFAを組み合わせることは、盗んだパスワードしか持っていない攻撃者に対して意味のある摩擦の層を追加する。

VPNが「しないこと」を明確にしておく価値がある。有効な、盗まれた認証情報を使って正規のアクセスポイントからログインする者を阻止することはできない。だからこそVPNの利用は、スタンドアローンの解決策としてではなく、MFA、パスワード衛生、アクセス監視と並ぶ、何層もあるうちの一つとして扱われるべきだ。

これがあなたにとって意味すること

ビジネスであれ個人用途であれ、機密性の高いアカウントを管理しているなら、結論は明快だ。パスワードだけではもはや不十分であり、おそらくかなり前からそうだったのだ。認証情報を使ったランサムウェア攻撃が成功するのは、予測可能な人間の習慣、パスワードの使い回し、保護されていないログイン、第二の検証ステップがないアカウントを悪用するからだ。これらのギャップを埋めるのに、企業レベルの予算や技術的な専門知識は必要ない。重要なすべてのアカウントに一貫した習慣を適用すればいいのだ。

実践すべき対策

  • メール、金融サービス、あらゆる管理者アクセスを皮切りに、対応しているすべてのアカウントで多要素認証を有効にする。
  • パスワードマネージャーを使用して一意のパスワードを生成・保存し、使い回された認証情報が複数のアカウントで悪用されるリスクを排除する。
  • リモート管理者アクセス、特に公共または信頼できないネットワーク経由でシステムを管理する場合には、VPN利用とMFAを組み合わせる。
  • 新しいアカウントやサービスは定期的に追加されるため、認証情報の衛生管理を一度きりの設定ではなく、継続的な習慣として扱う。

ランサムウェアグループは、この戦略が有効だからこそ適応してきた。幸いなことに、その対策であるMFA、パスワードマネージャー、階層化されたアクセス制御は広く理解されており、ほぼ誰でも手の届くところにある。破壊的侵入からログインへの移行は、防御の責任も移行したことを意味し、それは今やネットワークセキュリティチームと同じくらい、個人のアイデンティティ衛生にかかっているのだ。