長年、ランサムウェアの典型的なイメージといえば、ファイルを暗号化し、画面上に身代金要求のメモを表示するものでした。PortalGeekが報じた新たな手口はその筋書きを変えます。**暗号化しない「living off the land」型ランサムウェア**は、ファイルを一切暗号化せずに企業ネットワークを停止させ、組織自身のツールに依存します。結果は同じで、企業は操業停止に追い込まれますが、そこに至る道筋は発見がより困難になっています。 本記事では、この手口がどのように機能するのか、なぜこれほど捉えにくいのか、そして企業と在宅勤務者の両方が何を見直すべきかを解説します。 ## 暗号化しないランサムウェアの仕組み 公開された情報によると、この戦術は、多くの防御策が監視しているファイル暗号化に頼ることなく、企業ネットワークの業務を麻痺させます。非常に目立つマルウェアを展開する代わりに、攻撃者は環境内にすでに存在するユーティリティ、つまりPowerShellなどの管理ツールやリモートアクセスソフトウェアを悪用します。 このアプローチは「living off the land（土地に寄生する）」として知られています。侵入者はすでにインストールされているものを利用するのです。データを暗号化しなくても、サービスを中断させ、アクセスを遮断し、システムを無力化することができ、事業継続への影響は同様に深刻です。企業にとって、ファイルが暗号化されているかどうかに関わらず、業務が行えないことが中心的な問題なのです。 ## 正規のツールを使うことで検知が難しくなる理由 鍵となるのは、攻撃者が実行するもののいずれも、一見したところ奇妙に見えないという点です。PowerShellはシステム管理者が日常的に使用しており、リモートアクセスソフトウェアはテクニカルサポートの定番要素です。有効な認証情報を持つ攻撃者が同じツールを起動すれば、その活動は日常業務と混同される可能性があります。 これにはいくつかの実務的な帰結があります。 - **古典的なシグナルが減る。** 既知の悪意あるファイルを探すアンチウイルスは、正規のプログラムが使われている場合にはブロックするものがほとんどありません。 - **焦点が認証情報に移る。** アクセスが正当なものであれば、問いはもはや「これはどのソフトウェアか」ではなく、「誰がどこから使っているのか」になります。 - **挙動の重要性が増す。** ツールの異常な使われ方（奇妙な時間帯、予期しない端末からの使用）を検知することが、特定のファイルを検知するよりも有用になります。 これは単一の製品で解決できる脅威ではありません。アクセス制御、可視性、復旧能力といった層が必要です。 ## テレワークと家庭ネットワークにとっての意味 企業ネットワークはオフィスで終わりません。自宅から接続する各ノートPC、各リモートアクセスツール、そして再利用された各パスワードが、攻撃者が侵入できる範囲を広げます。この手法が正規のアクセスを利用することに依存しているなら、リモートワーカーの認証情報は特に価値の高い扉となるのです。 実際には、家庭ネットワークのセキュリティが企業のセキュリティに影響します。 - 工場出荷時のパスワードのままのルーターや、ファームウェアが更新されていないルーターは弱点です。 - 個人サービスと企業サービスで同じパスワードを繰り返し使っていると、外部の漏洩が仕事に影響を及ぼす可能性が高まります。 - インストールしたまま忘れられた、あるいは強化された認証のないリモートアクセスプログラムは、端末への直接的な経路を提供します。 全体的な文脈も重要です。[スペインにおけるランサムウェア被害者の増加とAIを用いたデータ窃取に関する分析](/en/ransomware-espa-a-v-ctimas-2026-19-y-robo-de-datos-con-ia)で取り上げたように、脅威は増大し続けており、組織とそれに接続する人々の両方に影響を及ぼしています。 ## 実践的な対策：MFA、最小権限、監視、バックアップ これらの対策はいずれも目新しいものではありませんが、組み合わせることで、正規のツールを悪用しようとする者の行動の余地を大きく減らすことができます。 1. **多要素認証（MFA）。** メール、企業VPN、リモートデスクトップ、あらゆる管理パネルで有効にしましょう。パスワードが漏洩しても、MFAが重要な障壁を追加します。 2. **最小権限。** 各アカウントは必要な権限だけを持つべきです。通常のユーザーが昇格した権限でPowerShellを実行する必要がないなら、制限した方がよいでしょう。 3. **リモートアクセスソフトウェアの管理。** どのツールが許可されているかの一覧を維持し、使われていないものは削除しましょう。 4. **挙動の監視。** 管理ツールの活動を記録・確認し、通常とは異なる使用に対するアラートを定義しましょう。 5. **分離され、テスト済みのバックアップ。** 主要ネットワークから分離したコピーを保管し、復元できることを確認しましょう。ブロックされるのがシステムであってファイルだけではない場合、文書化された復旧計画も必要です。 6. **家庭内の衛生管理。** ルーターの認証情報を変更し、ファームウェアを更新し、パスワードマネージャーで一意のパスワードを使い、オペレーティングシステムを最新の状態に保ちましょう。 ## 結論：攻撃者に先んじて設定を見直そう **暗号化しない「living off the land」型ランサムウェア**は、危険が常に不審なファイルの形でやって来るわけではないことを思い出させます。時には、有効なアカウントと、すでにあなたの端末にあるツールとともにやって来るのです。だからこそ、防御は認証情報を保護し、権限を制限し、挙動を監視し、復旧できることを確実にすることを通じて行われます。 今週、数分を割いてリモートワークの設定を見直してみてください。主要なアカウントでMFAを有効にしていますか？ ルーターの管理者パスワードを変更しましたか？ バックアップは分離され、テスト済みですか？ 問題の規模をよりよく理解するには、[スペインにおけるランサムウェアの動向](/en/ransomware-espa-a-v-ctimas-2026-19-y-robo-de-datos-con-ia)に関する記事をご参照ください。