Rhysidaランサムウェア、2026年に見せる偽の「セキュリティチーム」の覆い

変装をまとったランサムウェアグループ

セキュリティ研究者が2026年に向けて追跡しているランサムウェア活動の中でも、あるグループは典型的な恐喝ギャングとは一線を画すマーケティング上の選択で際立っている。Rhysidaは自らを「サイバーセキュリティチーム」と称し、その攻撃は被害者がネットワークの弱点を特定するのに役立つと主張している。このグループを研究する研究者たちは、このような体裁を、標準的な二重恐喝の手口の上に薄く重ねられた正当化にすぎないと評している。すなわち、データを窃取し、システムを暗号化し、その後、恒久的なデータ損失と公開の両方を防ぐための支払いを要求するというものである。

このブランディング戦略は、サイバー犯罪の世界全体で新しいものではない。脅威アクターは、自らの活動を露骨に犯罪的でないように見せるため、正規業界の言葉やイメージをますます借用している。それは、セキュリティ研究者やITコンサルタントを装うことかもしれないし、他の最近のキャンペーンで見られたように、悪意あるツールを配布するために信頼された技術ブランドの名前を悪用することかもしれない。実際、標的の警戒心を緩めるために認識されやすいブランディングを悪用する戦術は、今年の複数の脅威タイプに見られるパターンであり、たとえば攻撃者がChatGPTブランドを悪用して被害者のブラウザ内で直接組み立てられるマルウェアを配布している方法にも表れている。共通する糸は同じである。悪意ある活動を、聞き慣れた信頼できそうな言葉で着飾ることで、被害者や一部の観察者までもが、それを単純な犯罪行為として扱う前にためらうようにするのである。

Rhysidaの恐喝モデルの仕組み

マーケティング的な言葉を取り除けば、Rhysidaの活動はよく記録されたランサムウェアの構造に従っている。このグループはTorネットワーク上でホストされるリークサイトを運営しており、これによりそのインフラは従来のウェブサイトよりも追跡や停止が難しくなっている。Rhysidaが組織に侵入すると、暗号化を展開する前に機密データを窃取し、その後、しばしばPDF形式の身代金要求メモをリークサイトに掲載する。

被害者には選択肢が与えられるが、それは公正なものではない。ビットコインで身代金要求に支払うか、盗まれたファイル（顧客記録、内部通信、独自の事業データを含む可能性がある）が公開されるのを見るかである。これが二重恐喝の本質である。堅牢なバックアップと災害復旧計画を持つ組織であっても、暗号化がもはや攻撃者の唯一の leverage（てこ）ではないため、支払いを迫られる圧力に直面する。公開データダンプの脅威は、運用上の混乱に加えて、評判上、法的、規制上のリスクを追加する。

このモデルが活発なランサムウェアグループの間で業界標準になったのは、まさにそれが機能するからである。バックアップシステムが十分に改善されたため、暗号化だけでは支払いを強制できないことが多く、そのため窃取と公衆へのさらしが信頼できる第二のてこになった。Rhysidaのようなグループは、ランサムウェアのエコシステム全体で有効性が証明されている戦術の周囲の見せ方を洗練させているにすぎない。

「サイバーセキュリティチーム」という体裁が重要な理由

ランサムウェアグループがそもそもなぜ自らをセキュリティサービスとして位置づけるのか、少し立ち止まって考える価値がある。第一に、それは内部の摩擦を減らすかもしれない。侵害された組織内の従業員や幹部は、公然と敵意を持つ攻撃者よりも、欠陥を指摘していると主張する攻撃者と関与するほうが前向きになる可能性がある。また、インシデント中およびその後の公的な語りを複雑にすることもありうる。なぜなら、ジャーナリスト、被害者、さらには一部の研究者でさえ、当初はこのグループの意図を分類するのに苦労するかもしれないからである。

しかし研究者たちは、この体裁が実際に何を表しているかについて冷静である。Rhysidaが組織の脆弱性理解を助けることに示したとされる関心が、被害者にとっての結果を変えるという証拠はない。要求、ビットコイン支払いの構造、公開データ放出の脅威は、そのような偽装を一切しないランサムウェアグループが用いる戦術と同一のままである。ブランディングはコミュニケーション戦略であり、行動の変化ではない。

これがあなたにとって意味すること

ほとんどの個人にとって、Rhysidaのようなランサムウェアグループは、フィッシングメールや侵害されたアプリのように直接的な日々の脅威ではない。これらのグループは主に組織、すなわち企業、医療提供者、政府機関、その他価値あるデータと身代金を支払える可能性のあるリソースを持つ主体を標的にする。しかし、その下流の影響はすぐに一般の人々に届く。あなたが取引している企業が攻撃を受けた場合、あなたの個人情報は、アカウント詳細から健康記録まで、そのグループが自らを犯罪ギャングと呼ぶか自称セキュリティチームと呼ぶかに関係なく、リークサイト上に露出する可能性がある。

実践的な教訓は、責任を負うグループからの文言が異例に冷静または専門的に聞こえても、受け取った侵害通知を真剣に受け止めることである。体裁は自制を示すものではない。また、これは企業が自らのセキュリティ態勢を評価する際に、未知の当事者からの一方的な「脆弱性開示」を正規の研究と誤認してはならないという注意喚起でもある。特にそれが支払い要求を伴う場合はなおさらである。

主な要点

2026年に向けて追跡されているランサムウェアグループは、公的にどのように自らを提示するかに関係なく、引き続き二重恐喝戦術に依存している。Rhysidaがサイバーセキュリティチームとして位置づけることはブランディングの実践であり、善意の証拠ではなく、その根底にある脅威、すなわちTor上でホストされるリークサイト、盗まれたデータ、ビットコインの身代金要求は、このカテゴリの標準的なままである。ランサムウェアインシデントに関連する侵害通知を受け取った場合は、影響を受けたパスワードを変更し、アカウントと信用を異常な活動について監視し、自らを役立つものとして位置づける攻撃者からのあらゆる連絡に対して懐疑的になるべきである。組織は、一方的な侵入を通じて「セキュリティガイダンス」を提供すると主張するグループは標準的な恐喝活動を行っていると想定し、攻撃者の体裁に基づく直接交渉ではなく、インシデント対応および法執行機関のチャネルを通じて対応すべきである。