かつてランサムウェアといえば、ロックされた画面と暗号化されたサーバーを意味していた。今ではますます、静かな窃取と脅迫メールを意味するようになっている。The NAS Guyによる最近のレポートは、VeeamのCovewareによる2026年第3四半期のインシデントデータに基づき、Silent Ransom Group（SRG）のようなグループが暗号化を完全に放棄した経緯を説明している。ランサムウェアを伴わないデータ窃取型恐喝は、攻撃者にとってより速く、より安価で、従来の防御では捕捉しにくい。

原資料は簡潔であるため、本記事は記載されている内容に限定する。暗号化の展開というコストのかかる労働集約的なステップを省くことで、グループは従来のエンドポイント防御を回避しつつ、被害者に対する leverage を維持しながら、迅速な侵害・恐喝オペレーションを実行できる。引用されている数値は、2026年第3四半期にCoveware by Veeamが支援したインシデントに基づく。

Silent Ransom Groupが暗号化なしで恐喝する方法

従来のランサムウェア攻撃が成功するには、いくつかの条件が必要だ。攻撃者は侵入し、システム全体に拡散し、防御を無効化し、実際に機能する暗号化ソフトウェアを展開しなければならない。各ステップは、セキュリティツールが異常を検知する機会を生み出す。

純粋な exfiltration モデルは、そのほとんどを省略する。攻撃者はデータをコピーし、その後被害者に連絡して公開すると脅迫する。暗号化するものが何もないため、エンドポイントセキュリティソフトウェアが検知できる暗号化ペイロードも存在しない。レポートによれば、まさにこれが、このアプローチが従来のエンドポイント防御を回避する理由である。

これは被害者の計算も変える。優れたバックアップは暗号化攻撃を元に戻せるが、バックアップは盗まれたファイルの漏洩脅迫には何の役にも立たない。圧力はダウンタイムではなく、暴露から生じる。

SRGは大手法律事務所への攻撃と関連付けられており、そのオペレーションは当社の報道にも登場している。たとえば、同グループのLeakedDataサイトにおけるAndersen Groupの恐喝リストなどである。

口封じのための支払いが削除を保証しない理由

データ恐喝の要求に支払う際の核心的な問題は、販売されている製品が約束にすぎないことだ。攻撃者はデータを削除すると言うが、被害者がそれを検証する方法はない。盗まれたデータはコピーされ、保持され、または転売される可能性があり、犯罪者には自らの評判を守る以外に約束を守る動機がない。

記事の見出しはその点を直接突いている。口封じのための支払いは失敗する。たとえグループが一度の取引を履行したとしても、被害者には監査証跡も、破壊証明書も、救済手段もない。その不確実性こそが leverage である。一度支払った被害者は、支払う意思があることを示してしまっている。

一般の人々にとって、その含意は不快なものだ。あなたのデータを保有する企業が恐喝要求に応じた場合、あなたの情報が消去されたと仮定することはできない。企業が結果について何と言おうと、あなたはそれを暴露されたものとして扱うべきである。

リークされたウォレットと被害者データが明らかにするもの

SRGの話にはもう一つの層がある。同グループに属する内部データのリーク疑惑である。当社が報じたように、ChainalysisはSRGリークの暗号通貨ウォレットを身代金支払いと結びつけた。これにより、同オペレーションへの支払いに関連する暗号通貨アドレスが明らかになった。

なぜそれが重要か。それは、これらのオペレーションが実際の収益を持つ商業企業であり、被害者が実際に支払ったことを示している。また、犯罪グループ自身も暴露に対して脆弱であることを示している。このリークは、彼らの手にあるデータが彼ら自身のセキュリティの程度までしか安全でないことを思い起こさせる。データがあなたのものである場合、それは心安らぐ考えではない。

また、脅威が単一分野に限定されないことも示している。関連事例として、Luna Mothが公開したMayer Brownの文書は、企業がシステム侵害を否定した場合でも、恐喝クルーがリークサイトを通じて組織に圧力をかけ得る方法を示している。

あなたにとっての意味

ほとんどの人は恐喝グループと交渉することはないだろう。しかしあなたのデータは、攻撃者が標的とする法律事務所、税務アドバイザー、医療提供者、その他の専門サービス企業のシステム内に存在する可能性がある。そのうちの一つが攻撃を受けたとき、あなたは何も悪いことをしていないのに下流の被害者となる。

純粋な exfiltration は攻撃の明白な兆候を残さないため、あなたはリストが公開されたとき、または企業が通知を送ったときに初めて侵害を知るかもしれない。侵害された企業が保有していたあらゆるデータ（連絡先情報、財務記録、身分証明書など）が犯罪者の手に渡っている可能性があり、企業による支払いがそれを変えることはないと想定すべきである。

第三者侵害後に身を守るためのステップ

企業がサーバーをどのように防御するかをあなたが制御することはできないが、盗まれたデータが何に使われ得るかを制限することはできる。

  • 使い回したパスワードを変更する。 影響を受けた企業と他の場所で同じパスワードを使用していた場合は、すべての場所で変更する。パスワードマネージャーを使って固有のパスワードを生成する。
  • 二要素認証を有効にする。 可能であればSMSよりも認証アプリまたはハードウェアキーを優先する。特にメール、銀行、クラウドストレージではそうする。
  • 標的型フィッシングに注意する。 盗まれたデータは詐欺をより説得力のあるものにする。実際の文書、案件の詳細、アカウント情報に言及するメッセージには懐疑的になる。
  • 侵害を監視する。 侵害通知サービスを利用して、あなたのメールアドレスがリークされたデータに現れたときを把握する。
  • 信用情報の凍結を検討する。 財務情報や身元情報が関係していた場合、信用情報を凍結することで、あなたの名義で口座を開設することが難しくなる。
  • 通知を独立して検証する。 侵害通知を受け取った場合、メッセージ内のリンクではなく、自分で調べた連絡先を使って組織に連絡する。

結論

ランサムウェアを伴わないデータ窃取型恐喝が機能するのは、攻撃者にとって最もリスクの高いステップを省き、被害者からバックアップという防御を取り上げるからだ。支払いは確実性を買わない。そしてリークされたSRGの資料は、金と暴露がどれほど現実的であるかを示している。認証情報の衛生管理を徹底し、2FAを有効にし、侵害アラートに注意を払おう。これらのオペレーションが実際にどのように展開するかを知るには、SRGリークとChainalysisのウォレット調査結果およびAndersen Groupの恐喝リストに関する当社の報道をお読みください。