保護されていないエンドポイントが弱点になった

Sophosが報告した新たに文書化されたInterlockランサムウェアのインシデントは、セキュリティチームが何ヶ月も警告してきた問題を明確に示している。それは、一台の保護されていないエンドポイントが、誰も気づかないうちに、攻撃者が資格情報を盗み出し、深く侵入するための時間を十分に与えてしまうというものだ。Sophosによると、このインシデントは、エンドポイント保護を持たないデバイスが、通常なら監視対象マシンで不審な動作を警告するようなアラートを一切発生させずに、Interlockグループの活動を許したことで発生した。

そのギャップは重要だった。セキュリティソフトウェアがエンドポイントを監視していなかったため、攻撃者はゆっくりと計画的に動き、ログイン資格情報を収集し、最初の侵害から長期間にわたってネットワークへのアクセスを維持する仕組みを構築する余裕があった。これは、ランサムウェアのオペレーターが防御を打ち破ることよりも、正面玄関から堂々と入るための鍵を静かに集めることに、ますます依存するようになっていることを改めて示している。

盗まれた資格情報こそが真の標的

Interlockの事例は、Sophosが以前から記録してきたパターンに合致する。以前のSophosの調査では、ランサムウェアの79%は盗まれた資格情報から始まることが判明しており、今やアイデンティティ窃取が現代のランサムウェア活動の中心であることを強調している。さらに別のSophosのレポートでは、侵害されたログイン情報がランサムウェアの主要侵入口であり、ソフトウェアの脆弱性を上回って攻撃者が好む手法となっていることが明らかになっている。

Interlockのインシデントは、攻撃者の視点からその変化が理にかなっている理由を示している。ソフトウェアの欠陥を悪用するには、しばしば絶妙なタイミングが必要で、通常とは異なる悪用の試みを検知するように構築されたシステムに引っかかる可能性がある。対照的に、有効な資格情報を盗んでログインに使用すれば、特に保護ソフトウェアが動作しておらず異常を検知できないエンドポイントでは、通常のユーザー活動のように見える可能性がある。一度内部に侵入すれば、攻撃者はネットワーク内を力ずくで進む必要はなく、すでに正当なアクセス権を持つアカウントを使って移動できる。

これは、より広範なアイデンティティ関連の調査結果とも一致する。最近のSophosのレポートでは、2025年に全世界の組織の71%が少なくとも1件のアイデンティティ関連の侵害を経験したことが判明し、資格情報の窃取が高度な攻撃者だけのニッチな手法ではないことを裏付けている。これは、Interlockを含む幅広いランサムウェアグループにとって、標準的な侵入戦略となっている。

永続化が問題の後半部分

攻撃者にとって資格情報を盗むことは、それを使い続けるか、元のアカウントがロックされた後でも侵入できる別の手段を確保できなければ、あまり意味がない。これが、Sophosがこのインシデントで強調した第二の要素だ。保護されていないエンドポイントは、Interlockに永続化の仕組みを確立するための中断されない時間を与え、たとえ盗まれた資格情報が後に発見されて無効化されても、再侵入できるバックドアを本質的に構築させた。

この資格情報の窃取とそれに続く永続化という二段階のプロセスが、封じ込められたインシデントと長期化するインシデントを分ける。資格情報の悪用を迅速に検知できる組織は、深刻な被害が発生する前にアクセスを遮断できることが多い。しかし、影響を受けたデバイスに監視がない場合、防御側は何かがおかしいと気付く前に、攻撃者は両方のステップを完了できる。ランサムウェア以外の分野でも、同様の経過をたどるインシデントがある。Plaza Home Mortgageでの1台の侵害されたコンピューターは、顧客の社会保障番号に影響するデータ侵害調査を引き起こすのに十分であり、これは、他の部分が安全な環境でも、たった一つの弱点がすべてを引き起こしうることを示している。

これがあなたにとって意味すること

日常的なユーザーにとっても小規模組織にとっても、Interlockインシデントからの教訓は抽象的なものではない。エンドポイント保護は、単に企業のチェックリスト項目ではなく、数週間に及ぶ可能性のある侵害を、同日中の検知に変える層なのだ。個人のノートパソコンであれ小規模オフィスのネットワークであれ、共有リソースに接続された保護されていないマシンは、その所有者だけでなく、ネットワーク上のすべての人にとっての負債となる。

資格情報の衛生管理も同様に重要だ。アカウント間でのパスワードの使い回し、多要素認証の省略、誰かが組織を去った後も古いアカウントを有効なままにしておくことなど、すべてが攻撃者に対して、ソフトウェアのバグを悪用するのではなく、盗んだログイン情報を使って侵入する機会を増やす。この傾向はInterlockだけに限ったものではない。ロシアのZimbraスパイ事件やStadler Rail恐喝事件が最近ニュースを賑わせているが、これらは資格情報を狙った攻撃がいかに多様で根強いものになっているかを示している。

実践する価値のある具体的な対策

リモートワークに使われる個人用コンピューターを含め、機密システムに接続するすべてのデバイスに、有効なエンドポイント保護が導入されていることを確認しよう。サポートされているあらゆる場所で多要素認証を強制すること。これにより、盗まれたパスワードの価値が薄れる。未使用または孤立した資格情報がないか定期的にアカウントを監査し、有効なユーザー名とパスワードが正当なユーザーを意味すると思い込まず、異常なログインパターンを監視しよう。

Interlockのインシデントは、それが特異なものではないからこそ有用な事例研究だ。新規のエクスプロイトや高度なゼロデイを必要としなかった。必要だったのは、保護されていない一台のエンドポイントと、ごく普通のログイン資格情報のように見えるものを盗むための十分な時間だけだった。このギャップを埋めることは、ほとんどの組織にとって十分に手の届く範囲にあり、コードではなく資格情報が最も簡単な侵入口であると明確に判断したランサムウェアグループに対する、最も効果的な防御策の一つであり続ける。