スピード重視で構築された新たなランサムウェア

セキュリティ研究者が新たなランサムウェア「Spirals」を特定しました。このランサムウェアは被害者のネットワーク全体を24時間以内に暗号化できます。これは、多くの既存のランサムウェアファミリーが必要とする時間よりもはるかに短い時間です。このスピードは、断続的暗号化と呼ばれる手法によるもので、マルウェアは5MBを超えるすべてのファイルにこの手法を適用します。大きなファイルの全バイトをスクランブルする代わりに、Spiralsはその一部のみを暗号化するため、処理時間が大幅に短縮され、復号キーなしではデータが使用不能になります。

この効率性が重要なのは、ランサムウェアの運営者が長い間トレードオフに直面してきたからです。攻撃によるネットワーク全体の完全な暗号化に時間がかかればかかるほど、防御側が異常な活動を検知し、実際の損害が発生する前にシャットダウンする機会が増えます。Spiralsはそのウィンドウを1日に圧縮することで、マルウェアが侵害された環境内で活動を開始した後、セキュリティチームに与えられる対応時間がはるかに少なくなります。

攻撃の展開

Spiralsが侵害したシステム全体でファイルを暗号化した後、被害者のC:\ドライブに直接RECOVERY_SECTION.logという名前のランサムノートを残します。このノートには攻撃者との支払い交渉の指示が含まれています。多くの現代のランサムウェア活動と同様に、Spiralsは二重恐喝モデルに従います。ファイルのロックに加えて、背後にいるグループは暗号化が始まる前に既に機密データを盗み出していると主張しています。

被害者は、攻撃者が盗んだ情報を公開すると脅すまでに、6日間という厳しい期限を与えられます。この戦術が効果的であるからこそ、ランサムウェアのエコシステム全体で標準的なものになりました。堅牢なバックアップを維持し、身代金を支払うことなく暗号化されたファイルを復元できる組織でさえ、顧客記録、従業員データ、または専有情報がダークウェブのリークサイトに掲載されるという脅威にさらされ、プレッシャーに直面します。このパターンは、人材派遣会社が数百ギガバイトのデータが暗号化とともに公開される可能性に直面したUnited PersonnelへのGenesisランサムウェア攻撃で起きたことと同様です。

より高速な暗号化が全員にとって問題を深刻化させる理由

Spiralsがもたらす圧縮された攻撃ウィンドウは、直接の被害組織を超えた実際の結果をもたらします。ランサムウェアのインシデントは、組織のセキュリティ体制に直接的な役割を持たないが、そのデータが露出した場合の二次的なリスクを負う、顧客、患者、または従業員の個人情報の窃取をますます伴うようになっています。特に医療システムは頻繁に標的とされており、2025年に心臓患者のデータを露出させたiRhythmランサムウェア侵害のようなインシデントで見られます。暗号化が数日ではなく数時間で行われると、セキュリティチームは攻撃者が暗号化と恐喝の脅威を助長するデータ窃取の両方を完了する前に、影響を受けたシステムを隔離する機会が少なくなります。

一般のインターネットユーザーにとって、ランサムウェア攻撃の実際の結果は、マルウェアがファイルを暗号化した速度によって変わることはほとんどありません。最も重要なのは、侵害に巻き込まれた個人データに何が起こるかです。侵害後にあなたのデータに何が起こるかの解説で概説したように、盗まれた情報は最初のリークサイトをはるかに超えて流通し、ニュースが消えた後もフィッシングキャンペーン、個人情報盗難、クレデンシャルスタッフィング攻撃のために売買され、再パッケージ化されます。

これがあなたにとって意味すること

個人消費者であれば、Spiralsそのものから直接防御する必要はありません。このランサムウェアは個人のデバイスではなく組織のネットワークを標的としています。しかし、それが示すより広範な傾向（より高速で効率的な攻撃とより厳しい恐喝の期限）は、侵害通知が今後もより短い警告と、潜在的に広い範囲で届き続ける可能性が高いことを意味します。あなたが取引のある企業や雇用主がSpirals関連のインシデントを開示した場合は、それを深刻に受け止め、自分のデータがどこかに浮上するかどうかを待つのではなく、迅速に行動してください。

ITおよびセキュリティチームにとって、6日間の暴露期限はインシデント対応のタイムラインも事実上圧縮します。暗号化自体が24時間未満で完了する場合、従来の数日単位での対応ウィンドウではもはや十分でない可能性があるため、検出と封じ込めは迅速に行う必要があります。

実践的な対策

Spiralsや同様の高速作動型ランサムウェアに言及した侵害通知を受け取った場合は、影響を受けたアカウントのパスワードを直ちに変更し、可能な限り多要素認証を有効にしてください。通知後数週間は、金融取引明細書や信用報告書に異常な活動がないか監視してください。これらの攻撃から盗まれたデータは、すぐにオープンウェブに現れないことが多いためです。侵害に社会保障番号や医療記録などの機密性の高い識別子が含まれていた場合は、詐欺警告または信用凍結の設定を検討してください。組織は、ネットワークセグメンテーションと迅速な検出ツールを優先すべきです。Spiralsのような攻撃のスピードでは、遅いインシデント対応の余地がほとんど残されていないからです。問題がエスカレートする前に自分を守る最も簡単な方法の1つは、自分が利用している企業やプラットフォームが開示したインシデントについて常に情報を得ることです。