「Active Directory乗っ取り」も ランサムウェアが“暗号化だけ”から変化している理由：暗号化の有無にかかわらず有効な6つの基本対策

Kasperskyは、ランサムウェアの攻撃者が企業データを暗号化して身代金を要求するケースが減っているとして、その理由と企業が講じた方がよい対策を解説した。同社の緊急対応チームは、「Active Directory」を乗っ取ってグループポリシーで脅迫文を表示させる事例も確認している。

[＠IT]

　セキュリティベンダーKaspersky Lab（以下、Kaspersky）は2026年10月9日（現地時間）、ランサムウェア（身代金要求型マルウェア）の攻撃者がデータの暗号化から離れつつある傾向と、企業が講じた方がよい対策を解説するブログ記事を公開した。

　数年前のランサムウェア流行初期は、「ランサムウェア」はデータを悪意を持って暗号化することとほぼ同じ意味だった。Kasperskyは2026年5月、攻撃者が身代金目的で企業データを暗号化する頻度が下がっていると指摘していた。

　その一例として、Kasperskyのグローバル緊急対応チーム（GERT）は、2026年4月にあるインシデントを調査する中で、恐喝キャンペーン「PAYLOAD」を発見した。このキャンペーンの攻撃者は、暗号化しなかった。代わりに「Active Directory」の環境を掌握し、PAYLOADという名前の悪意あるグループポリシーオブジェクト（GPO）を作成した。

　攻撃者はこのGPOを使って、PCに身代金要求文を配布し、壁紙の変更と画面のロックをした上で、ログイン時に表示するバナーを設定した。ローカルの管理者アカウントも無効にした。これにより、侵害したインフラに自分たちがいることを誇示し、機密情報にアクセスしたことを暗号化と同じくらい効果的に証明できたという。

ランサムウェアが“暗号化だけ”から変化している理由

　攻撃者は、企業によるバックアップからのデータ復元に適応しようと、暗号化と並行して、機密データを盗んで公開すると脅す手口を増やしていった。機密情報が公開されれば、企業の評判やセキュリティ、取引先の安全が危険にさらされる。

　個人情報が含まれていれば特に深刻で、世界の140を超える国にデータ保護法があるので、漏えいすれば多額の罰金を科されるリスクが高い。こうした事態はデータを失うよりはるかに深刻なことがあり、バックアップでは防げないとKasperskyは指摘する。

　攻撃者から見ると、データの持ち出しには、マルウェアの活動より検知されにくいという利点もある。ファイルの暗号化はディスクの読み書きが急増するのでエンドポイント保護ツールが比較的早く検知するが、データの持ち出しは通常の通信に見せ掛けやすい。

　攻撃グループ「ShinyHunters」は、標準的な認可の仕組み「OAuth」を軸に攻撃を組み立て、この点を突いている。暗号化をしなければデータをより速く盗めるので、脅威を早期に検知するのも難しくなる。

　こうした背景から、暗号化の工程を省く攻撃者も現れているとKasperskyは説明する。

暗号化の有無にかかわらず有効な6つの基本対策

　Kasperskyは、暗号化を伴うかどうかにかかわらず、幅広い恐喝の手口に対しては標準的なサイバーハイジーン（IT資産の衛生管理）が有効だとして、企業に次のような対策を勧めている。

1．定期的なバックアップを自動で取る

　物理的な媒体とクラウドの2種類にバックアップを保存しておけば、事業運営に深刻な支障が生じる心配はない。バックアップからの復元に必要な停止時間は、全てのデータを失った場合の影響とは比べものにならない。

2．パッチと更新を速やかに適用する

　攻撃者にとって、脆弱（ぜいじゃく）性は依然としてインフラへの主な侵入口の一つだ。Kasperskyは、リスクを減らすためにOSやソフトウェア、ドライバのパッチ（修正プログラム）と更新の管理を自動化するよう推奨している。

　システムのセキュリティ上の欠陥を定期的にスキャンし、見つかった脆弱性は重大なものを中心に優先順位付けすることも重要だ。専用の脆弱性管理ツールも役立つという。

3．エンドポイントの保護を強化する

　インフラ内の全てのシステムに多要素認証（MFA）を設定し、信頼できるPC用とサーバ用のセキュリティ製品を導入する。SIEM（Security Information and Event Management）やEDR（Endpoint Detection and Response）は、セキュリティ担当者がイベントを全て可視化し、インシデントに素早く対応するのに役立つ。

4．外部との境界を監視する

　サーバ、データベース、クラウド、古いサブドメインなど、企業のインフラを定期的に確認し、インターネットに公開されたままのポートやサービスがないかどうかを調べる。

5．最小権限の原則を守る

　ユーザー、システム、プロセスには、業務に必要なアクセス権限だけを与える。使われていない権限は取り消し、退職した従業員のアクセスは完全に無効にする。

6．従業員の教育に投資する

　攻撃者は今も、人的要素を突いて企業のインフラに侵入している。従業員の脅威に対する意識を高めれば、フィッシングの被害に遭うのを防げる。