[ITmedia エンタープライズ] Active Directoryが“人質”に ランサムウェアを使わない恐喝攻撃の手口とは

ランサムウェアを使わず、データも暗号化せずに企業を脅迫するサイバー攻撃が確認された。攻撃者が乗っ取ったのは、Windows環境の中核であるActive Directoryだ。攻撃者はどのように悪用したのか。

» 2026年10月14日 10時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　セキュリティ企業のKasperskyは2026年10月9日（現地時間）、暗号化を伴わない恐喝型攻撃が広がる背景と対策を公式ブログで解説した。同社が2026年5月に公開した脅威動向の分析によると、攻撃者がデータを暗号化して身代金を要求するケースは減りつつあるという。

　同社のグローバル緊急対応チーム「GERT」はインシデント調査の過程で、恐喝型のサイバー攻撃「PAYLOAD」を発見した。攻撃者は被害企業に身代金を要求したが、ランサムウェアを一切使わなかった。代わりに乗っ取ったのが、Windowsドメイン環境のユーザーや端末を一元管理する基盤「Active Directory」だ。

　ただし、Active Directoryを掌握しただけでは、その事実は被害企業に伝わらない。攻撃者はActive Directoryをどう使って「侵入の証拠」を被害企業に提示したのか。

ADを乗っ取った攻撃者は何をしたのか

　攻撃者はActive Directoryの管理機能である「グループポリシーオブジェクト」を悪用し、ドメイン配下の端末に脅迫を一斉に表示した。

　グループポリシーオブジェクトは、ドメインに参加する多数の端末へ設定を一括配布する仕組みだ。PAYLOADの攻撃者はActive Directory環境を掌握した上で悪意あるグループポリシーオブジェクトを作成し、これを使って身代金要求文書を配布した。

　さらに、壁紙の変更とワークステーションの画面ロックを実行し、システムログイン時に脅迫バナーを表示させた。併せてローカル管理者アカウントも無効化した。Kasperskyは、この手口で攻撃者は暗号化と同等に「侵害した環境に居座り、機密情報に到達した」事実を誇示できたと分析している。

なぜ攻撃者は暗号化をやめたのか

　背景には、暗号化しても身代金を回収しにくくなった事情がある。数千台規模の端末が感染した場合、被害企業が復号鍵を受け取っても、データの復号自体に膨大な手間がかかる。ランサムウェア攻撃の多発を受けてバックアップからの復旧が一般化した結果、被害企業にとっては、犯罪者から鍵を受け取って復号するよりバックアップから戻す方が確実になった。その結果、攻撃者は復号鍵の対価を受け取りにくくなった。

　そこで攻撃者は、機密データを窃取し、「世間に公開する」と脅す手口に軸足を移した。Kasperskyによると、世界140カ国以上がデータ保護法制を持つため、情報漏えいは高額な制裁金のリスクに直結するという。企業の評判や取引先の安全も脅かされ、バックアップでは対処できない。

　検知のされにくさも攻撃者には利点となる。ファイルの暗号化はディスクアクセスの急増を招くため、エンドポイント保護ツールが比較的早く検知できる。一方、データの持ち出しは通常の通信に偽装しやすい。攻撃グループ「ShinyHunters」は、認可の標準的な仕組みである「OAuth」を軸にSalesforce環境を狙う攻撃を組み立てている。暗号化の工程を省けばデータ窃取そのものも速く済み、発見はさらに難しくなる。

　こうして暗号化は「データにアクセスした証明」を示す名刺のような位置付けに後退し、攻撃者はこの省略可能な工程を手放し始めたという。

　Kasperskyは、暗号化の有無を問わず幅広い恐喝型攻撃に有効な基本対策として、以下を挙げている。

• 定期的な自動バックアップ：物理メディアとクラウドの2種類に保存する。復旧に伴う業務停止時間は、全データを失う影響に比べれば小さい
• パッチと更新プログラムの速やかな適用：脆弱（ぜいじゃく）性は依然として主要な侵入経路の一つだ。OSやソフトウェア、ドライバの更新管理を自動化し、定期的なスキャンで見つかった脆弱性は深刻なものから対処する
• エンドポイント保護の強化：インフラ内の全システムに多要素認証を設定し、ワークステーションとサーバに信頼できる保護ソリューションを導入する。SIEM（Security Information and Event Management）やEDR（Endpoint Detection and Response）があれば、担当者はイベント全体を把握して迅速に対応できる
• 外部公開資産の監視：サーバやデータベース、クラウド、放置されたサブドメインを定期的に点検し、開いたポートやインターネットに露出したサービスの有無を確認する
• 最小権限の原則の順守：ユーザーやシステム、プロセスには業務に必要な権限だけを与える。使われていない権限は取り消し、退職者のアクセスは完全に無効化する
• 従業員教育への投資：攻撃者は人のすきを突いて企業に侵入する。脅威への意識を高めることで、フィッシング被害を減らせる

　暗号化の有無にかかわらず、侵入を許せば恐喝は成立する。Kasperskyの分析は、「ランサムウェア対策＝暗号化への備え」という従来の前提が通用しなくなりつつある現状を示している。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。