IT & Information security Journal
ランサムウェア攻撃をはじめ、サイバー攻撃の分業化が進み、攻撃者の裾野が広がるなか、企業に求められるセキュリティ対策も刻々と変化しています。近年の動向を踏まえて、企業は2026年にどのような対策に取り組むべきなのでしょうか。
2026年1月に「脅威、思い出のアルバム2025」と題して講演した、SBテクノロジー株式会社（現 ソフトバンク株式会社）の辻 伸弘氏は、2025年のランサムウェア攻撃の傾向を振り返ったうえで、実効的なバックアップのためのポイント、フィッシング攻撃の多様化による影響、そして情報窃取型のマルウェア「インフォスティーラー」の脅威と特徴について詳しく解説しました。
この記事のポイント
バックアップは取って終わりではない。「保護」「訓練」「速度」の3つの観点から、有事に機能するかを確認する必要がある
ランサムウェア攻撃の経路には、脆弱性や認証情報の悪用といったテクニカルなものに加え、人の心理的な隙や行動のミスに付け込む「ソーシャルエンジニアリング」がある。その代表例であるフィッシングによりCookieを窃取されると、IDとパスワードなしで、多要素認証さえも迂回して正規サイトにログインされてしまう
感染した機器からIDやパスワード、Cookie等を窃取するマルウェア「インフォスティーラー」について、エコシステムが確立されてきている。一方で、被害が見えづらく明確な被害事例があげられないのが現状
「侵入前提」になりつつある一方、簡単に防御を諦めず、準備力と組織力で最善を尽くすことが重要
辻氏は2020年ごろからランサムウェア攻撃者の観察を続けており、特に二重脅迫・多重脅迫型の攻撃者が運営するリークサイトの分析・集計に注力しています。
2025年1月1日から11月30日までの観察結果によると、リーク総数は3,892件で、被害組織の所在地国は119か国、業種は27業種に及びました。
所在地国は米国が圧倒的に多く、ヨーロッパ諸国とカナダが続く傾向は例年どおりですが、2025年は日本が上位に入ってきた点が特徴的です。これは日本が特別に狙われているというよりも、日本も攻撃するグループ（QilinやAkira）の活動が活発化したことによるものと辻氏は分析します。
ランサムウェア被害により情報をリークされた組織を業種別に見ると、製造業が1位、テクノロジー産業が2位となりましたが、その後は団子状態です。「これは、どの業種が狙われてもおかしくないといえる割合であり、攻撃者は業種を選ばず『取れるところから取る』姿勢であることが明らかであると考えてほしい」と辻氏は語ります。
近年、ランサムウェア攻撃を仕掛ける側には経済圏が生まれており、分業・専業化が進んでいます。辻氏が特に注目するのが「イニシャルアクセスブローカー（IAB）」の存在です。IABは脆弱性のあるサーバーや認証の弱いリモートデスクトップ、マルウェアで制御可能になったPCへのアクセス権を「商品」として販売します。ランサムウェア攻撃者が取引を行うフォーラムでは、実際に日本の大手企業のリモートデスクトップへのアクセス権が3,000ドルからオークション形式で出品されている例もあるといいます。
IABはランサムウェアの実行犯にアクセス経路を販売し、実行犯はランサムウェア開発者からツールの提供を受けて攻撃を展開します。身代金を得た場合、多くのケースでは実行犯が8割、開発者が2割という相場で分配されるといいます。
辻氏は、「分業化によって攻撃者の裾野が広がった結果、脆弱性を放置していたり、弱い認証を設定していたりすれば、被害に遭うのはもはや必然だ」と警鐘を鳴らします。そのうえで、「自社には狙われるようなものはない」という無関心な態度は通用せず、「順番が回ってくる」という感覚を持つべきだと強調しました。
ランサムウェア被害に遭った際に、身代金を支払うかどうかの判断は事業継続の観点からも重要です。辻氏は支払いの是非について、「暗号化を解除するための支払いについては、業務が立ち行かない、社員を解雇しないといけなくなる、といった場合に仕方なく行うのは理解できるし、致し方ないケースもあるだろう」と説明します。一方で、窃取された情報を削除させるためだけの支払いについては、基本的に反対の立場だと語ります。その理由は、本当に情報が削除されたかどうかの確認が取れないためです。犯罪者が約束を履行する保証はありません。実際に捜査機関の調査で削除されていなかった事例も数多く見られます。
ソフォスのレポート（2025年1月〜3月にアンケートを実施、過去1年以内のランサムウェア被害組織対象）1 によると、データの復元方法は「バックアップ」54%、「身代金の支払い」49%、「その他」29%とされています（合計が100%を超えるのは併用するケースがあるため）。また、過去6年の推移を見ると、身代金支払いの割合は2025年こそ減少したものの、依然として過去2番目に多い水準にあり、右肩上がりの傾向は続いています。
辻氏が懸念するのは、これだけランサムウェアによる被害が騒がれているにもかかわらず、バックアップからの復旧率が上がっておらず、2023年からは下がり続け、過去6年間で最低となった点です。この傾向について辻氏は、「バックアップに手が回っていないような規模の組織にも攻撃が回ってきているのではないか。薄利多売型の攻撃が増えている可能性が考えられる」と推察し、大企業だけでなく中小企業への攻撃も増加している可能性を指摘します。
「セミナーで『バックアップを取っていますか？』と聞くと99%が手をあげるものの、『元に戻せる自信はありますか？』『訓練をしていますか？』『マニュアルは最新ですか？』と続けると、だんだん手が下がっていく。バックアップは取って終わりではない。取るだけではストレージの肥やしでしかない」（辻氏）
それでは、有事に機能するバックアップを実施するためには、どのような観点が重要になるのでしょうか。辻氏は次の3点をあげて説明します。
1つ目が「保護」の観点です。攻撃者としてはバックアップからデータを復旧されては困ることから、本番環境よりも先にバックアップを潰しにくるケースが見られるといいます。そのため、攻撃者がバックアップを破壊しにくることを前提に、ネットワークに侵入された場合でもバックアップにはアクセスが及ばないよう、安全に保護する必要があります。
2つ目のポイントは「訓練」です。本当に復旧できるのか、訓練を通して見直すことが重要です。もしも自社だけでは行えない場合は、一部のバックアップソリューションのベンダーが提供する訓練サービスを利用するのも有効です。
そして、3つ目は「速度」です。バックアップから100%戻すことができればダメージはゼロ、というわけではありません。復旧に時間がかかるほど、業務停止による損害は拡大し、企業への印象も悪くなることが考えられるため、いかに早く戻すかが事業継続の鍵となります。
「お金を払えば早く復旧できるかもしれないが、払わずに済むための備えとして、この3点を見直してほしい」と辻氏は強く訴えました。
ランサムウェア攻撃の経路というと、脆弱性や認証情報の悪用といったテクニカルな話に偏りがちですが、「忘れてはいけない経路」として辻氏は「ソーシャルエンジニアリング」をあげます。人の心理的な隙や行動のミスに付け込み、金銭や機密情報を狙う手法です。
かつては「日本語の壁」が防御になるといわれましたが、AIや翻訳ソフトの発達により、その壁はもはや存在しません。実際、攻撃者のフォーラムでは「韓国語、中国語、日本語をネイティブレベルで扱える人材」を募集する書き込みも見られ、アジア圏への攻撃意欲が高まっています。
ソーシャルエンジニアリングの代表例がフィッシングです。辻氏は独自にフィッシングを3つのパターンに分類して解説しました。
1つ目の通常のフィッシングは、攻撃者がメールやSNSなどから偽サイトに誘導し、入力されたIDとパスワードを窃取します。攻撃者は本物のサイトにログインしてアカウントを乗っ取る、最も典型的なパターンです。
2つ目はリアルタイムフィッシングです。被害者が偽サイトにIDとパスワードを入力すると、攻撃者がそれらの情報をリアルタイムに本物のサイトへ入力します。もし、正規サイトで二要素認証が要求される場合でも、被害者が偽サイトに入力したワンタイムパスワードを攻撃者も即座に使ってログインします。そのため、有効期限がある二要素認証であっても突破されてしまうのです。
そして3つ目が、AitM（Adversary-in-the-Middle）です。この手法では、偽サイトは正規サイトとの通信を中継（プロキシ）し、被害者には正規サイトのコンテンツが表示されます。IDやパスワード、二要素認証も、偽サイトを中継して正規サイトに入力されます。そのうえで、正規サイトから発行される「Cookie（認可情報）」を、偽サイトを通じて攻撃者が窃取するのです。
Cookieは、IDとパスワードにより認証された後に発行される認可情報です。辻氏は「これを持っていればビル内を自由に移動できるという入館カードのようなもの」だと説明します。攻撃者がこのCookieを入手すると、IDとパスワードなしで、多要素認証さえも迂回して正規サイトにログインできてしまいます。
「もしも皆さんのブラウザに保存されているCookieを私がもらえたら、私のPCにそのCookieを読み込ませるだけで、『ようこそ○○さん』と皆さんのアカウントでアクセスできる」と辻氏は具体例を示し、Cookie窃取の恐ろしさを強調しました。
IDとパスワードしか持たない攻撃者は多要素認証で阻まれますが、Cookieを持つ攻撃者はすでに認可された状態となるため素通りできます。辻氏は「自社のフィッシング対策がこれらのパターンすべてを網羅できているか見直してほしい。フィッシング耐性のある認証方法をとることができているか、新たに導入を検討する必要があるのかなどを確認してみてほしい」と呼びかけました。
2025年に急増した新しい攻撃手法が「ClickFix」と「FileFix」です。あるベンダーのレポートでは、2025年5月時点で前年比500倍の攻撃件数が報告されているといい、攻撃者にとって使い勝手のよい手法であることがうかがえます。
ClickFixの手法が実行される悪意あるサイトへの誘導経路は2つあります。1つは攻撃者がメールで直接誘導する方法。もう1つは、正規サイトを改ざんして当該サイトへリダイレクトさせる方法です。後者は「さっきまで安全だったサイトが急に牙をむく」状態に変えられてしまうものです。
ClickFixが実行されるサイトにアクセスすると、「ロボットではないことを証明するため、次の手順を行ってください」といった指示が表示されます。指示の代表的な内容は、「Windows＋Rを押す」→「Ctrl＋Vを押す」→「Enterで実行」という操作を求めるものです。一見すると単純な確認手順のようですが、裏ではクリップボードに悪意のあるスクリプトがコピーされ、被害者が操作を進めるとマルウェアに感染してしまいます。
「詳しい方はおかしいと気づくかもしれないが、会社の人たち全員が理解できるわけではない」と辻氏は指摘します。さらに、「ロボットでないことの確認」を騙るパターンだけではなく、「ブラウザ設定が古いので、サイトを正常に表示するにはこの操作をしてください」といった、さまざまな口実でユーザーを騙すパターンを作れてしまう点が厄介だといいます。
FileFixも基本的に同様の手法ですが、「ファイル名を指定して実行（Windows＋R）」ではなく、「エクスプローラーを開かせる（Windows＋E）」点が異なります。いずれも防ぐのが難しい攻撃です。
ClickFixなどにより感染させられるマルウェアとして、辻氏が「ランサムウェアと同じくらい危機感を持っている」と語るのが「インフォスティーラー」です。
インフォスティーラーは、感染したPCやモバイル機器から、主にブラウザに保存されたIDやパスワード、Cookieを盗むことに特化したマルウェアです。キーログ、クレジットカード番号、暗号資産関連情報、メール内容を盗むものもありますが、その中で最も悪用されがちなのが、認証情報とCookieだといいます。
インフォスティーラーを取り巻くエコシステムでも、ランサムウェアと同様に分業化が進んでおり、「Lumma」「Vidar」「StealC」といったマルウェア生成サービス（MaaS：Malware as a Service）が存在します。これらはサブスクリプション型で、1週間あたり130〜250ドル程度を払えば、インフォスティーラーを作り放題になります。
インフォスティーラーによって盗まれた認証情報の多くは、ブラックマーケットで販売されます。辻氏が例として紹介したブラックマーケットでは、国別や含まれる認証情報ごとに検索がかけられるようになっており、相場は10ドル程度、セール時には2ドルほどで認証情報が売られていることもあるといいます。「この中に皆さんの会社へのアクセス情報が含まれていたらと考えると、ゾッとしませんか？」と辻氏は問いかけます。
攻撃者側の収益化の流れは次のとおりです。まず攻撃者（利用者）がインフォスティーラーをサブスクとして販売するMaaSに料金を支払い、マルウェアを生成します。その後、メールやWeb、ClickFixなどでそのマルウェアをばらまいて感染させます。盗んだ認証情報をマーケットに出品すると、それを悪用したい購入者が代金を支払います。そして認証情報の購入者は、入手した情報を用いて被害組織にアクセスし、情報窃取やランサムウェアの展開を行うのです。
辻氏は「被害事例を紹介したいが、残念ながらこれという事例がないのが現状」と語ります。認証情報が盗まれたことが原因としてあげられる事件はあるものの、インフォスティーラーによって盗まれたと立証することが難しいためです。
「『複雑なIDとパスワードのはずなのに』『二要素認証を設定しているはずなのに』なぜか一発で攻撃者が入ってきたという事象はわかっても、ユーザーのPCを調べても痕跡が消えているため、それ以上は調べようがない。因果関係を立証できる事例が出てこない」（辻氏）
例として、委託先のPCや社員の私用PCが感染源となるケースを考えます。委託先や社員宅と自社とのあいだがVPNで接続されている環境で、委託先や社員宅のPCがインフォスティーラーに感染し、VPN接続用の認証情報が盗まれた場合、攻撃者はその情報を用いてVPN経由でアクセスしてくるため、侵入された事実はわかりますが、委託先や社員宅の調査は困難です。調査のために委託先や社員宅に訪問したころには痕跡が消えていることも多いといいます。
「さらに、社員宅や委託先は、企業の環境と同等のセキュリティレベルになっていない可能性が高い」と辻氏は指摘します。たとえば、企業内で設定したIDとパスワードが社員宅のPCのブラウザに同期されていれば、それが盗まれるリスクもあります。
「脅威は皆さんに見えていないだけで、確実に存在している。委託先の管理や、社員宅からアクセスしている人たちの保護がしっかりできているか、棚卸しをしながら見直してほしい」と辻氏は強く訴えました。
辻氏はセッションの最後に、2026年のセキュリティ対策を考えるうえで重要となる2つの要素に言及しました。
1つ目は「準備力」です。どういった攻撃があるかを知り、それに対する準備ができているか。以前に実施した対策が今も有効なのか。足りないなら何をすべきか。こうしたことを、常に見直し続けることが求められます。2つ目は「組織力」で、これは組織全体をあげて漏れなく対策を講じる力を指します。「この2点が、最終的には組織や事業を継続していくための大事な要素となる」と辻氏は提言します。
さらに、辻氏は「侵入前提」という言葉が一般的になりつつあるとしながらも、「侵入対策を簡単に諦めないでほしい」と訴えました。
「今できることはたくさんある。棚卸しをすれば無料でできる対策もあるかもしれない。やられることを前提に考えるのは大事だが、やられてもいいわけではない。まずは入られない、風邪を引かないような対策を改めて検討してほしい」（辻氏）
侵入の完璧な防止は無理であっても、最善を尽くしてダメージコントロールを行い、組織の被害を最小限にできたといえるような対策を講じること。それこそが、2026年の企業に求められる姿勢だとして辻氏は講演を締めくくりました。
（文：小池 晃臣）
アーカイブ配信について
本記事で紹介している講演は、UNITIS会員向けにアーカイブ配信を行っています。
記事で扱うトピックの詳細や各スライドの内容等については、ぜひ動画でもご確認ください。
※アーカイブ配信の視聴には、会員登録（無料）が必要です。
※アーカイブ配信は、予告なく終了することがございます。
UNITISは、IT・セキュリティ担当者へ、実務家・専門家による解説や他社事例等を伝えるメディアです。セキュリティ・法律の専門家による実務解説や分析、第一線の実務家による事例・ノウハウをお届けします。
Monthly Incident Report
この記事をシェアする
最新情報をフォローする