暗号化前に狙われる復旧手段
8月の悪用ツールランキングでは、「VSSAdmin／Shadow Copy」が前月から2つ順位を上げ、15の組織で観測されました。VSSAdminはWindowsの復元用スナップショットを管理するコマンドであり、攻撃者はこれを悪用して暗号化の直前に復元ポイントを消し去るとしています。
攻撃者がこの手順を踏むのは、企業が自力で短時間に復旧できれば、身代金を支払う理由がなくなるためです。暗号化は攻撃の最終段階であり、その前に復旧手段を潰しておくことが攻撃者にとって重要であると指摘されています。
攻撃ツールの変化：環境寄生型が急増
8月に観測されたアラートをカテゴリー別に集計した結果、攻撃者が持ち込むツール全体の変化が明らかになりました。攻撃用のツールやリモート監視・管理（RMM）ツールの観測件数が減少する一方で、「環境寄生型（LOLBAS）」のアラートが前月比で約7割（72.0%）増の86件に達しました。
環境寄生型は、攻撃者が新たなツールを持ち込まず、OSに元からある正規の機能を悪用する手法です。VSSAdminもこのカテゴリーに含まれるといいます。正規のコマンドが実行されるため、マルウェアとしては検知されにくく、通常の運用作業との区別も困難であると説明されています。
これにより、復旧手段を破壊する作業が、防御側から最も見えにくい形で行われていることが示唆されています。
| カテゴリー | 7月 → 8月 | 増減 |
|---|---|---|
| 環境寄生型（LOLBAS） | 50 → 86件 | +72.0% |
| データ窃取 | 36 → 45件 | +25.0% |
| リモート監視・管理（RMM） | 3,262 → 2,440件 | -25.2% |
| 攻撃的セキュリティツール | 50 → 30件 | -40.0% |
ランサムウェアグループ動向：Qilinが首位奪還
グループ別の攻撃件数ランキングでは、「Qilin（キリン）」が148件で首位を奪還しました。2か月連続で首位だった「The Gentlemen（ザ・ジェントルメン）」は123件で2位に後退しています。
トップ15のうち、順位を維持したのは5グループのみで、8グループが再ランクインし、「Orova」と「Dark Project」の2グループが新規に加わりました。3位には「Cl0p」、10位には「LockBit」が再び上位に登場しています。
ただし、このランキングは世界全体の集計であり、日本企業にとっての危険度と一致するとは限らないと注意を促しています。「ランサムハウス（RansomHouse）」は今月のトップ15には入っていませんが、同グループが公表した攻撃のうち米国企業を対象としたものは約4割にとどまり、ヨーロッパやアジア各国の企業も標的に含まれると説明されています。
「ランサムハウス」の手口：正規の鍵で侵入か
Halcyon Japanが7月30日に開催したウェビナーでは、元米連邦捜査局（FBI）サイバー部門幹部のシンシア・カイザー氏が「ランサムハウス」の手口について解説しました。同グループは、イニシャルアクセスブローカーと呼ばれる業者から、パッチ未適用のVPNゲートウェイやリモートアクセス製品への入口を調達し、正規の鍵を使って侵入するケースが多いとされています。
侵入後は、情報システム部門が日常的に使う管理ツール、例えばActive Directoryの調査やネットワークスキャナの実行など、正規の操作にしか見えない活動を行うといいます。これにより、多くのセキュリティ製品がアラートを上げにくい状況が発生し、今月増加した「環境寄生型」攻撃と同じ発想であると指摘されました。
同グループの本命の標的はVMware ESXiのような仮想基盤であり、数十から数百台の仮想サーバーが数分で停止する可能性があると警告されています。記録に残る事案では、例外なく暗号化の前に数テラバイト規模のデータが持ち出されており、侵入から全社暗号化まで約1時間で完了したケースもあるといいます。
ウェビナーでは、バックアップ保護のためのイミュータブル（書き換え不能）バックアップの有効性に関する質問も寄せられ、バックアップそのものが攻撃対象になっているという認識が日本企業の間にも広がりつつあることが示されました。
ウェビナーの要点はダイジェスト動画とブログで公開されています。
Halcyonの対策：攻撃の初期段階で阻止
Halcyonのデータによると、8月に観測された攻撃の約98.3%が初期アクセスや偵察といった初期段階で阻止されたといいます。データの破壊や暗号化に至る前の阻止率は約99.2%以上で、攻撃を防いだことによる推定侵害コスト削減額は7,840万ドルを超えるとされています。
同社は、攻撃の準備段階から暗号化直前まで各段階に防御を張り、多くの製品が見落とす手口も捉えるとしています。初動対応は24時間365日体制のROCが代行し、身代金の支払いや業務中断のリスクを抑制すると説明しています。
レポート解説ウェビナーの開催
Halcyon Japanは、本レポートの内容について2026年9月18日（金）午前11時からオンラインセミナーを開催します。ROCが収集・分析した一次データに基づき、2026年8月のランサムウェア動向が解説される予定です。参加費は無料です。
Halcyon Japanカントリーマネージャーのコメント
Halcyon Japan株式会社のカントリーマネージャーである露木 正樹氏は、「バックアップさえ取っていれば事業は止まらないと多くの日本企業が考えていますが、攻撃者はその前提を承知したうえで動いています。暗号化しても自力で復旧されてしまえば、身代金を払う理由がなくなるため、暗号化の前に復旧手段を潰しにきます」とコメントしています。
また、「8月の観測は、その工程を捉えたものです。攻撃者はもう自前のツールを持ち込まず、OSに元から入っている正規の機能を使い、通常の運用作業に紛れながら復元ポイントを消していきます。私たちにとっての最後の砦が、暗号化の一歩手前で静かに外されているということです」と現状を分析しています。
打つべき手として、「バックアップをネットワークから切り離した場所に置くこと」と「そこへ手が伸びる前の段階で攻撃を止めること」の二つを挙げ、ROCの検知データを通じて日本企業が「バックアップはあったのに戻せなかった」という結末を迎えないよう支援していく考えを示しました。
Halcyonについて
Halcyonは、ランサムウェアへの耐性を高めることに特化して設計された専用プラットフォームを提供している米国サイバーセキュリティ企業です。既存のツールでは検知が難しい攻撃を阻止し、万一突破された場合でも数分で復旧することで、事業への影響を最小限に抑えるとしています。
日本法人では、業種・規模を問わずランサムウェア対策を必要とする国内企業に対し、プラットフォームの提供と導入支援を本格化しているといいます。パートナー経由や主要なクラウドプロバイダー経由での調達にも対応しています。詳細はお問い合わせください。
ソース元:
Halcyon Japan株式会社のプレスリリース「ランサムウェアは、暗号化より先にバックアップを消す〜Halcyonが2026年8月のROC STARレポートを公開〜」
URL: https://www.halcyon.ai/jp