Active Directoryを人質に 暗号化なしの恐喝攻撃PAYLOADをKasperskyが解説

「ランサムウェア対策」と聞くと、多くの人がまず思い浮かべるのは、ファイルを暗号化されて身代金を要求される被害ではないでしょうか。ところが近年、データを暗号化せずに企業を恐喝する攻撃が広がりつつあります。暗号化という分かりやすい「証拠」をあえて使わず、それでも企業に金銭を支払わせる手口は、従来の対策の前提を揺るがすものです。

セキュリティ企業のKasperskyは2026年10月9日（現地時間）、暗号化を伴わない恐喝型攻撃が広がる背景と対策を公式ブログで解説しました。同社が2026年5月に公開した脅威動向の分析によると、攻撃者がデータを暗号化して身代金を要求するケースは減りつつあるといいます。本記事では、この変化がどのような仕組みで起きているのか、そして企業として何を押さえておくべきかを整理します。

PAYLOADの発見とActive Directoryの悪用

同社のグローバル緊急対応チーム「GERT」はインシデント調査の過程で、恐喝型のサイバー攻撃「PAYLOAD」を発見しました。攻撃者は被害企業に身代金を要求しましたが、ランサムウェアを一切使っていません。代わりに乗っ取ったのが、Windowsドメイン環境のユーザーや端末を一元管理する基盤「Active Directory」です。

ここで重要なのは、Active Directoryを掌握しただけでは、その事実は被害企業に伝わらないという点です。攻撃者が「侵入した証拠」を被害企業に提示しなければ、恐喝は成立しません。では、攻撃者はどのようにしてそれを可視化したのでしょうか。

攻撃者はActive Directoryの管理機能である「グループポリシーオブジェクト」を悪用し、ドメイン配下の端末に脅迫を一斉に表示しました。グループポリシーオブジェクトは、ドメインに参加する多数の端末へ設定を一括配布する仕組みです。本来は管理者が設定を効率的に配るための機能ですが、掌握されてしまえば、多数の端末へ一斉に任意の表示を出すための道具にもなります。PAYLOADの攻撃者はActive Directory環境を掌握した上で悪意あるグループポリシーオブジェクトを作成し、これを使って身代金要求文書を配布しました。

さらに、壁紙の変更とワークステーションの画面ロックを実行し、システムログイン時に脅迫バナーを表示させました。併せてローカル管理者アカウントも無効化しています。Kasperskyは、この手口で攻撃者は暗号化と同等に「侵害した環境に居座り、機密情報に到達した」事実を誇示できたと分析しています。端末を開けば誰の目にも脅迫が飛び込んでくる状況を作り出すことで、暗号化に頼らずとも「本当に侵入されている」という強い圧力をかけられるわけです。

暗号化が省略される背景

背景には、暗号化しても身代金を回収しにくくなった事情があります。数千台規模の端末が感染した場合、被害企業が復号鍵を受け取っても、データの復号自体に膨大な手間がかかります。ランサムウェア攻撃の多発を受けてバックアップからの復旧が一般化した結果、被害企業にとっては、犯罪者から鍵を受け取って復号するよりバックアップから戻す方が確実になりました。その結果、攻撃者は復号鍵の対価を受け取りにくくなっています。

そこで攻撃者は、機密データを窃取し、「世間に公開する」と脅す手口に軸足を移しました。Kasperskyによると、世界140カ国以上がデータ保護法制を持つため、情報漏えいは高額な制裁金のリスクに直結するといいます。企業の評判や取引先の安全も脅かし、バックアップでは対処できないとしています。データを戻せても、漏えいした情報は戻らないという点が、この手口の厄介さです。

検知のされにくさも攻撃者には利点となります。ファイルの暗号化はディスクアクセスの急増を招くため、エンドポイント保護ツールが比較的早く検知できます。一方、データの持ち出しは通常の通信に偽装しやすい状況です。攻撃グループ「ShinyHunters」は、認可の標準的な仕組みである「OAuth」を軸にSalesforce環境を狙う攻撃を組み立てています。暗号化の工程を省けばデータ窃取そのものも速く済み、発見はさらに難しくなります。

こうした変化を踏まえると、暗号化は「データにアクセスした証明」を示す名刺のような位置付けに後退し、攻撃者はこの省略可能な工程を手放し始めていると考えられます。裏を返せば、暗号化の有無だけで被害の有無を判断する見方は、すでに通用しなくなっているということです。

Kasperskyが挙げる基本対策

Kasperskyは、暗号化の有無を問わず幅広い恐喝型攻撃に有効な基本対策として、以下を挙げています。いずれも特別な新技術ではなく、日々の運用に落とし込める内容です。

• 定期的な自動バックアップ：物理メディアとクラウドの2種類に保存する。復旧に伴う業務停止時間は、全データを失う影響に比べれば小さい
• パッチと更新プログラムの速やかな適用：脆弱（ぜいじゃく）性は依然として主要な侵入経路の一つだ。OSやソフトウェア、ドライバの更新管理を自動化し、定期的なスキャンで見つかった脆弱性は深刻なものから対処する
• エンドポイント保護の強化：インフラ内の全システムに多要素認証を設定し、ワークステーションとサーバに信頼できる保護ソリューションを導入する。SIEM（Security Information and Event Management）やEDR（Endpoint Detection and Response）があれば、担当者はイベント全体を把握して迅速に対応できる
• 外部公開資産の監視：サーバやデータベース、クラウド、放置されたサブドメインを定期的に点検し、開いたポートやインターネットに露出したサービスの有無を確認する
• 最小権限の原則の順守：ユーザーやシステム、プロセスには業務に必要な権限だけを与える。使われていない権限は取り消し、退職者のアクセスは完全に無効化する
• 従業員教育への投資：攻撃者は人のすきを突いて企業に侵入する。脅威への意識を高めることで、フィッシング被害を減らせる

今回の公表で判明していること

暗号化の有無にかかわらず、侵入を許せば恐喝は成立します。Kasperskyの分析は、「ランサムウェア対策＝暗号化への備え」という従来の前提が通用しなくなりつつある現状を示しています。バックアップを取っているから安心、暗号化されていないから大丈夫、という判断はもはや十分ではありません。むしろ、自社のドメイン管理基盤や認可の仕組みがどう守られているか、日頃から点検しておくことが重要になります。

今回の内容は、攻撃の手口が「暗号化」という分かりやすい形から、静かに権限を奪って情報を持ち出す形へと移りつつあることを示す一例です。自社の対策が暗号化前提になっていないか、この機会に確認してみてはいかがでしょうか。