ランサムウェア攻撃者、同一企業内の複数従業員を侵害

ランサムウェア攻撃は、特権を持つITシステム管理者だけでなく、重要な業務プロセスを担う人物そのものを標的とする傾向を強めています。

アンチウイルス&マルウェア

1カ月間の観測期間中、ThreatLabzは単一のランサムウェアキャンペーンに関連する334の組織にまたがる351人の被害者を確認しました。

これらの組織のうち十数社では複数の従業員が侵害されており、初期段階のアカウント乗っ取りが単発のセキュリティ事象ではなく、組織的な侵入の入り口に過ぎない可能性を示しています。

被害者は無作為に選ばれたわけではありません。約62%が管理職以上の役職に就いており、約75%が経理・財務、営業、業務、人事、マーケティングのいずれかの部門で働いていました。

これらの職務は、研究者たちが「ビジネス特権」と呼ぶものを備えています。すなわち、システムや記録、承認権限、取引関係、情報へのアクセス権であり、従来のシステム管理者権限と同様にランサムウェア攻撃者にとって有用なものです。

例えば、地域営業マネージャーは日常的に顧客アカウント、商取引契約、価格データ、売上予測、機微な連絡内容にアクセスしている可能性があります。

買掛金管理マネージャーは、仕入先の記録、請求書、支払情報、承認ワークフローを扱っていることがあります。

プロジェクトマネージャーは、予算やロードマップ、社内文書、主要製品や事業拡大の取り組みに関わるシステムへのアクセス権を持っている場合があります。

これらの役職を侵害することで、攻撃者はシステム管理者アカウントに通常向けられるような厳しい監視の目を逃れながら、データ窃取や決済詐欺、社内なりすまし、企業アプリケーションへの広範なアクセスを実現できます。

Zscaler ThreatLabzの新たな調査によると、攻撃者は同一組織内の複数の従業員を侵害することで、強靭なアクセス経路を確保し、価値の高いデータを窃取し、恐喝の圧力を高めていることが分かりました。

今回のキャンペーンは、ランサムウェアの標的選定における組織的背景の重要性も浮き彫りにしています。

被害者の年齢は23歳から70歳まで幅がありましたが、最も多かったのはX世代で44%を占め、平均年齢は46歳でした。

ThreatLabzによれば、この相関関係は年齢そのものよりも、勤続年数や役職に起因する可能性が高いとしています。このキャリア段階の従業員は、チームや予算、仕入先、契約、部門横断的な業務を管理する立場にあることが多いためです。

複数の従業員アカウントが侵害される

被害者の35.5%を製造業が占め、次いで情報技術分野が14.6%となりました。製造業の環境では、従業員1人が侵害されるだけで、製造、物流、流通、仕入先、サービス提供に関連するシステムやデータが露呈する可能性があります。

IT組織内では、認証情報の窃取によって攻撃者が知的財産、顧客環境、製品プラットフォーム、価値の高い技術文書を把握できるようになる恐れがあります。

こうした業務機能を妨害することで、恐喝交渉における攻撃者側の業務的・金銭的な優位性が高まります。

今回の調査結果は、標的型のデータ窃取と個人に合わせたソーシャルエンジニアリングへと向かうランサムウェアエコシステム全体の変化と一致しています。

アンチウイルス&マルウェア

ThreatLabzは以前、ランサムウェアの活動が前年比145.9%増加し、公開恐喝事案も70.1%増加したと報告しています。

現在ではデータ窃取そのものが主要な目的となるケースが多く、一部のグループはファイル暗号化のみに頼るのではなく、情報の公開をちらつかせて支払いを迫っています。

防御側にとって実務上の示唆は明確です。最初に侵害されたユーザーだけでなく、それ以降の動きも調査する必要があります。複数の従業員が影響を受けている場合、それは横方向への侵入拡大、組織的な認証情報の窃取、あるいは複数の事業部門にまたがる持続的なアクセスの兆候である可能性があります。

監視対象には、不審なサインイン、データ転送、リモートアクセスの活動、メールボックスルールの変更、コラボレーションプラットフォーム上のメッセージ、企業アプリケーションの異常な利用などを含めるべきです。

また組織は、最小権限の原則を徹底し、アクセスをセグメント化し、Microsoft TeamsなどのプラットフォームやSlackを通じた不審な外部からのメッセージや通話を制限することで、業務用アカウントが侵害された際の影響を軽減すべきです。

従業員は、特に多要素認証のプロンプトの承認やリモートツールのインストール、認証情報の開示を求められた場合には、信頼できる社内の連絡経路を通じて、予期しないITサポート要請の真偽を確認する必要があります。

もはやランサムウェア対策は、サーバーやドメイン管理者の保護だけを軸に構築することはできません。

現代の攻撃対象領域には、日常業務の権限を通じて財務、顧客、業務、仕入先、機微なデータをつなぐマネージャー層も含まれます。

そのため、業務アクセス権は価値の高い標的であると同時に、1人の従業員の侵害が全社的な情報漏えいへと発展するのを防ぐための重要な制御ポイントとなっています。

2026年版Agentic SOC購入ガイドをおすすめする理由 主要8プラットフォーム徹底比較 – 2026年版購入ガイドをダウンロード