Dragosによると、産業環境を支えるITシステムを混乱させるだけで、ランサムウェアの攻撃者が産業制御システム(ICS)に直接アクセスできなくても、生産を停止させるのに十分な場合があります。
同社は2026年第2四半期に、産業関連組織を狙ったランサムウェア事案を1,140件確認しました。これは第1四半期の1,020件から12%増加した数字です。この数値は、公開された被害組織のデータと、ランサムウェア集団がデータ漏えいサイトに投稿した情報に基づいています。製造業は747件で、全体の65%を占めました。
建設業は176件、設備製造業は114件、食品・飲料関連組織は70件でした。エンジニアリング企業、システムインテグレーター、設備メーカーなど、ICS環境を支援する組織も117件を記録しました。運輸・物流業界は95件でした。
(出典:Dragos)
Dragosの研究者であるLexie Mooney氏とAbdulrahman H. Alamri氏は、「ランサムウェアは産業組織にとって最も執拗かつ破壊的なサイバー脅威であり続けています」と述べています。
「産業組織が直面するリスクは、ICS特有の新型マルウェアよりも、むしろOT環境を支えるエンタープライズITシステムへの攻撃者の関心の高まりによって形作られつつあります」としています。
両氏はさらに、「ERPシステム、仮想化インフラ、ID管理サービス、リモートアクセスゲートウェイといったプラットフォームは、それらを混乱させることが生産停止やサプライチェーンへの影響へと急速に波及しうるからこそ、価値の高い標的となっています」と付け加えています。
オーストラリア第2位の粗糖生産企業であるMackay Sugarは、6月10日にサイバー攻撃を受けたことを公表し、クイーンズランド州にある3つの製糖工場のうち2つで搾汁作業とサトウキビの搬送が停止しました。1つの工場は2日後に手動での限定的な搾汁作業を再開しました。その後、Gentlemenランサムウェア集団が同社を自らのリークサイトに掲載しました。
Dragosは、攻撃者がICSに到達したり、OTを直接操作したりした証拠は見つからなかったとしています。研究者らは、この事案が主にエンタープライズITに影響を及ぼしたと低い確信度で評価しており、生産停止が攻撃そのものによるものか、その後に講じられた封じ込め対策によるものかは依然として不明としています。
ランサムウェアの恐喝ではデータ窃取が中心的な位置を占め続ける
Dragosは、恐喝の手口が引き続きファイル暗号化からデータ窃取へと軸足を移していると指摘しています。
これはつまり、侵害を受けたシステムが復旧した後も、組織が引き続き被害にさらされる可能性があるということです。盗まれた従業員、顧客、取引先、財務、業務に関するデータが公開されたり、さらなる恐喝に利用されたりする恐れがあるためです。
攻撃者は引き続き、インターネットに公開されたデバイス、リモート管理ツール、侵害されたアカウント、盗まれた認証情報を通じてアクセスを獲得していました。
Qilinは第2四半期に産業分野の被害組織に関する主張件数が最も多く、140件を記録しました。これは第1四半期の198件から減少しています。Akiraは100件から129件に増加し、Gentlemenは83件から125件に増加しました。この3集団の件数差は15件以内に収まっています。
Qilinの関連組織は、侵害された認証情報や脆弱なインターネット公開インフラなど、複数の経路で被害者のネットワークに侵入しました。Akiraは侵害されたVPNデバイスを利用し、Gentlemenはエッジデバイスを標的にしてから企業ネットワークの深部へと侵入を進めました。
ITサポートを装ってTeamsで接触する攻撃者
研究者らは、「ソーシャルエンジニアリングは今四半期を通じて最も一貫して報告された初期アクセスの手口であり、その手法はメールからエンタープライズ向けコラボレーションプラットフォーム上での対話的ななりすましへと移行しました」と述べています。
複数の集団が社内のITサポートを装い、Microsoft Teams経由で従業員に接触し、画面共有セッションへと誘導したうえで、AnyDeskやQuick Assistといったリモート監視ツールをインストールさせていました。
一部の攻撃者は、被害組織の命名規則に似せた認証情報詐取用ドメインを用意し、従業員が入力するパスワードや多要素認証(MFA)コードを窃取していました。
FBIは5月末、Luna Mothとしても知られるSilent Ransom Groupが、ITの技術者を装って従業員のオフィスに直接工作員を送り込み、USBドライブをマシンに直接接続する手口を始めたと警告しました。
法執行機関がランサムウェアのインフラを標的に
当局は今四半期も、攻撃を支えるサービスやマルウェアを含め、ランサムウェアのインフラを標的とした取り組みを続けました。
国際的な作戦により、匿名化サービス「First VPN」が解体され、27カ国で33台のサーバーが押収されたほか、数千人のユーザーが特定されました。
6月中旬から下旬にかけて実施されたOperation Endgameのある段階では、ランサムウェアの攻撃者に盗まれた認証情報や初期アクセスを提供しうるSocGholish、Amadey、StealCの各マルウェアファミリーが標的となりました。この作戦では、数千万件に上る盗まれた認証情報も回収されました。
依然として最大の標的である米国
北米では514件の事案が記録され、第1四半期の480件から増加しました。欧州は316件で、こちらも252件から増加しています。米国単独では431件を占め、世界全体の38%に相当しました。
ドイツは四半期間で特に大きな変化が見られた国の一つで、被害の申告件数が37件から68件へと増加しました。ドイツで被害を申告した組織のうち76%を製造業が占めています。
アジアでは172件が記録され、台湾とタイが上位を占めました。南米は64件、中東は44件、オーストラリア・ニュージーランドは19件、アフリカは11件でした。
Dragosは「組織は、インターネットに公開されたすべての資産が発見可能であり、攻撃者から積極的に狙われていることを前提とすべきであり、これにより継続的な外部攻撃対象領域管理が不可欠になります」と結論づけています。
翻訳元: https://www.helpnetsecurity.com/2026/08/11/industrial-ransomware-attacks-q2-2026/
