イタリアではランサムウェアの活動が勢いを増しており、新興のランサムウェア・アズ・ア・サービス(RaaS)グループ「Panzer」が急速に注目を集めています。
Ransomfeedの報告によると、2026年9月上旬までにイタリアの組織に対する攻撃は212件に達しており、これは2025年通年で記録された169件をすでに上回っています。
Panzerは2026年8月5日にリークサイトとアフィリエイト向けプラットフォームを立ち上げて登場しました。活動開始からわずか1カ月の間に、同グループは11カ国にまたがる16件から19件の被害を主張しています。
被害を主張された組織のうち2社はイタリアの企業で、トレビーゾに拠点を置くキッチン製造会社Doimo Cucineと、カタンザーロの通信エンジニアリング企業NTE Italiaです。
Doimo Cucineは8月17日にPanzerのリークサイトに掲載され、攻撃者は30GBのデータを窃取したと主張しています。NTE Italiaはその4日後に掲載され、16GB分の機密文書を窃取したとされています。
両社とも、これらの被害を公式には確認していません。リークサイトへの投稿はあくまで攻撃者側の主張にすぎず、侵害の検証済み証拠として扱うべきではありません。
Panzerが際立っているのは、公開分析されたランサムウェアの検体が存在しないにもかかわらず、成熟したアフィリエイト向けプラットフォームを備えているとされる点です。
同グループは、アフィリエイトがToxメッセージングを通じて申請し、審査を経てからアクセス権を得る「半オープン型」のRaaSモデルを採用しているとみられています。
このプラットフォームでは、身代金の支払いのうち80%がアフィリエイトの取り分となり、残りの20%をPanzerの運営者が受け取るとされています。
さらに、ビットコインの請求書自動生成機能や収益追跡、被害者との交渉チャット、リーク公開ツール、サポートチケット、アフィリエイトチーム向けのサブアカウント管理機能も備えています。
Panzerの運営者は、7日間以上活動のないアカウントを無効化するとされています。また、新規アフィリエイトについては最初の1カ月間監視を行い、研究者や法執行機関による潜入の試みを見抜こうとしていると主張しています。
これは、Panzerが小規模なランサムウェア集団ではなく、管理されたサービス型の犯罪組織として運営を目指していることを示しています。
同組織はWindows、Linux、VMware ESXi、FreeBSD向けのペイロードビルドを謳っています。このクロスプラットフォーム対応により、複数種のサーバー環境を混在させている企業にとってリスクが一段と高まります。
ESXiへの対応は特に深刻な問題です。ハイパーバイザーが侵害されると、攻撃者は一度に多数の仮想マシンを暗号化できるようになり、単一障害点から数十に及ぶ業務サービスを混乱させる可能性があるためです。
Panzerは二重恐喝の手口を用いています。攻撃者はシステムを暗号化する前にデータを窃取したとされ、被害者が支払いを拒否した場合は盗んだ情報を公開すると脅迫します。
強固なバックアップは暗号化されたシステムの復旧には役立ちますが、盗まれた文書や顧客情報、設計データ、ネットワーク情報の流出そのものを防ぐことはできません。
Panzerの検証済みマルウェアハッシュ、コマンド&コントロールサーバー、ネットワーク侵害指標は、いずれも公開されていません。したがって防御側は、ファイルベースの検知ではなく行動の検知に重点を置くべきです。
andreafortuna氏の指摘によれば、疑われる活動には、認証情報のダンプ、ブルートフォース攻撃、リモートサービスの悪用、ネットワーク探索、データ収集、外部への持ち出し、セキュリティツールの無効化の試みなどが含まれます。
危険性の高い兆候としては、不審なVPNログイン、新規に作成された管理者アカウント、ScreenConnectやAnyDeskといった見慣れないRMMツールの使用、ユーザーフォルダやProgramData内の大容量アーカイブファイル、Rcloneの実行、クラウドストレージサービスへの不審な外部転送などが挙げられます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/panzer-ransomware-hits-enterprises/
