ランサムウェアの攻撃グループは、ID基盤への攻撃、人工知能（AI）の悪用、個人への脅迫を組み合わせ、被害者に圧力をかけています。
Semperisによると、ランサムウェア攻撃を受けて被害に遭った調査対象組織のうち、87%が攻撃者にID基盤を狙われたと回答しました。また、84%はAIが関与する攻撃を受けたと分類しています。
調査結果からは、攻撃者が暗号化したデータや業務停止だけでなく、さらに多様な手段で圧力を強めている一方、復旧体制の備えには大きな穴があることが明らかになりました。
この調査は、調査会社Censuswideと共同で2026年上半期に実施されました。9カ国・8業種のITおよびセキュリティ担当者1,200人が対象です。
重要な点として、回答者はいずれも、ランサムウェアによる業務への支障をすでに経験した組織に所属しています。
このため、結果が示すのはあくまで被害組織の実態であり、全組織におけるランサムウェアの蔓延度ではありません。AIの関与についても、第三者によるフォレンジックで裏付けられたものではなく、回答者自身の評価に基づいています。
ID基盤は、攻撃対象の中心となっています。報告書によると、標的となった割合はActive Directoryが51%、Microsoft Entra IDが48%、Oktaが27%でした。これらの環境では、攻撃者が権限を悪用したり、ネットワーク内を横展開したりする余地が生まれます。
Semperisのセキュリティ研究担当エグゼクティブであるTomer Bar氏は、Active Directoryで十分な権限を握れば、ランサムウェアの攻撃者はマシン間を移動し、組織全体のシステムを暗号化できると警告しています。
こうしたリスクがあるにもかかわらず、ID専用のバックアップを保有していた組織は調査対象の50%にとどまり、ID復旧の自動化ソリューションを導入していたのは42%でした。
文書化された復旧手順にもばらつきがあります。Active Directoryを対象とした手順は60%、Entra IDは52%、Oktaを含む手順はわずか28%でした。
報告書は、侵害されたシステムを単に再稼働させるだけでは攻撃者のアクセス権が残る可能性があるとして、ID基盤を信頼できる状態に復元することの重要性を強調しています。
AIは、防御側と攻撃側の双方で新たなリスクをもたらしています。回答者の40%がAIを用いた攻撃を受けたと答え、44%は自組織のAIエージェントやAIシステムを悪用する攻撃を経験しました。
一方で、49%は検知や対応にAIをうまく活用できたものの、23%は防御側のAIが機能しなかったと報告しています。Semperisは、侵害されたエージェントが強力な権限を引き継ぐ機会を減らすため、エージェント型AIによるID基盤へのアクセスを制限するよう推奨しています。
再攻撃も珍しくありません。被害者の69%が、過去1年間に複数回の攻撃を受けていました。59%が身代金を支払い、そのうち53%は複数回支払っています。
身代金を支払った組織の23%は、攻撃者を排除できなかったと述べています。さらに79%は、夜間や週末に攻撃を受けたと回答しており、セキュリティ要員が手薄になりやすい時間帯の脆弱性が浮き彫りになりました。
恐喝は従業員の私生活にまで及んでいます。37%が家族や友人への脅迫を受け、25%がドキシング（個人情報の晒し）、23%がスワッティング（偽の通報による警察の出動）を受けたと回答しました。こうした事態を踏まえると、技術的な封じ込めに加え、従業員の保護もインシデント対応の課題となります。
Semperisは、テスト済みのID復旧体制、明確に割り当てられた危機対応の責任、帯域外通信、現実的な机上演習を通じて、レジリエンスを優先するよう組織に促しています。あわせて、法執行機関との連絡窓口や、脅迫された従業員とその家族を保護する手順も整備すべきだとしています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。 自社チームで試してみる
