調査対象となった被害者の84%が、AIが関与したランサムウェアインシデントを経験していたことが分かりました。また、87%はID基盤を狙った、あるいは悪用した攻撃を受けたと回答しています。
ExploitPrevention Tools
調査結果からは、犯罪者の攻撃活動が加速していることと、企業のアクセスを管理するシステムに弱点があることの関連が浮かび上がります。
調査は9カ国・8業種のIT・セキュリティ担当者1,200人を対象に実施されました。対象は、ランサムウェア攻撃を受けて事業に支障が生じた組織のみです。
したがって、冒頭の数値は被害者サンプルにおける報告ベースの経験を示すものであり、世界中のランサムウェア攻撃全体を検証した測定値ではありません。
この結果は、あくまでアンケートに基づく証拠として受け止める必要があります。各インシデントにAIが関与したことを、独立したフォレンジック調査で確認したものではありません。
こうした区分は、AIの能力を利用する攻撃者と、被害環境内にすでに導入されている技術を操作する攻撃者とを区別するものです。
元米国国家サイバー長官のクリス・イングリス（Chris Inglis）氏はCBS Newsに対し、AIは攻撃者による弱点の特定、ソーシャルエンジニアリングの最適化、侵入の自動化、防御側の対応に応じた戦術の調整を支援していると語りました。
同氏はまた、自律型のランサムウェア攻撃はすでに発生していると述べています。ただし、完全に自律的だったインシデントがどれだけあるかは、今回の調査では明らかになっていません。
Semperisのセキュリティ研究担当幹部であるトメル・バー（Tomer Bar）氏は、大規模言語モデル（LLM）が悪意あるコードの開発を加速させ、犯罪者による暗号化実装のテストを後押しし得ると警告しました。
同氏の見立てでは、実装上のミスが減れば、防御側が身代金を支払わずに暗号化された情報を復旧できる余地が狭まる可能性があります。
防御側の状況は一様ではありません。回答者のほぼ半数にあたる49%は、検知や対応にAIをうまく活用できたとしています。一方で23%は、防御用のAIツールが機能しなかったと答えました。
この結果は、AIを導入しても、確立されたアクセス制御や復旧計画が不要にはならないことを示しています。
Semperisによると、回答者の40%がAIを使った攻撃を受け、44%が自組織のAIエージェントやシステムを悪用する攻撃に遭遇しました。
ExploitPrevention Tools
AIを悪用したランサムウェア攻撃
主な標的として浮上したのが、Active Directory、Microsoft Entra ID、Oktaです。報告書によると、Active Directoryが51%、Entra IDが48%、Oktaが27%でした。組織が複数のIDプラットフォームにまたがる攻撃を受けるケースもあります。
技術的な懸念は、ファイルの暗号化にとどまりません。ID基盤は、どのユーザー、サービス、アプリケーションにアクセスを許可するかを決定する中核だからです。
この層が侵害されると、攻撃者は信頼された権限を悪用できるようになります。さらに、操作されたAIエージェントも、組織内にすでに存在する権限を悪用する別の経路となります。
Semperisの危機管理担当幹部であるコートニー・ガス（Courtney Guss）氏は、タスク駆動型のエージェントが追加の権限を求めることで、意図せずID システムが侵害にさらされかねないと警告しています。
そのため報告書は、社内の自動化を無条件に信頼するのではなく、エージェント型AIによるID基盤へのアクセスを制限するよう推奨しています。
ID専用のバックアップを維持していた組織は、調査対象の50%にとどまりました。IDの復旧を自動化するソリューションを備えていたのは42%です。
文書化された復旧手順がActive Directoryを対象としていた組織は60%、Entra IDは52%、Oktaはわずか28%でした。
この差は見過ごせません。ID基盤を信頼できる状態に戻さないまま業務システムを復旧すれば、攻撃者のアクセスを再び許す恐れがあるためです。
Semperisは、安全なID復旧を、単なるバックアップ作業の一つではなく、業務復旧の前提条件として位置づけています。
繰り返される侵害が、さらに圧力を強めています。被害者の69%が複数回の攻撃成功を経験し、59%が少なくとも1回は身代金を支払いました。
また37%は、従業員の友人や家族に対する脅迫を受けたと報告しており、恐喝が企業システムの枠を超えて広がりつつあることがうかがえます。
セキュリティ責任者にとって、報告書の中心的な示唆は運用面にあります。AIの権限を制限し、ID特有の復旧手順を整備し、連携した危機対応を訓練しておくことです。
検知を速めるだけでは、システムが復旧した後も侵害されたままのID環境を補うことはできません。
MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
Cybersecuritynews platform
翻訳元: https://gbhackers.com/ai-powered-ransomware-attacks/
