ランサムウェア集団、AIを悪用して企業の機密データを素早く特定・窃取

ランサムウェアの攻撃者は、生成AIを使ってフィッシングキャンペーンを巧妙化し、偵察を高速化し、盗み出すべき企業の機密情報を見つけ出しています。

Zscaler ThreatLabzは、恐喝の手口が、より速く、より的を絞ったものへと変化していると指摘しています。攻撃者はファイルの暗号化だけに頼らず、被害が大きくなる情報公開を重視するようになっています。

これは前年比275.8%の増加にあたります。この数字は窃取の規模を示すものですが、そのうちどれだけがAIの支援によるものかまでは測定していません。

攻撃者は侵入後、生成AIを使ってアクセス可能な文書を分類し、商業的価値の高い情報や機密情報を探し出せます。

膨大なリポジトリを人手で確認する代わりに、公開されれば事業面、評判面、規制面で大きな圧力となる資料を優先的に選び出せます。

この活動はあくまで侵害後の偵察です。アカウントやエンドポイントが侵害された後に、どの情報に注目すべきかをAIが判断する手助けをします。

その到達範囲は、侵害されたIDに付与された権限に左右されます。そのため、過剰なアクセス権限は特に深刻な問題となります。

この点が重要なのは、恐喝を成功させるのに、もはや暗号化が必須ではないためです。

Zscalerは関連する分析の中で、盗まれた情報の公開を防ぐためだけに200万ドルを支払った医療機関の事例を紹介しています。

暗号化は行われておらず、バックアップを復元してもすべてのランサムウェア被害を解決できるわけではないことがわかります。

生成AIは、従来フィッシングメールを見破る手がかりとなっていた不自然な言語表現も減らします。

Zscaler ThreatLabzの2026年版ランサムウェアレポートによると、2025年4月から2026年3月までに、上位10のランサムウェアグループが外部へ持ち出したデータは896.2テラバイトに上りました。

攻撃者は、洗練されたメールや説得力のあるWebサイト、現地語に対応したなりすまし素材を作成できます。そのため、スペルミスや不自然な文法に注目する啓発策は効果が薄れています。

AIを活用したランサムウェア

Zscalerは、初期アクセスの手口として、大量のメールを送りつけた後、ITサポートを装った攻撃者がMicrosoft Teams経由で通話してくるパターンを確認しています。

被害者は説得され、Microsoft Quick Assistをはじめ、AnyDeskやTeamViewerといった正規のリモート支援ツールを通じてアクセスを許可してしまいます。

主要なランサムウェアキャンペーンに関連する351人の被害者を分析したところ、62%がマネージャー以上の役職に就いていました。

4分の3を超える人々が、財務、営業、運用、人事、マーケティングのいずれかの部門で働いていました。技術的な権限だけでなく、業務上のアクセス権や組織内での信頼性にも価値があることがわかります。

AIによる支援は、ツール開発にも及んでいます。ThreatLabzは、Payouts Kingに関連して、AIが支援したとみられる活動を確認しました。悪意あるバッチスクリプトについて、機能する複数のバージョンがプログラムで生成されたように見えます。

ただし、この見立てには留保が付きます。今回の観察から、すべてのスクリプトの亜種がAIで生成されたと断定できるわけではありません。

スクリプトを素早く書き換えられると、シグネチャによる検知は難しくなります。また、独自に作られたユーティリティが使われると、既知のツールの痕跡も当てになりにくくなります。

とはいえ、コードを変えても、不審なリモートアクセスや異常な文書収集、外部への転送といった根本的な挙動が自動的に隠れるわけではありません。

Payouts Kingの事案では、ThreatLabzは初期アクセスから数時間以内に、データの集約とSecure File Transfer Protocolによる外部送信を確認しました。

攻撃者は追加のリモート管理ツールを展開し、Windowsの機能を使って横展開しました。さらに暗号化の前に、Active Directoryのシャドウ資格情報を悪用して永続化を図っていました。

そのため、防御で優先すべきことはマルウェアのブロックにとどまりません。組織は、無許可のリモート管理を制限し、アクセス範囲を絞って適用し、大量ダウンロードや異常なデータ集約、想定外の転送先を監視する必要があります。

情報漏えい対策（DLP）やクラウドのアクセス制御は、無許可のデータ持ち出しを遮断できます。ID、エンドポイント、ネットワークのテレメトリを相関分析すれば、調査にかかる時間も短縮できます。

AIによるトリアージはアナリストを支援しますが、封じ込めを有効に機能させるには、信頼できるシグナルと実効性のある制御が欠かせません。

運用上の指標となるのは、データ持ち出しまでの時間です。暗号化を検知した時点では、組織が最も機密性の高い情報の管理をすでに失っている可能性があります。

MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。

Cybersecurityニュース購読