TrendAIのサイバー犯罪調査ディレクターであるBob McArdle氏によると、2027年にはAIの影響でランサムウェアが一変し、攻撃者はこれまで以上に革新的になる見通しです。
「ランサムウェアはここ数年、少なくとも私のような研究者にとっては、かなり停滞していて退屈なものでした」。同氏は11月11日、アイルランドのダブリンで開催されたIRISSCON 2026カンファレンスの聴衆にこう語りました。
これまでのところ、ランサムウェアの攻撃者がAIを使う目的は、主に攻撃キャンペーンの速度と効率の向上にとどまっています。たとえば、組織の環境に侵入した後で最も重要なデータを特定するためにAIツールを使っています。一部のグループは、最初の交渉段階を代行させるためにチャットボットを導入しました。
しかし、初期アクセスブローカーの利用から二重恐喝の手法に至るまで、ランサムウェア攻撃の全体的な流れは変わっていません。
「こうした変化は、ランサムウェアがこれから向かう先に比べれば、ほんのわずかなものです」と、McArdle氏は警告しました。
初期アクセスブローカー市場の価値低下
予想される変化の一つは、被害組織の環境への初期アクセスを得る方法です。現在のランサムウェア・アズ・ア・サービス（RaaS）のエコシステムでは、初期アクセスブローカーが、脆弱性の悪用や盗んだ認証情報といった手法で得たアクセス権を、アフィリエイトに販売するのが一般的です。
一方でMcArdle氏は、ArtexのようなAIフレームワークが、初期アクセスの参入障壁を取り払いつつあると指摘しました。攻撃者が脆弱性を素早く特定して悪用できるようになるためです。
「インターネットに接続されていて、設定ミスや脆弱性があるものは、すべて侵害されるでしょう」と同氏は述べました。
これにより初期アクセス市場の価値は下がります。その結果、ブローカーはランサムウェアグループに権限昇格を提供する方向へ、ビジネスモデルを転換するとMcArdle氏は予想しています。
初期アクセスの獲得後も、ArtexのようなツールやAIエージェントによって、攻撃者は「キルチェーン」をマシンの速度まで短縮できるようになります。
McArdle氏はさらに、多くの組織がデータストレージを集約しつつあると指摘しました。AIによるデータ処理の利用が拡大するなか、業務効率の面では望ましい動きです。
ただし、この集約は攻撃者に新たな機会をもたらします。たとえば、ランサムウェアグループが、組織のデータを取り巻くAIオーケストレーションの改ざんをちらつかせ、さらなる恐喝の手段とすることが考えられます。
AIがランサムウェアグループにとって有益となる分野は、ほかにもあります。データを効果的に処理できるため、価値の高いデータセットを素早く作成でき、他の攻撃者にも売りやすくなります。この手法により、攻撃者の収益機会はさらに広がります。
「2027年には転換点を迎え始めるでしょう。恐喝を軸としたランサムウェアのビジネスモデルと並行して、実際のデータ窃取・販売モデルが毎年拡大していきます」と、McArdle氏は説明しました。
ランサムウェアグループによる敵対的買収
AIによってランサムウェア攻撃が実行しやすくなるため、McArdle氏は来年、ランサムウェアグループの数が増えると予想しています。
エコシステムの細分化がさらに進めば、大規模グループが小規模な攻撃者に対して「敵対的買収」を頻繁に仕掛けるようになる可能性があります。
「ContiやLockBit級のグループが、小規模グループの技術、あるいはアフィリエイトネットワークだけを目当てに、事実上買収し始めるでしょう」と同氏は付け加えました。
翻訳元: https://www.infosecurity-magazine.com/news/ai-revolutionize-ransomware/
