Flareの研究者がSafePayランサムウェアのリークデータを分析

ランサムウェアの被害は、事業への影響が避けられなくなるまで表面化しないことが多く、組織や防御側は被害の真の範囲を把握しにくいままになります。 

SafePayランサムウェアグループに関連する最近の活動は、この透明性の欠如によって、現代の恐喝キャンペーンが公の目に触れないところで大部分が進行できてしまうことを示しています。

「このランサムウェアグループは、『ただのビジネスだ』という言い回しに邪悪なひねりを加えています」と述べたのは、Flareのサイバーセキュリティ研究者であるAssaf Morag氏です。 

同氏はさらに、「彼らが『顧客に密着して』狙いを定めるやり方は、正当なビジネス運営に似ています。最も関連性の高い市場セグメントを特定し、次にそこを狙って自社製品を売り込むのです」と付け加えました。

Assaf氏はまた、「ただしこのケースでは、彼らは意図的に中小企業、あるいは支払えるだけの規模はあるが、攻撃による混乱と圧力に苦しみやすい程度には小さい企業に焦点を当てています」と説明しました。 

ランサムウェア攻撃が事業にもたらす余波

ランサムウェアによって企業が事業停止に追い込まれた場合、その侵害はプレスリリースや規制当局への届出で明るみに出るとは限りません。 

むしろ被害は後になって、解雇、ひそかに頓挫する買収、あるいは何が問題だったのかを巡る法的紛争といった形で表面化します。 

英国の運送会社KNP Logisticsが、単一の脆弱なパスワードと多要素認証の不在が引き金になったと報じられたランサムウェア攻撃の後に倒産したのは、その一例です。

このような事例が示すとおり、ランサムウェアの最も深刻な影響は、破綻が避けられなくなるまで見えないことが少なくありません。 

SafePayランサムウェアは、現代の恐喝キャンペーンがこの透明性の欠如をいかに悪用しているかを示す明確な例です。 

2024年末に出現し、2025年を通じて急速に拡大したSafePayは、Torベースのリークサイトに数百の被害者を掲載してきました。その多くは、インシデントを公に開示していません。 

SafePayは典型的な二重恐喝モデルで活動しています。攻撃者はデータを窃取し、システムを暗号化してダウンタイムを発生させ、交渉が行き詰まると被害者をリークサイトに掲載します。 

この手法は、圧力の焦点を純粋な技術的復旧から、法務・規制・評判面での余波へと移します。特に厳格なコンプライアンス要件の下で運営する組織にとっては深刻です。

SafePayの被害者プロファイルの内訳

Flareの研究者は、誰が、なぜ狙われているのかをより深く理解するため、SafePayのリークサイト記録500件を分析しました。 

500件のリーク記録の分析から、SafePayの被害者の90%以上が中小企業（SMB）であることが分かりました。 

これらの組織は通常、身代金を支払えるだけの収益はある一方で、長期の停止を吸収できるだけの財務的・運用的な耐性に欠けています。 

対照的に、大企業は支払い能力が高いにもかかわらず、法的手続きがより複雑で意思決定が遅いことが多く、このグループにとっては魅力的な標的になりにくいのです。

業種別の分析では、被害者のおよそ66%がサービス業の組織であり、専門サービス、医療提供者、産業サービス、小売の中小企業などが含まれます。 

これは経済全体に対する比率として不釣り合いに高く、無差別なスキャンではなく、意図的な経済的ターゲティングを示唆します。 

これらの企業はITの可用性への依存度が高いことが多く、個人を特定できる情報（PII）、保護対象保健情報（PHI）、法的記録、または財務情報などの機微データを扱っています。

研究者は、被害者が高GDPかつ規制の厳しい地域に集中する傾向があることを突き止めました。 

データセットでは米国が158件で最多で、次いでドイツが76件でした。これらの地域は強い経済生産と、EUのGDPRやNIS2、米国のHIPAAや州の侵害通知法といった厳格な規制枠組みを併せ持っています。 

攻撃者の視点では、規制は「てこ」になります。限定的なデータ露出であっても、規制当局の調査、訴訟、保険上の問題、評判の毀損を引き起こし得るからです。

ランサムウェア耐性の構築

SafePayのようなランサムウェアグループは、予防だけではサイバーリスクを管理するのに不十分になったことを示しています。 

攻撃者は、技術的脆弱性のみに依存するのではなく、運用上の圧力、規制上の露出、組織の盲点をますます悪用しています。 

影響を抑えるには、検知と並行して、可視化、封じ込め、復旧を優先する必要があります。 

• ランサムウェアのリーク情報をサードパーティリスク管理、M&Aのデューデリジェンス、サイバー保険のワークフローに組み込み、未開示の露出や潜在リスクを特定する。
• フィッシング耐性のあるMFAの強制、特権アクセス管理、強固なパスワード衛生、認証情報の悪用監視により、アイデンティティセキュリティを強化する。
• ネットワークセグメンテーションによって被害範囲（blast radius）を縮小し、リモートアクセスを制限し、初期侵害後のラテラルムーブメントを抑える制御を導入する。
• ログを集約して検知と対応を改善し、監視によりデータ流出やランサムウェアの挙動を検出し、迅速な封じ込めワークフローを有効化する。
• 不変（immutable）またはオフラインのバックアップを維持し、バックアップ用認証情報を本番システムから分離し、復元プロセスを定期的にテストして、復旧準備を確実にする。
• ランサムウェアに特化した机上演習を実施し、インシデント対応計画をテストする。

これらの取り組みは、露出を抑え、対応を加速し、信頼できる復旧を確保することで、ランサムウェアの影響を低減するのに役立ちます。

規制下の中小企業が主要標的となる理由

SafePayは、ランサムウェア運用におけるより広範な変化を反映しています。攻撃者は規模よりも「てこ」を重視し、運用面・規制面の圧力が最も大きい組織を狙うのです。 

規制産業に属する中小企業は、途切れないIT運用に大きく依存し、極めて機微なデータを管理していることが少なくありません。 

また、一般に大企業ほどのセキュリティの厚みや耐性を欠いており、混乱を最大化し、意思決定を早め、恐喝の「てこ」を強める条件が揃っています。

ランサムウェアグループが暗黙の信頼と運用上の依存関係をますます悪用する中、多くの組織がゼロトラストの原則に目を向けています。