Skip to main content

【イベント】TrendAI™ Spark 2026 開催

AIセキュリティの最前線を探るグローバルイベント「Spark 2026」を全国5都市で開催します。

詳しくはこちら
Return to TrendAI™ Deep Research
IoTとエンドポイントサイバー犯罪ランサムウェア

産業インフラを標的とする犯罪経済の全体像

TrendAI™ Researchは、工場、公益事業、エネルギー企業へのアクセスが売買され、武器化されるフォーラム、マーケットプレイス、Telegramチャネルの内部を調査しました。2年分のデータを精査した結果、金銭目的のアクセスブローカーやランサムウェアグループが、国家との関連が疑われるハクティビストと同じ場で活動し、同じ侵入経路と同じ海賊版トレーニングを共有し、場合によっては人員までも共有しているアンダーグラウンドの実態が明らかになりました。

リサーチ特集産業・エネルギーハクティビズムランサムウェアと恐喝OT & critical infrastructure
September 2nd, 2026 7 min read Mayra Rosario Fuentes , Stephen Hilt , Numaan Huq

数字で見る実態

本リサーチの詳細は、リサーチペーパー「産業インフラを標的とする犯罪経済の全体像」のPDFをダウンロードしてご覧ください。

3

産業・エネルギー・製造（IE&M）分野のアンダーグラウンドは、将来のリスクではなく、今まさに稼働している経済です。アクセスブローカーは、窃取された認証情報や銀行データの取引に使われるのと同じフォーラム上で、同じエスクローと評価の仕組みを使い、工場、公益事業、エネルギー企業への足がかりを販売しています。BreachForumsでは、タイの製造業者の生産システムが25米ドルで、ドイツの再生可能エネルギー企業の内部データベースが12 BTC（約74万8,000米ドル）で出品されています。

セキュリティリーダーが知っておくべき4つのポイント

産業分野を標的とするアクセス・アズ・ア・サービス（AaaS）市場が活発化している

アクセスブローカー市場の中心に位置するのは製造業です。ロシア語圏および英語圏のフォーラムの販売者は、VPN（仮想プライベートネットワーク）やRDP（リモートデスクトッププロトコル）経由のアクセスを出品しており、制御技術（OT）や監視制御・データ収集（SCADA）システムへの到達性をプレミアム機能として売り込んでいます。

なぜ重要なのか

産業分野へのアクセスは、すでにコモディティ化した商品です。ブローカーは、工場フロアへの到達性、SCADAへの接続性、ドメイン管理者権限をセールスポイントとして宣伝しており、対価を支払う意思のある買い手にとっての参入障壁を下げています。

リスクへの示唆

  • OTへの露出が、付加価値として犯罪フォーラム上で公然と取引されている
  • 参入価格が低く、スキルの低い攻撃者をも呼び込みやすい
  • VPNゲートウェイとRDPが主要な侵入経路となっている
  • 価値の高いエネルギー・公益事業分野へのアクセスは、プレミアム価格での取引が成立しやすい

IE&Mへのランサムウェアの圧力は沈静化せず、拡大を続けている

2024年1月から2026年6月にかけて、IE&M組織は3,178件のリークサイト掲載に登場しました。そのうち製造業が78%を占めます。被害者数は2024年から2025年にかけて48%増加し、2026年は上半期だけで767件に達しており、すでに2025年と同等かそれを上回るペースで推移しています。

なぜ重要なのか

IE&Mに対するランサムウェアの脅威は、沈静化するどころか拡大を続けています。製造業の身代金支払い率の低さは、攻撃者を件数の積み上げとデータ販売による収益化へと向かわせ、被害組織の総数を押し上げています。

リスクへの示唆

  • 生産再開への圧力を背景に、ランサムウェア活動はさらに増加する可能性が高い
  • 製造業は身代金支払い率が突出して低い
  • 3つのランサムウェア・アズ・ア・サービス（RaaS）グループが、IE&M被害者全体の約30%を占める
  • 攻撃は米国と西欧に最も集中している

海賊版化によって、専門的なICSトレーニングが武器と化している

アンダーグラウンドのフォーラムでは、産業制御システム（ICS）セキュリティの専門トレーニング教材がホストされ、転売されています。防御側の育成に使われてきた教材そのものが、ほぼゼロコストで攻撃者を育成するために転用されています。

なぜ重要なのか

海賊版トレーニングは、OTを狙う攻撃のスキル障壁を下げます。Purdueモデル、プログラマブルロジックコントローラ（PLC）、産業用プロトコルを扱うカリキュラムは、正規の受講手続きを経ることなく、初心者から実行力のある攻撃者へと段階的に成長する道筋を与えてしまいます。

リスクへの示唆

  • 防御側自身のトレーニング教材が、攻撃者の育成ツールとして転用されている
  • 犯罪フォーラム上では、ICSに関する知識の取得コストがほぼゼロになっている
  • ペルシャ語やアラビア語のチャネルでは、地域に特化したカリキュラムが構築されている
  • 海賊版の流通量は、OTスキルに対するアンダーグラウンドの持続的な需要を示している

地政学的動機を持つハクティビストが、大規模にICSを標的としている

2024年から2026年にかけて、ロシアやイランとの関連が疑われるハクティビストグループが、電力網、水道事業、石油・ガス事業、製造プラントへの侵入を主張する事例が増加しました。中でもZ-Pentestは、OTに特化した攻撃者として最も多くの活動を展開しました。本リサーチのアンダーグラウンド調査からは、2026年のイラン・イスラエル・米国間の対立が、インフラを標的とする活動の最も急激な増加を招いたことが分かっています。

なぜ重要なのか

スキルの低い攻撃者が、外部に露出した産業制御システムに対して、現実世界に及ぶ影響をもたらすようになっています。IE&M分野では、銀行詐欺や医療分野のアンダーグラウンドと比べて、ハクティビストによる地政学的動機の活動が占める割合がはるかに大きい点が特徴です。

リスクへの示唆

  • 親ロシア・親イランの攻撃者は、エネルギー、水道、製造業を同時に標的としており、将来の破壊活動に備えた不正コードのひそかな事前配置も行っている
  • 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の共同勧告は、スキルの低い攻撃者が物理的被害を引き起こしていること、そして国家支援型の攻撃者が民間の産業インフラ内部に足がかりを潜ませていることを確認している
  • 2026年の地政学的な緊張の高まりが、標的化の急増と長期的な事前配置リスクをもたらしている

ブローカーの侵入手口とアクセスの価格

1
図1：アクセス・アズ・ア・サービスの価格帯分布

アクセスブローカーが頼みとするのは、特殊なゼロデイ脆弱性ではなく、正規のリモートアクセスインフラとアイデンティティの悪用です。主要な足がかりとなるのは、脆弱な認証情報、使い回された認証情報、窃取された認証情報で保護されたインターネット公開のVPNとRDP（リモートデスクトッププロトコル）であり、脆弱性のあるエッジアプライアンスを経由するケースも少なくありません。

t1
表1：レコードに占める割合が高い上位アクセス経路

エネルギー、石油・ガス、公益事業の掲載件数は比較的少ないものの、より高値が付き、より慎重に取り扱われる傾向があります。これは、規制上の機微さと、特定の買い手がこれらの分野に見出す戦略的価値の両方を反映したものです。

ブローカーは「工場のOT/SCADAへのアクセス」を、自動車の販売広告が本革シートを謳うのと変わらない感覚で、プレミアム機能として宣伝しています。

少数のRaaSグループが被害の大半を占める

Ransomware.liveのリークサイトデータによると、産業・エネルギー分野の被害者は2024年の974件から2025年には1,437件に増加し、2026年は上半期だけで767件が公表されており、すでに過去数年の半期ペースを上回っています。

2
図2：上位12グループの対象範囲内被害者数

これらの分野に対して最も活発な3つのグループであるAkira、Qilin、Playは、対象範囲内の全被害者の約30%を占めています。被害組織は米国に大きく集中しており（公表1,397件）、ドイツ、カナダ、イタリアがそれに続きます。

製造業は、身代金支払いに至る割合に比べ、リークサイトへの掲載件数が突出して多くなっています。中堅規模の製造業者の多くはバックアップからの復旧を選んでダウンタイムを受け入れるほか、窃取されるデータも規制対象の個人データではなく業務データであることが多いため、恐喝の材料としての効力は下がります。その結果、この分野は攻撃も漏洩も多い一方で支払いには比較的応じない分野となり、攻撃者を件数の積み上げとデータ販売による収益化へと向かわせています。

防御側のカリキュラムが攻撃者の実戦マニュアルを兼ねる

アンダーグラウンドのフォーラムでは、専門的なICSセキュリティトレーニングがホストされ、転売されています。SANS Instituteの「ICS410: ICS/SCADA Security Essentials」は海賊版コースパックとして200件以上確認されており、SCADA、PLC、産業用プロトコルに関する愛好家同士のQ&Aと並んで流通しています。

4

エンジニアがプラントを守るために役立つコンテンツは、そのまま、産業ネットワークの構成、狙うべきプロトコル、IT/OTの弱点の所在、そして安全システムや制御システムが操作を受けた際の挙動を示す地図にもなります。メッセージングの領域では、ペルシャ語やアラビア語のチャネルが、Stuxnetのような実際の攻撃事例を参照しながらSCADAハッキングのカリキュラムを構築しています。

利益と同じ標的に向かうイデオロギー

IE&M分野のアンダーグラウンドを特徴付けるのは、そこに重なる地政学的動機です。これらの攻撃者は技術力よりも執拗さと便乗主義に頼っており、公に主張する戦果は、検証された能力を常に上回っています。以下に挙げる主張は監視対象のTelegramチャネルから収集したものであり、必ずしも検証されたものではありません。

注目すべきは、こうしたスキルの低い攻撃者が現実世界への影響を実際にもたらした点です。これらのグループはAPT（Advanced Persistent Threat）ほどの技術的な深さを持たないものの、その攻撃は水道、エネルギー、食料・農業の各システムにわたり、物理的被害を含むさまざまな影響を残しました。

t2
表2：本リサーチで観測された、2024年から2026年にかけてIE&M分野を標的として活動したハクティビストグループの概要

防御側への示唆は明快、しかし実行は容易ではない

ブローカーは、特殊なゼロデイではなく、脆弱な認証情報や窃取された認証情報で保護されたVPNゲートウェイとRDPから侵入します。この経路を断てば、産業分野への足がかりが持つ商品価値の大半は失われます。

  1. フィッシング耐性のある多要素認証（MFA）を、すべてのVPN、RDP、Citrix、リモートアクセスポータルに義務付ける。 観測された最大の侵入経路であるVPNは、窃取された認証情報だけではアクセスできなくなれば、その大部分が無力化されます。
  2. エッジアプライアンスを「Tier 0」資産として扱う。 Fortinet、Citrix、Cisco、Palo Alto、SonicWallの各製品には緊急対応レベルの頻度でパッチを適用し、サポート終了機器は棚卸しのうえ廃止します。
  3. アイデンティティとActive Directoryを強化する。 階層型管理、LAPS（Local Administrator Password Solution）、特権認証の積極的な監視を導入します。ブローカーが実際に販売しているのは、ドメイン管理者権限とユーザアクセスだからです。
  4. ITとOTを分離する。 SCADA/PLC/HMIネットワークへのフラットな経路を排除します。リモートアクセスは、強化と監視が施されたDMZ（非武装地帯）のジャンプサーバ経由に限定し、境界をまたぐ通常の管理者操作のベースラインを整備します。
  5. 改ざんできないSIEM（セキュリティ情報イベント管理）にログを集約する。 ローカル環境の管理が及ばない場所に置いて12か月超の期間保持するとともに、スティーラーログや漏洩情報のフィードを通じて認証情報のサプライチェーンを監視します。
  6. 件数ではなく、影響の大きさで優先順位を付ける。 公益事業、発電、石油・ガス、水道は、観測されるアクセスの件数が比較的少なくても、より手厚い保護に値します。OTに特化したインシデント対応計画の演習を年1回実施します。

本リサーチの詳細は、リサーチペーパー「産業インフラを標的とする犯罪経済の全体像」のPDFをダウンロードしてご覧ください。

参考記事

Mapping the Criminal Economy Targeting Critical Infrastructure

By : Mayra Rosario Fuentes , Stephen Hilt , Numaan Huq

翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）