暗号化のその先へ
ランサムウェアのビジネスモデルの進化
詳細は本レポート（日本語版）をご参照ください。
はじめに
ランサムウェアは、世界中の組織に深刻な混乱をもたらし続けている、根強いサイバー脅威の一つです。しかし、その背後にあるビジネスは大きく変化しています。
現在のランサムウェアエコシステムは、多様なマルウェアファミリー、犯罪グループ、暗号化手法が相互につながる柔軟な市場です。攻撃者はそれぞれの領域に特化し、サービスを取引し、アクセスを再販し、データを窃取することで、一度の侵害から複数の方法で利益を得ようとします。
「暗号化のその先へ：ランサムウェアのビジネスモデルの進化」では、このエコシステムが2022年以降どのように発展してきたのか、そして組織がランサムウェアのペイロードだけにとらわれず脅威を捉える必要がある理由を検証します。
侵入そのものが価値ある資産に
本レポートの中心的な主張は、ランサムウェアが今や、より広範な犯罪システムにおける収益化手段の一つになっているという点です。
攻撃者は組織への不正アクセスに成功すると、次のような複数の収益機会を追求できます。
- システムを暗号化して身代金を要求する
- 機密データを窃取し、恐喝に利用する
- 他の犯罪グループにアクセスを販売する
- 認証情報やビジネス情報を収集する
- 詐欺やサプライチェーン攻撃を行う
- 将来の悪用に備えてアクセスを維持する
したがって、最も重要な問いはランサムウェアが展開されるかどうかだけではありません。攻撃者が侵入に成功した後、その価値をどのように最大化するかが問われます。
暗号化は業務に即時の圧力を与えるため、現在も有効な手段です。一方で、多くの恐喝作戦はもはや暗号化を必須としていません。システムが暗号化されていなくても、窃取されたデータ、法規制上の義務、評判の失墜、事業の中断が交渉材料になります。
本レポートで検証する内容
本リサーチは、現代のランサムウェア経済を戦略的な観点から評価するものです。個別のマルウェアファミリーや単発のキャンペーンだけに注目するのではなく、ランサムウェア作戦の適応を支える構造、インセンティブ、犯罪サービスを検証します。
変化するランサムウェアの経済構造
ランサムウェアが収益を生み続けるのは、技術的な妨害と事業運営への圧力を組み合わせられるためです。本レポートでは、暗号化が今なお価値を持つ理由を検証するとともに、データ窃取、アクセスの再販、詐欺などの悪用手段が、侵害から引き出せる潜在的な価値をどのように広げているかを示します。
専門化した犯罪サプライチェーンの台頭
ランサムウェアエコシステムは、専門化した参加者が連携するネットワークへと成熟しました。初期アクセスブローカー、マルウェア開発者、インフラ提供者、交渉担当者、アフィリエイト、資金洗浄サービスが、それぞれ異なる役割を担えます。
こうした専門化によって参入障壁が下がり、犯罪者は攻撃に必要なすべての要素を自ら構築しなくても、必要な能力を調達できるようになりました。
商品として取引されるアクセス
本レポートでは、初期アクセスブローカーと、侵害された環境を取引する市場の重要性が高まっている状況を検証します。このモデルでは、ランサムウェアのペイロードとは切り離して、アクセスそのものを取得、移転、再利用、収益化できます。
防御側には、侵害されたアクセスが複数の後続攻撃の足掛かりとなる前に、不正アクセスを防止・検出することが求められます。
暗号化に依存しない恐喝
二重恐喝によって、窃取したデータだけでもシステムの暗号化とは別の圧力を生み出せることが明らかになりました。それ以降、攻撃者はデータ窃取、公開をちらつかせる脅迫、法規制上の圧力、評判への悪影響を利用する手口を広げ続けています。
本レポートでは、一部の作戦で暗号化が必須ではなくなりつつある理由と、攻撃者がシステムをロックしなくても威圧によって要求を通せる仕組みを考察します。
人工知能がもたらす影響
人工知能はランサムウェア作戦に影響を与えています。ただし、その中心は自律型のハッキングシステムが人間に取って代わることではなく、人間の攻撃者を支援することです。
AIは、被害者の選別、データ処理、分析、交渉支援、収益化に関する判断など、侵害後の活動にかかるコストの削減に役立っています。また、企業向けAIシステムは価値ある社内知識を整理して可視化するため、二次的な攻撃対象になり得ます。
法執行機関と規制が市場に与えた影響
法執行機関による作戦、制裁、サイバー保険の要件、セキュリティ対策の強化、規制改革は、個々の犯罪グループや作戦を阻害してきました。
それでも、ランサムウェアを支える経済原理は残り続け、エコシステムは分散、協力、柔軟な収益化戦略によって適応しています。その結果、犯罪市場はさらに分散し、単一のグループを標的にするだけでは阻止しにくくなっています。
2022年の予測を再評価する
本レポートでは、著者らが以前実施したランサムウェアのビジネスモデル分析で提示した枠組みと予測を改めて検証します。
構造面に関する次の予測は、おおむね現実のものとなりました。
- 初期アクセスブローカーの継続的な成長
- 犯罪者の役割のさらなる専門化
- データを利用した恐喝の拡大
- クラウド環境の重要性の高まり
- 侵入と収益化の分離
- モジュール型犯罪エコシステムの発展
一方で、想定とは異なる形で進展した点もあります。ランサムウェアが他のサイバー犯罪に広く置き換えられるのではなく、攻撃者はランサムウェアを中核的な活動として維持しながら、同じ侵入から収益を得る新たな方法を追加しました。
ここから重要な結論が導かれます。ランサムウェアの将来は、他の手段への置き換えよりも、収益化手段の多様化によって形作られる可能性が高いと考えられます。
防御側に求められる対応
ランサムウェアのインシデント件数だけで脅威を測っても、全体像は捉えられません。暗号化が発生していなくても、組織が重大なリスクにさらされる可能性があります。一度でも侵害に成功されれば、データ窃取、認証情報の収集、アクセスの再販、詐欺、サプライチェーンの侵害、将来の悪用につながりかねません。
そのため、本レポートではより広い視点に基づく防御を提示しています。
- ランサムウェアの展開だけでなく、不正アクセスそのものを防ぐ
- 侵入ライフサイクル全体で不審な活動を検出する
- 攻撃者が窃取したアクセスやデータをどのように収益化できるかを把握する
- 漏洩した認証情報や侵害された環境を戦略的リスクとして扱う
- クラウド環境と企業向けAI環境に価値ある情報が置かれていないか監視する
- 暗号化に依存しない恐喝シナリオに備える
- ランサムウェアのリスクを評価する際は、より広範な犯罪エコシステムを考慮する
回復力を備えた犯罪市場を戦略的に捉える
ランサムウェアエコシステムは、外部から継続的な圧力を受けながらも存続し、適応してきました。
モジュール型の構造によって、さまざまな参加者が参入、撤退、協力、再編できます。犯罪グループの活動が阻止されても、ランサムウェアを支えるサービス、市場、インセンティブは、別の攻撃者を通じて存続できます。
こうした適応力は、本レポートの最も重要なテーマの一つです。ランサムウェアは固定的なビジネスモデルではなく、一度の侵入を起点に複数の収益化手段を組み合わせられる、柔軟な犯罪経済なのです。
レポート全文を読む
「暗号化のその先へ：ランサムウェアのビジネスモデルの進化」では、ランサムウェアが2022年以降どのように発展してきたのか、また、その変化が組織、セキュリティ責任者、脅威リサーチャー、防御担当者にとって何を意味するのかを詳しく検証しています。
本レポート（日本語版）では、次の内容を詳しく解説しています。
- 侵入そのものが主要な資産になりつつある理由
- アクセスブローカーと専門化した犯罪サービスが攻撃を形作る仕組み
- 妨害や圧力を受けてもランサムウェアが存続し続ける理由
- 暗号化を使わずに恐喝を成立させる手法
- 人工知能が攻撃者のコストを削減している領域
- 組織が不正アクセスと侵入の価値に注目すべき理由
- ランサムウェア経済の今後の進化
参考記事：
Ransomware’s Next Chapter: How the Criminal Ecosystem Is Changing
By: Asako Koizumi , Christopher Boyton , David Sancho , Joshua Paul Ignacio , Junestherry Dela Cruz , Stephen Hilt
翻訳：与那城 務（Platform Marketing, TrendAI™ Research）