①分析の目的
The Gentlemenランサムウェア分析【最終章】は、今まで2回に渡りお送りしてきた…
The Gentlemenランサムウェア分析①
The Gentlemenランサムウェア分析②
…を前提に、攻撃者（ランサムウエア/二重恐喝グループ）が被害組織のデータ構成をどの程度理解・把握した上で窃取に及んだのかを、ファイルパス・サイズ・更新日時等のメタデータのみから客観的に推定するものです。
目的は、攻撃者の手口・到達権限レベルを分析し、防御側（ブルーチーム）のデータ区分・アクセス制御の見直しに資する材料を得ることです。
②atlas.txtが示していたもの
最初に驚いたのは、その規模でした。
atlas.txtには約40万件ものファイル・フォルダが列挙されていました。
しかし、本当に驚くべきなのは件数ではありません。
そこには、
- D:ドライブ
- X:ドライブ
- Users配下
…など、複数の領域にまたがる情報資産が整理されており、単一端末の侵害では説明のつかない横断的な展開の痕跡でした。
単一の侵害端末のローカルディスクではなく、少なくとも２〜３系統の異なるファイルサーバー/共有領域にまたがってデータが収集されていました。
これは、侵害後に、攻撃者が「たまたま開けたフォルダ」を漁ったのではなく、ネットワーク内を横展開（ラテラルムーブメント）し、複数の共有ドライブへの「マウント/アクセス権限」を確立した後に収集したことを強く示唆していると考えます。
③深く、そして広く
フォルダ階層は最大で20階層の深さまで到達し、ファイルが列挙されていると同時に、8〜12界層のファイルが全体の約58％を占め、表層の共有フォルダだけに留まらず、部門・プロジェクト・年度別に細分化された下位フォルダまで再帰的に到達していました。
私が知る限りでは、通常、侵害直後の偵察（reconnaissance)段階では、表層１〜３界層程度の把握にとどまる事が多いようですが、本件では組織図・プロジェクト構造に沿った深い階層まで漏れなく到達しています。
「フォルダ構成をよく理解した上での網羅的収集」というよりは、機械的・自動的な全数収集「フルクロール」に近い挙動であったと考えています。
④一般利用者では届かない場所
攻撃者は、通常の一般従業員のアクセス権では到達し得ない、IT運用・セキュリティー管理系の領域にも到達しています。
- Netwrix監査データ
- VMware関連
- eDiscovery成果物
これらは通常のファイル共有の権限設計であれば、一般ユーザーアカウントの侵害だけでは到達できない領域のはずです。
よって、攻撃者は下記の何れか、或いは複数の状態にあったと考えられます。
- 1.ドメイン管理権限、又は、それに準ずる特権アカウントを奪取していた。
- 2.ファイルサーバー自体（又は、バックアップサーバー含む）へ直接アクセスし、共有単位のACL(アクセス制御リスト）を介さずファイルシステムレベルで読み取っていた。
これは、ネットワーク越しにフォルダへアクセスをせず、ディスクバックアップに直接触れたことを示唆していると考えます。 - 3.侵害後、Netwrix監査ツールの管理コンソール自体を悪用/参照し、「どこになにがあるか」と言った環境把握を効率化していたと推察します。
いずれにせよ、一般ユーザーアカウントの侵害だけでは説明がつかない深度のアクセスであり、権限昇格（Privilege Escalation)と横展開（ラテラルムーブメント）が成功していたことを示す間接的な証拠と考えます。
⑤興味深かった「混在」
収集されたデータの性質を見ると、以下、同一の収集セットの中にそれは「混在」していました。
- 高価値情報：ITAR関連文書、プログラムのソースコード（SVNダンプ）、給与・人事データ、役員文書、eDiscoveryメール文書等。
- 比較的低価値情報（業務上重要性の低い情報）：個人ユーザーのディスクトップ写真フォルダ、ソフトウエアインストラーに付随するテキストファイル、開発ツールの多言語メッセージファイル、キャッシュファイル等。
もし、攻撃者が対象企業の事業内容や機密情報の所在を事前に深く分析した上で選別的に窃取（標的型・国家関与型に多い手口）していたのであれば、低価値情報は通常は除外されているはずです。
ところがこの事案では、低価値情報も高価値情報も区別なく収集されていました。
もし特定の機密だけを狙う攻撃であれば、このような構成にはなりにくいと考えます。
結果、攻撃者は金目の情報を事前に理解した上で収集したのではなく、アクセス可能な範囲を機械的かつ網羅的に吸い上げたと考えられます。これは典型的なランサムウエアによるサイバー攻撃の特徴でもあります。
よって、収集後の選別・価値評価は、窃取後（リーク公開やリスト作成の段階）で行われた可能性が高いと考えられます。
また、今回の調査で活用したatlas.txt自体が「証拠一覧」として意図的にまとめられていることから、少なくともリスト化の段階では組織の全体像を把握している考えます。
⑥タイムライン上の示唆
最も新しい更新日は2026年6月17日です。これは、現在、記事を執筆している2026年7月からわずか1ヶ月前です。よって、下記の何れかであることを示唆していると考えます。
- 1.攻撃者がネットワーク内にアクセス出来る状態が、少なくともこのatlas.txtを作成した時点まで継続していたこと。
- 2.atlas.txtが、ごく最近（2026年6月〜7月）に作成されたものであり、事案の発生・発覚が現在進行系である可能性。
いずれにせよ、「何年も前の古いデータの断片ではなく、直近まで運用されていた実データそのものが対象になっているという点では、被害の深刻度を推し量る上で重要だと考えます。
攻撃者の技量・手口に対する評価
防御側への示唆と今後のデータ構成と守り方
1.共有ドライブのフラット構造のみ直し！
財務・セキュリティ・エンジニアリング等の異なる機密度のデータが一体的に格納されている事自体がリスク。
機密度別に共有・ファイルサーバーを物理/論理分離し、部門横断アクセスを持つアカウントを最小化すること。
2.監査・セキュリティツールのデータ自体の保護！
Netwrix監査データやメール内容検索結果（eDiscovery成果物）は、それ自体が機密度の高い「メタ情報」であるにもかかわらず、一般共有領域に置かれていた形跡があった。IT/セキュリティ部門専用の「隔離領域」を別ドメインであったり、別権限のグループへ格納するようにすべき。
3.大量列挙・大量読み取りの検知！
短時間に数十万ものファイルへアクセスする挙動を（ツールの使用等を含む）をEDR/ファイルサーバー監視ログでアラート化する。通常の従業員の使用では、ほぼ発生しないあり得ない挙動です。
4.特権アカウントの多層防御！
ドメイン管理者相当の権限が奪取された場合の被害範囲があまりに広かった。管理者権限の階層分離、特権アクセス管理、MFA（多要素認証）の徹底。
5.バックアップ・アーカイブ（SVNダンプ・Dumps領域）の露出制限！
ソースコードの丸ごとバックアップが一般共有からアクセス可能な状態であったことが、通常業務では不要なアクセス経路であり、バックアップデータは本番共有と分離したアクセス制御下へ置くべき。
6.データ分類の技術的強制！
規制対象データが他の一般文書と同じ共有領域に混在していた状態であった。たとえ内部規定で定めていたとしても、物理的、技術的境界を設けて置かなければ意味を成さない。
DSL（データ損失防止）やラベリング＆アクセス制御の技術的実装が求められる。
最後に
The Gentlemenシリーズを通じて、私が最も興味を持ったのは、「どのファイルが盗まれたか」ではありません。
攻撃者は企業をどのように見ていたのか。
その視点でした。
今回観察したatlas.txtは、たまたま目に止まった一つの公開目録でした。
しかし、その目録から見えてきたのは、単なるファイル一覧ではなく、企業という組織全体を一つの「情報資産」として捉える攻撃者の視点でした。
列挙に使われたツールや侵害経路については、atlas.txtだけから断定することはできません。
それでも、この目録は、攻撃者が環境全体を把握しようとしていた痕跡を私たちに静かに語りかけています。
本シリーズが、「流出データを見る」ことではなく、「情報資産とは何か」を考えるきっかけになれば幸いです。
コメント