【続報】RansomHouse公開データを再分析　Evidence Packから見えてきた攻撃者の行動範囲

2026年7月、ランサムウェアグループ「RansomHouse」がニチレイ関連データのEvidence Packを公開しました。

ネット探検ラボでは公開直後にも分析を行いましたが、今回、公開ファイル一覧全体を改めて精査した結果、攻撃者の行動範囲について新たな知見が見えてきました。

なお、本記事はRansomHouseが公開したEvidence Packを分析したものであり、攻撃者の主張を事実として断定するものではありません。

---

Evidence Packは「サンプル公開」ではあるが、その量は決して少なくない

公開されたEvidence Packには…

• PDF
• Word
• Excel
• PowerPoint
• JPG
• CSV

…など多数のファイルが含まれていました。

また…

• 営業資料
• 物流関連資料
• 品質管理資料
• 契約書
• 見積書
• 請求書
• IT関連資料
• 予算資料
• 会議資料

…など、多様な業務領域に関係するファイル名が確認できます。

これは、単一部署だけではなく、複数部門にまたがる情報へアクセスしていた可能性を示唆しています。

元のディレクトリ構造は確認できない

一方で、今回公開されたEvidence Packは

Index of /

という形式で公開されており、すべてのファイルが単一ディレクトリに一覧表示されています。

The GentlemenやAiLockで見られたような、

Department
 └ Sales
     └ 2026

のような元のディレクトリ構造（Tree構造）は確認できませんでした。

そのため、

• ファイルの保存場所
• フォルダ階層
• 攻撃者の横展開経路
• システム内での侵害深度

を客観的に評価することは困難でした。

（【追記】RansomHouse ニチレイEvidence Pack分析　リークサイトの証拠提示手法に見えてきた違い）

Tree構造がない＝取得していない、とは言えない

ここは慎重に評価すべき点です。

今回確認できたのは、あくまでリークサイトに掲載されたEvidence Packです。

つまり、攻撃者が内部で取得していたデータと、公開用として整理・編集したデータは、

必ずしも一致するとは限りません。

公開時に…

• ファイルを一つのフォルダへコピーした
• ファイル名だけを一覧表示した

…という可能性も十分考えられます。

したがって、Tree構造が確認できなかったことだけをもって、「攻撃者は元のディレクトリ構造を取得していなかった」と結論付けることはできないと考えます。

攻撃者の行動範囲は比較的広い印象

公開ファイル一覧を見ると、

例えば…

• IT統制状況確認
• SmartDB
• 営業DB
• 原料品質情報
• 標準単価マスタ
• 予算資料
• 会議資料
• 契約書
• 物流関連資料

…など、企業活動のさまざまな領域に関係するファイルが確認できます。

これらは部門横断的な情報であり、少なくとも公開資料からは、攻撃者が一定範囲にわたって情報へアクセスしていた可能性がうかがえます。

ただし、公開資料のみでは…

• ドメイン管理サーバー
• Active Directory
• 仮想化基盤
• バックアップ環境

…など、システム中枢まで到達していたかどうかは判断できません。

「Evidence Pack」の構造から読み取れること

リークサイトに掲載されているとされるファイル一覧は、「Index of /（インデックス オブ：ウェブサーバーがディレクトリ＝フォルダの中身を一覧表示する際の標準的な見出しになっています。

また、特定のファイルを指定せずにフォルダへアクセスした際に自動生成される簡易な一覧ページによく見られる表記）」という形式で構成されています。

ファイル名やタイムスタンプ（Timestamp／たいむすたんぷ：ファイルが作成・更新された日時の記録）そのものの中身を精査したわけではありませんが、この一覧の外形的な性質からいくつかの推定ができると考えます。

（1）網羅的・無差別な取得パターン

一覧には、物流拠点の請求書・見積書、人事関連の管理シート、予算・固定資産関連のファイル、商品開発資料、契約書・議事録、写真、圧縮ファイルなど、部門を横断した雑多な種類のファイルが混在している。

特定の機密情報（たとえば研究データや顧客データベースのみ）を狙い撃ちしたような選別の形跡は見られない。

これは、共有ファイルサーバーやNAS（Network Attached Storage／なす：ネットワークに直接接続して複数の利用者が共有できるファイル保存装置）を丸ごとコピーしたような構成であり、「選んで盗む」高度な標的型の情報収集というより、アクセスできた共有フォルダを機械的に吸い上げる、いわゆる「スマッシュ・アンド・グラブ（Smash and Grab／すまっしゅ・あんど・ぐらぶ：直訳すると「叩き割って奪う」という手法で、効率や選別を重視せず、アクセスできる範囲のデータを手当たり次第に持ち出す攻撃手法の俗称）」型の窃取に近い特徴を示しています。

（2）タイムスタンプの幅

含まれるファイルの更新日は数年にわたり、暗号化実行と同時期とされる直近の日付のものまで含まれていると見られます。

もしこれが事実であれば、侵入からデータ持ち出し、暗号化実行に至るまでの間、攻撃者がファイルサーバーへの読み取りアクセスを継続的に維持できていたことを示唆しています。

これは「侵入 → 内部での活動範囲拡大（横展開/Lateral Movement／らてらる・むーぶめんと：侵入後、最初に足がかりを得た端末から、社内ネットワーク内の他の端末やサーバーへと侵入範囲を広げていく攻撃者の行動）

→ データ持ち出し（Exfiltration／えくすふぃるとれーしょん：組織内部のデータを外部の攻撃者側のサーバーなどへ不正に転送・搾取する行為）

→ 暗号化実行」という、二重恐喝型ランサムウェア攻撃の典型的な流れと整合しています。

（3）「Index of /」形式そのものの意味

この表示形式は、ウェブサーバー上でファイル一覧を簡易に見せる仕組みであり、リークサイト運営側が交渉・脅迫のための「見せ方」として単純なファイル配布の仕組みを使っていることを示すしているに過ぎません。

この点自体は攻撃者の技術的な高度さを直接示すものではなく、むしろ「実際にデータを盗んだ証拠を示し、被害者に圧力をかける」という運用・広報面の作り込みを反映していると考えられます。

この点は、RansomHouseが暗号化よりもデータ公開による恐喝を重視するグループとされている点とも符合しているように思います。

Evidence Packから推定されるバックアップ環境への到達状況

このEvidence Packの一覧からは、バックアップの有無や攻撃者がそこに到達できたかどうかを直接判断することはできません。理由と、判断のためにどのような情報が必要かを整理しておきたいと思います。

この一覧に見当たらない情報

• バックアップソフトウェア関連のファイル（例：.bak、.vbk（Veeamのバックアップファイル）、.bkf、バックアップ製品の設定ファイルなど）
• バックアップサーバーやNAS上のバックアップ専用フォルダ・世代管理フォルダ（Backup_2026、日次バックアップのような命名）
• シャドウコピー（Shadow Copy／しゃどう こぴー：Windowsが自動的に作成するファイルの過去時点のスナップショット。ランサムウェア攻撃者はこれを削除して復旧を妨げることが多い）関連の痕跡

一覧に含まれているのは通常の業務ファイル（請求書・見積書・予算表・議事録・写真など）ばかりで、バックアップシステム特有のファイル群は確認できません。これは「バックアップが存在しなかった」ことを意味するのではなく、単にこのファイル一覧の範囲にバックアップ関連データが含まれていない、あるいは公開されていないということです。

確認された事実（公開報道より）からの推定

• 7月13日：障害発生、即日「緊急対策本部」設置、システム遮断措置
• 7月17日（発生から4日後）：一部業務を順次再開開始
• 「来週中（7月24日前後）に全拠点で通常稼働再開を目指す」という見通し
• 現場では「手書きで管理せざるを得ない」状況との証言もあり、システム面の完全復旧はまだ途上

この時系列から言える推定

1. 比較的速い部分復旧は、使用可能なバックアップが存在していた可能性を示唆している。
   バックアップが暗号化・破壊されて全く残っていない場合、通常はシステムをゼロから再構築する必要があり、復旧には数週間〜数か月かかることが多い（過去の大規模ランサムウェア被害では1〜2か月以上を要した事例も珍しくありません）。
   
2. 今回は発生から4日で部分再開、1.5週間程度で全拠点の通常稼働を目指すという比較的短いスケジュール感であり、これは「復旧可能なバックアップが利用できた」「あるいは被害範囲が一部システムに限定されていた」可能性のいずれかを示唆しています。
   
3. ただし「復旧が早い＝バックアップ無傷」と断定はできない

• 受発注制限や「手書き管理」の証言があることから、基幹システム自体はまだ本格復旧しておらず、現時点では応急的・部分的な運用にとどまっている可能性があります。
• 早期の「システム遮断措置」（7月13日に自ら切り離した）が、被害拡大を防ぎ、結果的に一部システム・バックアップ環境を守った可能性もあります。
  つまり「バックアップが最初から堅牢だった」のではなく、「初動対応の速さが被害を限定した」という説明も成り立ちます。
• 部分再開が「バックアップからの復元」なのか、「代替系統・別拠点での稼働」なのか、報道からは判別できません。

結論

ニチレイは公式に攻撃の技術的詳細（バックアップの被害有無を含む）の開示を意図的に控えており（「さらなる被害拡大を防ぐため」）、この点は今のところ確認できません。

ただし、4日で部分再開・1.5週間で全面復旧を目指すという回復速度は、バックアップが全滅していた場合に典型的に見られる長期化パターンとは異なるという点で、「バックアップが一定程度機能した、あるいは初動の遮断措置が被害拡大を食い止めた可能性がある」という、やや踏み込んだ推定は可能だと考えます。

今回の分析で改めて感じたのは、

Evidence Packは「攻撃者が取得したデータ」ではなく、「攻撃者が公開を選択したデータ」である可能性を常に意識する必要があるということです。

リークサイトに掲載されるデータは、被害企業との交渉や心理的圧力を目的として編集・構成されている可能性があります。

そのため、防御側がリークサイトを分析する際には…

• 何が公開されたのか
• 何が公開されていないのか
• なぜこの形式で公開されたのか

…という三つの視点を持つことが重要と考えています。

Evidence Packは、攻撃者の「成果物」そのものではなく、交渉のために設計された「プレゼンテーション資料」である可能性も考慮しながら評価すべきでしょう。

推定される攻撃者の技量レベル

以上の外形的特徴から、次のような推定が可能です。（繰り返しになるが、あくまで推定であり確定情報ではない）

• ファイル共有基盤（社内ファイルサーバーやNASなど）への到達には成功しており、初期侵入（フィッシングメール、既知の脆弱性の悪用、あるいは窃取・購入した認証情報の不正利用など、侵入経路は複数の可能性が考えられる）と、そこからの内部展開自体は一定水準でこなせていると考えられる。
• 一方で、データの選別・優先順位付けを行った形跡が薄く、対象を綿密に絞り込んだ高度な標的型侵害というよりは、RaaS（Ransomware as a Service／らんさむうぇあ・あず・あ・さーびす：ランサムウェアの開発者が攻撃ツールを「サービス」として他の犯罪者（アフィリエイト）に貸し出し、身代金の一部を分配する分業モデル。攻撃の実行者と、マルウェアの開発者が別であることが多い）の実行者（アフィリエイト）が定型的な攻撃の手順――偵察・侵入・共有フォルダの一括持ち出し・暗号化・リークサイト掲載――をなぞった、組織的だが特別に洗練されているわけではない攻撃という印象を受ける。
• RansomHouse自体は、複数業種・複数大陸を継続的に狙う、恐喝ビジネスとして一定の運用体制を確立した集団とみられ、今回の手口も過去のアスクル事案などと共通するパターンを踏襲している可能性がある。

【今後の注目点】

ニチレイ側によるフォレンジック調査の結果や、RansomHouseによる追加公開があれば、侵入経路や横展開の実態について、より精度の高い分析が可能になると考えられます。