はじめに
①6月26日に防衛省が発表した陸上自衛隊USB事件と・・・・
②7月2日被害者の名鉄協商（名古屋市）が自ら発表したサイバー攻撃被害。
この2つの事件から見えてくる共通項に着目して語りたいと思います。
2020年からランサムウエアによるサイバー攻撃被害について、個人的な好奇心も手伝い、勝手に調査追跡をしてきました。
こうした事件が起きる度に、被害状況であったり、侵入経路であったりと様々な報道が飛び交うものですが、基本的に事件の詳細については、その多くが開示されることもなくマスメディアの報道紙面から徐々に自然消滅をしていく運命にあるようです。
そうした中で、部外者である私が何よりも関心を抱き、深堀を試みる項目があります。
一方で、不正アクセスの侵入経路やマルウエアに関する技術的情報については、丹念に確認を繰り返す作業を怠りませんが…
侵害されたシステムのセキュリティー構成が如何に脆弱であったか？に焦点を当て続けるという「被害者を苦しめるだけ」のような報道には、ほぼ関心を抱きません。
攻撃者は（被害者の）弱点を突いて攻撃してくるのは当たり前です。
脆弱性は、あくまで侵入の入り口（時には複数ある入り口の一つでしかない場合も）としか捉えません。
塞げばよいだけのことです。
今まで、多くの被害者の惨状を傍らから覗かせて頂いてきていますが、
世の中には、他人の失態を興味本位に知りたいだけの心理が「有る」と感じています。
大抵はお決まりのディナーコースを楽しむようなものでしかないんです。
話を戻しますが、私が最も関心を抱くことはなにか？
それは「どのようにして発覚したのか！？」という一点だけなんです。
様々なインシデントにおいても、こうした「発覚の経緯」は共通して存在しています。
それら「発覚の経緯」を記録して様々なケースと比べてみる。
このデーターベースは、正直、役に立っています。
色々なモノが見えて来るキッカケになっています。
「発覚の経緯」をよく知ることこそが、インシデントへの理解と、攻撃者のオペレーションに隠された攻撃者側の都合にまで及ぶ世界を、攻撃者目線で洞察していくキッカケになると信じているからです。
発覚の経緯について
ということで「発覚の経緯」を確認しておきたいと思います。
（1）陸上自衛隊のUSB感染事案では・・
①「陸上自衛隊が中国系ウイルスに感染したUSBメモリーを使い続けていた問題は、1人の隊員の違和感から偶然発覚した」
②「2025年2月、インターネットに接続されていない機密ネットワーク（クローズ系）の端末でUSBを使用中、隊員がパソコンの動作遅延に気づいた。USB悪玉説を疑いセキュリティソフトで全量検査を実施したところ、ウイルス（マルウェア）が検出された」
何れも日本経済新聞社が報じています。
ここで私が思うことは、違和感を感じた隊員がいなかったらどうなっていたのだろうか？ということです。そして、その違和感の内容がどのようなものだったのかについて深く知りたいなと思うのです。
記事からは、「パソコンの動作遅延」が指摘されています。一般的には「重たい」と称される事象です。そして、その動作遅延について深堀してみるとインシデントの実態に一歩近づけるように思うのです。
どういうことかというと、感染していたUSBをパソコンに挿した後の事象についてです。
1.USBとパソコンとのデーター転送速度が遅い（重たい）が為に次のプロセスへの移行に支障が生じていたのか？
2.それとも、パソコン内の業務ソフトそのものに動作遅延が発生していたのか？
ここでは単純化して上記2点に着目するだけでもインシデントの内容について大きな違いが生じてくるように思います。
発覚の経緯を報じた記事からわかることは、前者の1の場合の（感染していた）物理的な性能不良のUSBに疑いを抱いて行動に移した結果、発覚したということです。
一方で後者の2のケースで考えられることは、パソコン内でマルウエアの活動を（既に）許していた可能性です。
発覚した経緯をちょっとだけ深堀するだけで調査する範囲や対象、その優先順位は当然のこと変わって来るのだと思います。
（２）名鉄協商へのサイバー攻撃事案では・・・
こちらは６月23日に発生した「システム障害」という明確な物理的事象により発覚しています。
そして、そのシステム障害に対応した結果、6月19日に「ランサムウエアによる不正アクセスの痕跡」が確認されたとされています。
感染から約4日後にシステム障害が発生していたわけです。
この流れからいくと典型的なランサムウエアを用いたサイバー攻撃だと考えています。
両事案ともに「外部への情報資産の漏洩は確認されていない」？
情報資産の漏洩については、あくまで「確認されていない」です、今のところはですが。
情報資産が外部へ漏洩していたのか？
していないのか？
確認できていないということでしかないわけです。
このことを逆説的に捉えると、最近のサイバー攻撃、特にランサムウエアを使用した攻撃が…
窃取した情報資産を、DarkWeb等にある犯罪フォーラムをはじめ、犯罪エコシステムを支える
犯罪ビジネスの資産の構築と活用が目的のモデルへ変質しつつあると思うことです。
最近のサイバー攻撃の傾向に危惧すること
特に今年に入ってからのランサムウエア攻撃は、従来の攻撃から明らかに変質し始めているように見受けられます。
従来のような被害企業に対し金銭の要求をする目的から、窃取した情報資産を転売して儲ける、或いは、第二、第三の詐欺ビジネスの標的として活用する方向へ力点を移し始めているのではないかと感じているのです。
皮肉にも、私達の貴重な情報資産は、それらを違法な手段で窃取した犯罪集団にとっても、欠くことができない貴重な犯罪ビジネスの情報資産と言えます。
故に、今までになく効果的な運用に向けて研究・実践されていくのではないかと危惧しています。
と同時に、最近のサイバー攻撃被害の発覚から感じることもあります。
過去に於いては、ランサムウエアによるサイバー攻撃は「必ず発覚するもの」だったはずなんです。
被害者が攻撃被害を世間に公表するしないに関わらず必ず発覚が伴うものだったのです。
それは何故か？と言えば、「お金目当てのサイバー攻撃だから」です。
犯人一味からしてみても被害者にとって貴重な「情報資産の窃取」と「その暗号化」による二重恐喝の犯罪スキームを成功させるためにも、ある一定の段階で被害者へ金銭を要求するために「発覚させる必要がある」ものだったからです。
ところが今年に入ってから、その動静の違いが顕著になりつつあります。
今までの多くの犯罪グループは、ご丁寧にも、DarkWebに展開する自身らのリークサイトに、半ば見本市が如く、窃取した情報資産のサンプルを公開し、被害企業が行う漏洩した情報についての調査に協力的であったのです。
全てはお金のためです。
でも、それが過去のお話になりつつ有るように思います。
2026年に入ってから、暗号化を伴わない(non-encrypting/encryption-less)恐喝型ランサムウェア事案の増加が、複数のセキュリティベンダーのレポートで明確なトレンドとして指摘されています。
理由は主に「攻撃者側の費用対効果」にあります。暗号化なしの恐喝は、攻撃の滞留時間を短縮し、検知されるリスクを減らし、バックアップによる復旧を無意味にします。
また暗号化はフォレンジック証拠を生成し、ファイル書き換えパターンでEDRのアラートを引き起こし、被害者ごとの鍵管理が必要で、法執行機関による復号支援のリスクにも晒されるという、「攻撃者側のリスク」があります。 Cybersecurity InsidersSecurity Affairs
また、Kasperskyの「State of Ransomware 2026」によると、2025年には身代金の支払い率が28%まで低下しました。これを受けて、2026年の動向の一つとして、ファイルの暗号化を一切行わない恐喝事案の増加が挙げられています。 SecurelistSecurelist
Security Affairsの記事でも同様に、身代金の支払い率は2019年の約76%から2026年には28%まで落ち込んでおり、実際に被害者の3人に1人未満しか支払っていない状況が報告されています。 Security Affairs
Morphisecも同様の分析をしており、データを盗んでから暗号化せずに、時には数週間から数ヶ月かけて静かにデータを窃取し、侵害からかなり経ってから恐喝する手口が急速に拡大していると指摘しています。
この「暗号化なしランサムウェア」モデルは、攻撃者にとってリスクが低く、防御側が検知しづらく、ログが失われた後では被害者側の調査もほぼ不可能になるため急成長しているとしています。 MorphisecMorphisec
貴重な私達の情報資産が窃取され、犯罪エコシステムで活用され始めているというのに、それらを検知出来ず、発覚は実害が生じてから。
私なんぞは、そんなことを想像しただけで、トイレで一服することもままならなくなりそうです。
最後に
最後に、発覚の経緯に話を戻して結びとしたいと思います。
今後は、被害者への金銭の要求という従来の犯罪スタイルから、窃取した情報資産の活用と転売から儲ける犯罪ビジネスへ移行していくと予想しています。
それと共に、侵入経路やその手段、窃取した情報資産の中身の確認等を不可能にする目的で、
システムの破壊で犯行を終えるであろう、極めて悪質な手法へ移行していく可能性も危惧しています。
”精強な”特殊部隊が敵地深く侵入し、作戦終了後に自身らが活用した高性能機密兵器を完全に破壊してから撤退することで、証拠隠滅を図り、手掛かりや追跡を一切不可能にする手法。
これに習ったサイバー攻撃の”凶悪化”を想定し、今起きている事案から多くの教訓を得ようとするならば、「発覚の経緯」について繰り返し深堀と研究が求められていると感じています。
コメント