ランサムウェアは「暗号化より先にバックアップを消す」、OS標準機能の悪用が前月比7割増〜Halcyonがレポート

　ランサムウェアに特化した対策ソリューションを提供するHalcyon Japan株式会社は9月16日、2026年8月のランサムウェア攻撃動向をまとめた月次レポート「ROC STARレポート」を公開した。

　同レポートによると、攻撃者がデータの暗号化に取りかかる前に企業の復旧手段を無効化する動きが強まっている。その背景として、攻撃用のツールを持ち込む動きが減る一方、OS標準機能を悪用する「環境寄生型」（Living off the Land）攻撃が急増しているという。

暗号化の前に復旧手段を破壊、「VSSAdmin」の悪用が増加

　8月の悪用ツールランキングでは、Windowsが自動的に取得している復元用スナップショット（シャドウコピー）を管理するためのコマンド「VSSAdmin」が前月から2つ順位を上げ、15組織で観測された。

　VSSAdminは、本来は管理者が使うコマンドだが、攻撃者が使えば、暗号化の直前に復元ポイントを消去できる。同社は攻撃者がこうした手順を踏む理由について、データを暗号化しても、企業が自力で復旧できてしまえば、身代金を払う理由がなくなるためだと考察している。

OSの機能を悪用する「環境寄生型」の攻撃が前月比7割増加

　攻撃手法の傾向としては、攻撃用のツールを持ち込むのではなく、OSに元から入っている正規の機能をそのまま悪用する「環境寄生型」のアラートが前月から72.0％増加した。前述のVSSAdminもこれに該当する。

　この攻撃手法では正規のコマンドを実行するため、マルウェアとして検知されず、通常の運用作業とも見分けがつきにくい。そのため、復旧手段を潰す作業が、防御側から見えにくいという。

バックアップをネットワークから分離することが重要

　グループ別の攻撃件数ランキングでは、アサヒグループホールディングスにサイバー攻撃を行ったとされる「Qilin」が148件で首位となり、前月まで首位だった「The Gentlemen」が123件で2位となった。

ランサムウェアグループ別の攻撃件数ランキング

　このほか、侵入ルートとしてパッチの当たっていないVPNゲートウェイやリモートアクセス製品を悪用し、侵入後は正規の管理ツールで攻撃対象の調査を行う攻撃グループにも注意が必要だとしている。

　同社の露木正樹氏（カントリーマネージャー）は、企業が取るべき対策として、バックアップをネットワークから切り離した場所に置くこと、攻撃者がバックアップに手を伸ばす前に攻撃を止めることの2点を挙げている。

　なお、同レポートの解説を行う無料オンラインセミナーが9月18日に開催される予定だ。