| 二重恐喝ランサムウェアとは？攻撃の流れとダークウェブ公開の実態 | |
|---|---|
| 作成日時 26/08/17 (08:53) | View 54 |
警察庁の令和6年におけるサイバー空間をめぐる脅威の情勢等についてによると、令和6年中に報告されたランサムウェア被害222件のうち、手口を確認できた134件の82.8%にあたる111件が、データを暗号化するだけでなく盗み出して公開すると脅すダブルエクストーション、すなわち二重恐喝によるものでした。
バックアップさえあれば復旧できるという従来の常識は、データを盗んで公開すると脅す二重恐喝の登場で通用しなくなりました。暗号化されたファイルは復元できても、外部に持ち出されたデータの公開は、どんなバックアップでも止められないためです。
さらに近年、この脅迫は二重にとどまりません。
顧客や取引先への直接連絡やDDoS攻撃を加える三重や四重恐喝、そして暗号化すら行わず窃取だけで脅すノーウェアランサムへと進化し、支払いを拒む企業に逃げ場を与えない包囲網が築かれつつあります。
記事では、二重恐喝ランサムウェア攻撃の流れ、暴露が実際に行われるダークウェブのリークサイトの実態、多重恐喝の最新動向、そして大企業が取るべき対策の方向性を解説します。
二重恐喝ランサムウェア（二重脅迫型ランサムウェア）とは、企業のデータを暗号化して復旧と引き換えに身代金を要求するだけでなく、暗号化の前に盗み出したデータを公開すると脅すことで、二重に身代金を迫るランサムウェア攻撃です。
二重脅迫型やダブルエクストーション（double extortion）とも呼ばれ、本記事ではこれらを同義として扱います。攻撃者は暗号化による業務停止と機密データの暴露という2つのカードを同時に握ることで、被害企業が身代金の支払いを拒みにくい状況を人為的に作り出します。
二重恐喝が厄介なのは、片方の対策がもう片方に効かない点にあります。
暗号化にはバックアップからの復旧が有効ですが、これはデータ暴露を防げません。逆に暴露を恐れて支払っても、盗まれたデータが確実に削除される保証はないのです。
以下では、従来型ランサムウェアとの違いと、なぜ二重恐喝がここまで主流になったのかを掘り下げます。
従来型のランサムウェアが持つ武器は、暗号化による業務停止という一点のみでした。
攻撃者は社内のデータを暗号化し、復号鍵と引き換えに身代金を要求します。この攻撃に対して、企業側にはバックアップからの復旧という明確な対抗策がありました。暗号化される前のデータを別に保管しておけば、身代金を払わずに業務を復旧できるためです。
二重恐喝は、ここにデータ窃取による暴露という第二の武器を加えました。攻撃者は暗号化の前に機密データを外部へ持ち出し、支払わなければ公開すると脅します。これにより、完璧なバックアップから復旧できても、盗まれたデータが公開されるリスクは残ります。
顧客情報や取引先データ、知的財産が漏えいすれば、損害賠償や信用失墜、規制当局への対応といった二次被害が連鎖します。バックアップでは解決できない構造を作り出した点が、二重恐喝の本質的な進化です。
二重恐喝が主流化した直接の引き金は、バックアップの普及です。
イミュータブルバックアップなどの整備が進み、暗号化されても身代金を払わずに復旧できる企業が増えたことで、従来型の身代金ビジネスの収益性が低下しました。攻撃者はこの流れへの対抗策として、暗号化されても払わない企業に対し、暴露という新たな圧力を開発したのです。
この手口の起源とされるのが、2019年から2020年にかけて活動したMazeと呼ばれるランサムウェアグループです。Mazeは盗んだデータを公開する専用のサイトを初めて本格的に運用し、以降このモデルが業界標準として広く模倣されました。
実際、前掲の警察庁統計が示す82.8%という二重恐喝の割合や米Covewareの2025年第4四半期レポートが示すインシデントの94%でデータ窃取が確認されたという数値は、暴露を伴う攻撃がもはや例外ではなく標準になったことを裏づけています。
二重恐喝は、身代金要求書が表示された瞬間に始まるわけではありません。その前段には、初期侵入から内部での横展開、そしてデータの窃取という、数日から数週間にわたる段階的な攻撃の積み重ねがあります。
ここでは、攻撃者の動きを段階的に追い、どこに防御の機会があるかを明らかにします。
二重恐喝の起点は、標的ネットワークへの最初の侵入です。
攻撃者が多用する侵入経路は、VPN機器やRDP（リモートデスクトップ）の脆弱性の悪用、そして従業員を狙うフィッシングです。パッチが適用されていない境界機器や、推測されやすい認証情報でインターネットに露出したRDPは、攻撃者にとって格好の入口になります。
近年さらに見過ごせないのが、侵入そのものをダークウェブで調達するケースです。攻撃者は初期アクセスブローカー（IAB）と呼ばれる仲介者から、すでに侵害済みの企業環境へのアクセス権を購入し、いきなり内部活動から作戦を始めます。
最初に侵入した1台の端末に、目当ての機密データやシステムがあるとは限りません。攻撃者はここから内部を横方向に移動し、被害範囲を広げていきます。この横展開（ラテラルムーブメント）で狙われるのが、ドメイン全体を制御するActive Directoryの管理権限です。
攻撃者は認証情報を窃取してなりすまし、正規の遠隔操作サービスを使って隣の端末やサーバーへと移動していきます。
この段階が、二重恐喝の被害規模を決定づけます。攻撃者がドメイン全体を掌握すれば、窃取できるデータの範囲も、最終的に暗号化できる端末の数も最大化されるためです。逆にいえば、この横方向の移動を検知して止められれば、初期侵入を許しても被害を一区画に封じ込められます。
二重恐喝の本質が、暗号化を実行する前に機密データを外部へ持ち出すことです。
攻撃者は横展開で到達したファイルサーバーやデータベースから、顧客情報や財務データ、知的財産、契約書類といった価値の高い情報を選び出し、外部のサーバーへ送信します。
MITRE ATT&CKはこの持ち出しをT1041（Exfiltration Over C2 Channel）として分類しており、攻撃者は指令サーバーとの通信経路を使ってデータを圧縮し、暗号化したうえで正常な通信に紛れ込ませて送り出します。
重要なのは、この持ち出しが暗号化より前に静かに完了している点です。企業がランサムウェアに気づいた時点では、機密データはすでに攻撃者の手元にあります。データが外へ流れ出る異常を検知できるかどうかが、二重恐喝を止める最後の砦になります。
データの窃取を終えた攻撃者は、最後にランサムウェア本体を全社の端末へ一斉展開し、ファイルを暗号化して業務を停止させます。MITRE ATT&CKはこの破壊的な暗号化をT1486（Data Encrypted for Impact）として分類しています。
多くの場合、この暗号化は夜間や休日といった監視の手薄な時間帯を狙って一気に実行されます。
暗号化と同時に、攻撃者は端末上に身代金要求書を残します。そこでは復号鍵の対価に加え、盗んだデータを公開しない見返りとしての支払いが要求され、ダークウェブ上に用意された交渉窓口へと誘導されます。
ここで初めて被害企業は、暗号化による業務停止とデータ暴露の脅しという二重の圧力に直面します。そして、その暴露が実際に行われるプラットフォームこそが、次に見るダークウェブのリークサイトです。
二重恐喝の暴露の脅しは、口先だけの脅迫ではありません。攻撃者はダークウェブ上に、被害企業を晒し上げるための公開インフラをリークサイト（DLS＝Data Leak Site）として整備しています。以下では、ランサムウェアとダークウェブの関係性を見ていきます。
リークサイトは、ランサムウェアグループが運営する、被害企業の情報を段階的に公開するための専用サイトです。多くの場合、匿名性の高いTorネットワーク上に置かれ、被害企業名の一覧が晒し上げられる形で掲載されます。
そこには支払い期限までのカウントダウンタイマーが表示され、期限が近づくほど圧力が高まる仕掛けになっています。
攻撃者はさらに、盗んだデータの一部をサンプルとして公開し、暴露が本物であることを証明します。財務書類や顧客リストの断片を見せることで、支払わなければ全データが公開されるという脅しに現実味を持たせるのです。
グループによっては、盗んだデータを入札形式で売りに出すデータオークションを設け、最も高値をつけた第三者へ売却する仕組みも運用します。
たとえば、ある製造業の企業名がリークサイトの被害者一覧に追加され、支払い期限までの残り時間を刻むカウントダウンと財務書類数ページのサンプルが並べて掲載されます。期限が近づくにつれ公開されるサンプルは増え、交渉が決裂すれば全データが放出される、という段取りです。
被害企業は、自社の名前が晒され、機密の断片が小出しにされ、時計が刻々と進む様子を、なすすべなく見せつけられることになります。
期限内に支払わなければ、サンプルとして小出しにされていたデータが全面的に公開されます。
しかし、被害はそこで終わりません。公開された、あるいは水面下で売買された機密データは、ダークウェブ上でさらに転売され、別の攻撃者の手に渡ります。窃取された認証情報や社内システムの構成情報は、次の攻撃の初期アクセスや標的情報として再利用されるのです。
つまり一度の侵害が、次の侵害を呼ぶ連鎖を生みます。ある企業から盗まれた従業員の認証情報が、そのまま子会社や取引先への侵入経路として再販されるといった具合です。
自社のデータがどこで、どのように流通しているかを外部から把握する脅威インテリジェンスの重要性は、こうした連鎖を早期に断ち切る観点からも高まっています。被害は身代金を払うか払わないかの一度きりの選択ではなく、長い尾を引く問題だという認識が欠かせません。
恐喝は二重にとどまりません。支払いを拒む企業が増えるにつれ、攻撃者は圧力の手数を増やし、多重化させてきました。暗号化と暴露に第三、第四の脅しを重ねる多重恐喝、そして暗号化という工程すら省いて窃取だけで脅すノーウェアランサムが、2026年時点の最新動向です。
三重恐喝とは、暗号化と暴露に加えて第三の圧力を重ねる手口です。代表的なのが、被害企業の顧客や取引先、従業員へ直接連絡を取り、あなたの情報が漏れていると通知して間接的に圧力をかける方法です。
被害企業は自社の判断だけでなく、外部からの問い合わせや信用不安にも同時に対処せざるをえなくなります。もう一つの典型が、被害企業のWebサイトやシステムにDDoS攻撃を仕掛け、業務停止の圧力を上乗せする手口です。
さらに一部のグループは、規制当局への通報をちらつかせる四重恐喝へと発展させています。個人情報保護規制の違反を当局へ密告すると脅し、制裁金への懸念を利用して支払いを迫るのです。
二重恐喝が2つのカードだったのに対し、多重恐喝は暗号化、暴露、第三者への連絡、DDoS、当局通報といった複数のカードを同時に切り、被害企業から逃げ場を体系的に奪います。
多重化とは逆方向の進化が、ノーウェアランサムです。これは暗号化という工程を省き、データを盗み出して公開すると脅すだけの手口です。前掲の警察庁統計では、令和6年中にノーウェアランサムによる被害が22件確認されており、無視できない存在になっています。
ノーウェアランサムが厄介なのは、検知されにくい点にあります。
従来型のランサムウェアは、ファイルが暗号化されて業務が止まるという明確な兆候を伴うため、被害に気づかざるをえません。しかし、ノーウェアランサムでは、データが静かに盗み出されるだけで、システムは正常に動き続けます。
暗号化による派手な兆候がないぶん、攻撃者から脅迫の連絡が来て初めて侵害を知る、というケースも起こりえます。
これほど高度で執拗な攻撃を、個々のハッカーが単独でこなすのは困難です。二重恐喝の背後には、役割を分担する成熟した犯罪ビジネスの生態系があります。以下では、その経済構造と代表的な攻撃グループを整理します。
分業構造の中核にあるのが、RaaS（Ransomware as a Service）です。これはランサムウェア本体やリークサイト、交渉基盤といった攻撃の道具一式を、開発者がアフィリエイトと呼ばれる実行役へ貸し出す事業モデルです。
開発者は攻撃インフラの整備に専念し、実行役は実際の侵入と暗号化を担い、得られた身代金を分配します。この仕組みにより、高度なマルウェアを自作できない攻撃者でも、二重恐喝を実行できるようになりました。
この生態系のもう一つの担い手が、前述の初期アクセスブローカー（IAB）です。
IABは侵害済みの企業への足場を商品としてダークウェブで販売し、RaaSのアフィリエイトはこれを購入して初期侵入の手間を省きます。開発者、実行役、侵入経路の調達役が市場を介して結びつくことで、攻撃はまるで正規のサプライチェーンのように効率化されています。
防御側から見れば、相手は個人ではなく分業化された産業だという前提に立つ必要があります。
二重恐喝を主導してきた代表的なグループを整理すると、この手口の系譜が見えてきます。それぞれが独自のリークサイトを運用し、被害企業を晒し上げてきました。
|
グループ |
背景と特徴 |
|
Maze |
二重恐喝の起源とされ、リークサイトによる暴露モデルを初めて本格運用した。2020年に活動を終了 |
|
Conti |
大規模で組織的な運用で知られたが、内部情報の流出を経て解体。人材が他グループへ拡散したとされる |
|
LockBit |
RaaSとして多数のアフィリエイトを抱え、長く高い活動量を維持してきた常連グループ |
|
Cl0p |
主にファイル転送ソフトの脆弱性を突いた大規模な窃取と暴露で知られる |
|
Qilin |
近年活動が活発なRaaSグループの一つ。暗号化を主軸に据える傾向も指摘される |
これらのグループの手口や標的の傾向は、MITRE ATT&CK Groupsで技術IDとともに確認できます。
押さえておきたいのは、特定のグループが摘発や解体で姿を消しても、その人材やノウハウ、アフィリエイトは別のグループへ流れ込み、生態系全体としては存続し続けるという点です。個々のグループ名を追うだけでは、脅威の全体像は捉えきれません。
ここまで見てきたとおり、二重恐喝の本質は暗号化と暴露の分離にあります。この構造が対策の考え方を根本から変えます。バックアップは業務復旧には有効でも、盗まれたデータの公開という脅しには無力です。
だからこそ、対策の軸足は暗号化される前の窃取と横展開をいかに止めるかに移す必要があります。ここでは、大企業の情報システム部門とCISOが押さえるべき対策を体系化します。
二重恐喝の攻撃の流れを思い出すと、暗号化は最終工程であり、その前には必ず横展開とデータ窃取という段階があります。ここを検知して止めることが、暗号化と暴露の両方を同時に防ぐ最も効果的な打ち手です。
中心となるのが、ふるまいの異常を捉える検知ソリューションの組み合わせです。
● EDR（エンドポイント検知応答）：端末上の認証情報の窃取や不審なプロセスの起動を検知
● NDR（ネットワーク検知応答）：これまで通信のなかった端末どうしが突然つながる横展開や大量のデータが外部へ送信される異常を検知
これらを横断して相関分析するのがXDR（拡張検知応答）です。さらに、暴露カードそのものである機密データの持ち出しを直接ふさぐのがDLP（Data Loss Prevention：データ持ち出しの検知と制御）です。
DLPは重要データが外部へ送信されようとする動きを検知し、ブロックします。暗号化の前段でこれらが機能すれば、攻撃者は暴露カードを手にする前に活動を止められます。
暗号化される前に止めるのが理想ですが、万一暗号化を許した場合に業務を復旧するためのバックアップは、依然として必須の備えです。とくに重要なのが、改ざんや削除ができないイミュータブルバックアップです。
攻撃者は横展開の過程で、バックアップそのものを暗号化したり削除したりして、復旧の可能性をつぶすため、書き換えられないバックアップを確保しておくことが事業継続の最低ラインになります。
ただし注意すべきは、バックアップはあくまで暗号化からの復旧を担保するものであり、すでに盗まれたデータの公開は別の問題として残るという点です。バックアップは対策の全体ではなく一部にすぎないという位置づけを明確にしておく必要があります。
最も上流の打ち手は、攻撃が完了する前にその兆候をダークウェブで掴むことです。
二重恐喝の攻撃は、その入口も出口もダークウェブに接続しています。入口では、自社への初期アクセスがIABによって売買されている可能性があります。出口では、窃取されたデータがリークサイトに掲載されたり、盗まれた認証情報が売りに出されたりします。
この両端を監視すれば、攻撃のライフサイクルが完了する前に先手を打てます。
StealthMoleのダークウェブインテリジェンスは、ダークウェブやディープウェブ上で自社ドメインに紐づく認証情報の流出や初期アクセスの売買、リークサイトへの自社情報の掲載といった兆候を可視化します。
二重恐喝ランサムウェアは、データを暗号化する従来型に、盗んだデータを公開すると脅す暴露を加えた攻撃であり、国内の被害の8割以上を占める主流の手口です。
暗号化にはバックアップが効いても、暴露にはバックアップが無力だという構造こそが、この脅威の本質です。そして脅迫は、顧客や取引先を巻き込む多重恐喝や、暗号化すら省くノーウェアランサムへと進化し、支払いを拒む企業から逃げ場を奪い続けています。
この複雑な攻撃への対策のスタートは、軸足を復旧から予防へと移すことです。
まずEDRやNDR、XDR、DLPを組み合わせ、暗号化の前段にある横展開とデータ窃取をふるまいの異常として検知し、暴露カードを握られる前に攻撃を止めます。そのうえでイミュータブルバックアップによって業務復旧を担保し、暗号化への備えを固めます。
最も上流では、自社データの流出や初期アクセスの売買がダークウェブで起きていないかを常時監視し、攻撃が完了する前に兆候を掴みます。
こうして、ダークウェブでの兆候把握、暗号化前の窃取と横展開の検知、そして復旧の担保が一つの体制となったとき、防御側は攻撃者が暴露カードを切る前に先手を打てるようになります。
二重恐喝に対抗する力とは、盗まれたあとにどう払うかを考えることではなく、盗まれる前の段階でいかに兆候を掴み、止めるかという運用の連続性そのものです。
