RaaS（サービス型ランサムウェア）とは?

サービスとしてのランサムウェア（RaaS）：構造と企業の対応戦略

サービスとしてのランサムウェア（Ransomware as a Service、RaaS）とは、ランサムウェアの開発者や運営組織がマルウェアと管理インフラを構築し、ほかの攻撃者へ販売または貸与するサイバー犯罪のビジネスモデルです。運営者は、サブスクリプション料金、ライセンス費用、犯罪収益の一部などを受け取る条件でツールを提供します。アフィリエイト（affiliate）はこれを利用し、初期侵入から権限昇格、データ窃取、暗号化までの実際の攻撃を実行します。

このモデルは、攻撃へ参加する際の技術的なハードルを下げ、犯罪規模を急速に拡大させます。ランサムウェアを自ら開発する能力がない攻撃者でも、用意されたツールとインフラを利用できます。一方、開発者は被害組織へ一つひとつ侵入しなくても、複数のアフィリエイトを通じて収益を得られます。

ランサムウェアと RaaS の違い

ランサムウェアとは、システムやデータを暗号化したりアクセスを遮断したりした後、データの復旧と引き換えに金銭を要求するマルウェア、または攻撃の種類です。RaaS は、こうした攻撃を役割ごとに分担して実行する運営モデルです。つまり、マルウェアは攻撃に用いるツールとその行為を指し、RaaS はランサムウェアを収益化する方式を指します。

区分	ランサムウェア	サービスとしてのランサムウェア（RaaS）
開発主体	攻撃組織内の開発者	RaaS 運営者または別の開発組織
攻撃主体	開発組織と同一	サービスを購入するアフィリエイト
技術的な参入障壁	独自の開発・運営能力が必要	完成した攻撃ツールを利用するため、比較的低い
収益構造	攻撃組織の直接収益	サブスクリプション料金、ライセンス費用、収益分配など
攻撃の特徴	組織固有の戦術が比較的一貫している	同じランサムウェアでも、アフィリエイトによって侵入経路や戦術が異なる場合がある
防御の観点	特定組織とマルウェアの特徴の追跡を重視	アカウント、脆弱性、内部移動、データ流出など、攻撃経路全体を追跡

RaaS エコシステムの役割と収益構造

RaaS のエコシステムは、犯罪のサプライチェーンに近い構造です。1 つの組織が攻撃の全工程を担う場合もありますが、一般的には、運営者、アフィリエイト、初期アクセスブローカー（Initial Access Broker、IAB）に役割が分かれています。

RaaS の運営者と開発者

RaaS の運営者と開発者は、ランサムウェアのコードと中核インフラを開発・維持し、被害者の管理、データ流出サイトの運営、アフィリエイトの募集、収益の精算など、サービス運営全般を担います。一部の運営者は技術サポートも提供します。ただし、すべての RaaS が高度な管理体制を備えているわけではなく、サービスの提供範囲と運営水準はグループごとに異なります。

アフィリエイト

アフィリエイトは、RaaS 運営者のツールを利用して攻撃を仕掛け、ランサムウェアを配布します。フィッシング、窃取したアカウント、外部へ公開されたリモートアクセスサービス、パッチが適用されていない脆弱性などから侵入し、内部偵察、権限昇格、データ窃取、暗号化を進めます。

初期アクセスブローカー

初期アクセスブローカー（Initial Access Broker、IAB）は、侵害した企業のアカウントやネットワークへのアクセス権を販売します。アフィリエイトは、検証済みのアクセス権を初期アクセスブローカーから購入することで、初期侵入にかかる時間を短縮できます。

収益モデル

RaaS のサービス購入条件は運営組織ごとに異なり、一般に知られている方式は主に次の 4 つです。

• 定期サブスクリプション：一定期間ツールとインフラを使用する対価として、定期料金を支払います。
• ライセンス購入：特定のランサムウェアビルドまたはキットを 1 回購入します。
• 収益分配：攻撃で得た犯罪収益を運営者とアフィリエイトで分配します。
• ハイブリッド型：サブスクリプション料金に収益分配の条件を加えるなど、複数の方式を組み合わせます。

こうした収益構造は、運営者とアフィリエイトの役割を分けながら、双方が攻撃の成果を共有できるようにします。運営者は自ら攻撃しなくても収益を拡大でき、アフィリエイトは攻撃の実行に集中できます。この分業構造が、RaaS の継続的な運営と拡大を可能にする基盤となります。

RaaS の攻撃フロー

詳細な戦術はアフィリエイトごとに異なりますが、攻撃は一般的に次の流れで進みます。

1. 初期アクセスの確保：窃取されたアカウント、フィッシング、外部公開サービス、パッチ未適用の脆弱性などを悪用し、アクセス権を確保します。
2. 内部環境の把握：ネットワーク構造、主要サーバー、アカウント権限、バックアップ環境、セキュリティ製品の状態を確認します。
3. 権限昇格と内部移動：より高い権限を持つアカウントを確保し、アクセス範囲を広げます。
4. データ窃取：重要なデータを外部へ流出させます。
5. 復旧手段の妨害：バックアップとセキュリティ機能を無力化し、被害組織によるデータ復旧を妨げます。
6. 暗号化と脅迫：ファイルやシステムを暗号化し、復号またはデータを公開しないことと引き換えに金銭を要求します。

実際の攻撃は、この流れと異なる場合があります。暗号化を行わず、窃取したデータを材料に金銭を要求する場合もあれば、データを窃取せず、暗号化による業務停止に集中する場合もあります。

RaaS への対応が難しい理由

同じランサムウェアを使用していても、アフィリエイトによって初期侵入経路、補助ツール、攻撃順序などの戦術・技術・手順（TTP）が異なります。また、RaaS では特定の攻撃に必要な機能を個別に購入できるため、対応はさらに複雑になります。特定ランサムウェアの過去の侵害指標（IOC）だけに防御を集中すると、新たなアフィリエイトや変化した攻撃を見逃す可能性があります。そのため、初期アクセス地点、権限の不正利用、データ移動、永続性の確保を振る舞い中心で追跡しなければなりません。

さらに、RaaS 攻撃ではファイルの暗号化だけでなく、データ窃取と公開による脅迫も同時に行われる場合があります。この場合、バックアップからシステムを復旧しても、すでに流出した個人情報や機密情報のリスクは残ります。ランサムウェア攻撃が止まった後も、アフィリエイトが別のサービスを利用して再び攻撃する可能性があることも、対応を難しくしています。

LockBit と Hive に見る RaaS の運営事例

LockBit と Hive は、ランサムウェアの開発者と実際の攻撃実行者が分離して運営される RaaS 構造を示す代表的な事例です。どちらも 1 つのランサムウェア名の下で複数のアフィリエイトが活動し、アフィリエイトによって異なる侵入方式が観察されました。

LockBit

LockBit の運営者は、ランサムウェアツールと攻撃管理インフラをサービスとして提供し、アフィリエイトを募集しました。アフィリエイトは提供されたツールを利用して組織へ侵入し、データを窃取したり、システムを暗号化したりしました。LockBit と関係するアフィリエイトは互いに独立して活動できたため、初期侵入経路、攻撃ツール、内部での活動は、それぞれ異なる方式と特徴を示しました。

Hive

Hive も開発者とアフィリエイトが役割を分担して運営されました。開発者はランサムウェアと関連インフラを管理し、アフィリエイトは攻撃対象を選び、実際の侵入とランサムウェアの配布を行いました。Hive のアフィリエイトは、窃取したリモートアクセスアカウント、フィッシング、外部システムの脆弱性など、さまざまな方法で初期アクセスを確保しました。一部の攻撃では、先にデータを窃取してからシステムを暗号化し、復号とデータを公開しないことを条件に金銭を要求しました。

Article

ランサムウェアグループの新しいビジネスモデル、RaaS の最新動向は?

RaaS 攻撃への対策

RaaS 攻撃はアフィリエイトによって侵入方法が異なるため、特定のマルウェアを遮断するだけでは完全に防げません。そのため、初期アクセスから内部移動、データ窃取、暗号化、復旧妨害まで、攻撃の各段階に応じたセキュリティ制御が必要です。

外部公開資産と脆弱性の管理

インターネットへ公開されたサーバー、VPN、リモートデスクトップ、管理システムを特定し、必要性を点検します。使用していないサービスは停止し、外部アクセスが必要なシステムはアクセス範囲を制限しなければなりません。資産リストに含まれていないシステムや、管理担当者が不明確なシステムも定期的に確認します。使用中のシステムについては、重要度と悪用の有無を基準に優先順位を定め、セキュリティパッチを適用する必要があります。

権限昇格と内部移動の検知

攻撃者が 1 台の端末へ侵入しても、主要サーバーやバックアップシステムへ直接移動できないよう、ネットワークと管理領域を分離します。また、管理者権限の取得、リモート管理ツールの実行、複数システムにわたる連続ログイン、異常なアカウント作成、セキュリティ機能の停止などの振る舞いを検知しなければなりません。このとき、エンドポイント、サーバー、認証システムのログを 1 か所へ集約し、時系列で関連付けることで攻撃フローを把握できます。

データ窃取の監視

重要データの保存場所とアクセス権を把握し、業務上必要のないアカウントからのアクセスを制限します。大量のファイル参照や圧縮、通常は使わない外部ストレージへの転送、通常とは異なる時間帯のデータ移動など、攻撃の兆候がないか監視しなければなりません。ランサムウェアの実行やファイル暗号化が見つかっていなくても、アカウント侵害やデータ持ち出しの形跡があれば、情報流出事故の可能性を別途調査する必要があります。

バックアップと復旧体制の運用

バックアップは運用環境から分離して保管し、運用システムと同じ管理者アカウントでは削除・変更できないように構成します。オフラインバックアップやイミュータブルバックアップも併用すると、攻撃者がバックアップを破壊する可能性を抑えられます。さらに、中核システムを所定の時間内に実際に復元できるか定期的にテストし、復旧に必要なアカウントと手順も併せて検証しなければなりません。

ホワイトペーパー

アンラボのランサムウェア統合セキュリティ戦略

RaaS 侵害発生時の対応手順

ランサムウェア感染やデータ窃取の形跡を発見した場合は、組織のインシデント対応手順を直ちに開始し、次の手順に従って被害を最小限に抑えなければなりません。

1. 影響を受けたシステムの隔離：ネットワーク接続とリモート接続を遮断し、攻撃がほかのシステムへ拡散するのを防ぎます。
2. 被害範囲の確認：暗号化された端末、侵害されたアカウント、サーバー、クラウド環境、バックアップ、データ流出の可能性を調査します。
3. 関連証拠の確保：ランサムノート、悪意のあるファイル、認証記録、セキュリティ機器のログ、データ転送記録、対応措置の履歴を確保します。
4. 侵入経路の排除：悪用された脆弱性を修正し、侵害された認証情報を変更します。また、攻撃者が残した追加の侵入手段も確認して遮断します。
5. 届出・通知要件の確認：関係機関への届出、個人情報流出の通知など、適用される法令上・契約上の義務を確認します。
6. システムの復元：マルウェアや攻撃者のアクセス手段など、脅威が残っていないこととバックアップの完全性を確認した後、業務の優先順位に従ってシステムを復元します。
7. 再侵入の監視：復旧後も、窃取されたアカウントの再利用、外部へ流出したデータの悪用、追加の侵入可能性を監視します。

侵害が発生した場合、復号やデータを公開しないことと引き換えに金銭を支払っても、攻撃者が正常に復号するか、窃取したデータを削除するかは確約されません。そのため、攻撃者への支払いは、単なるシステム復旧の問題としてではなく、法的要件、制裁、保険条件、情報流出リスクを含めて検討する必要があります。

FAQ