ランサム攻撃は「単発事件」ではなく「分業された産業」── MITRE ATT&CKで攻撃の連鎖を読む【CySec復習ログ#8】

Last updated at 2026-07-26Posted at 2026-07-26

はじめに

少し前の私は、ランサムウェア被害のニュースを見るたびに「運の悪い会社が一発当てられたんだな」と、その都度ひとつの事故として眺めて閉じていました。「うちみたいな組織はわざわざ狙われない」「アンチウイルスを入れているから、もし入られても大丈夫」と、どこかひとごとだったのです。

そのころの私には、見えていなかったことが2つありました。1つは、あの被害が突発の一発ではないということです。実際には、初期侵入を売る人・横展開する人・暗号化して交渉する人に分業された一本の流れの結果でした。もう1つは「『侵入されても情報を取られなければいい(出口だけ守る)』という考え方が、なぜもう通用しないのか」ということです。攻撃を「点」で眺めているうちに、攻める側はとっくに「分業ライン」になっていました。

この記事は、CySec(東京電機大学が提供する社会人向けのサイバーセキュリティ教育プログラム「国際化サイバーセキュリティ学特別コース」)で学んだ内容を、自分の言葉で再構成した復習ログです。本シリーズの通し番号では #8 にあたります。想定読者は、少し前の私と同じく「ランサムウェア被害を単発の事件として眺めている」エンジニア・情シスです。攻撃が分業されたバリューチェーンとして連鎖していることや、対策を入口・出口・複数レイヤーでつないで設計する発想を、まだ持てていない人を念頭に置いています。

なお、この講義は1日目「転換期を迎えたサイバーセキュリティの変化」と、2日目の机上演習(TTX: Table Top Exercise)の2部構成でしたが、この記事は1日目の「捉え方」の部分に絞ります。演習そのものは扱いません。

この記事の軸になる見方を、先に1行で書いておきます。

サイバー攻撃はもう「単発の事件」ではなく「分業化されたバリューチェーン(産業)」になった。だから守る側も、入口・出口・複数レイヤーをつないで設計するしかない。

結論を先に3点でまとめておきます(TL;DR)。本文はこれをほどいていく形です。

攻撃は単発の事件ではなく、分業化されたバリューチェーンになった。 「初期侵入 → 横展開・居座り → 暗号化と交渉」の各工程が、RaaS(Ransomware as a Service)という形で別々の専門家に分業されています。だから1件の被害は、いくつもの工程が連鎖した結果です。
時代は「ルール固め → 高度な技術の攻防 → 盲点(ポテンヒット)が生まれる」へ進んだ。 システムが肥大化・複雑化し、組織と人が追随できず、基本が置き去りになるところに穴が空きます。入口も出口も多すぎて、もはや「どちらか片方」では守れません。
守りは「脅威を知る」「脆弱性を作らない」を、現場と経営のレイヤーでつないで回す。 現場は平時PDCA・有事OODA、経営はERM(EDMサイクル)。点ではなく連鎖で設計するのが、この20年の答えです。

読み終えたとき、ランサムウェアのニュースを「運の悪い1社の事故」ではなく「攻撃の連鎖のどこが破られたのか」という目で読み返せるようになっていれば成功です。なお私自身まだ学習中なので、間違いがあれば指摘していただけると助かります。

20年で変わったのは「攻撃」ではなく「攻撃のされ方」

講義は「サイバーセキュリティの捉え方は、この20年でどう変わったか」という問いから始まりました。まずはその縦軸(時代の変化)を押さえます。

2004 → 2014 → 2024:ルール固めから「盲点が生まれる時代」へ

講義では、おおよそ10年刻みで時代の空気が整理されていました。

2004年ごろは、とにかくルールを固める時代でした。セキュリティポリシーを整備することが対策の主役だったわけです。
2014年ごろになると、高度な技術の攻防が前面に出てきます。たとえば、Sony Pictures Entertainment が大規模な情報流出に見舞われた事案(2014年)や、Bash の脆弱性「Shellshock」(CVE-2014-6271、2014年)が大きく報じられました。これらは別々の出来事で互いに関係はありませんが、「ルールをしっかり作っていても破られる」という空気を象徴しています。
2024年ごろ、講義が「ポテンヒット」と呼んだのが、誰の守備範囲でもない場所にポトリと落ちる盲点です。システムが肥大化・複雑化し、その速さに組織と人が追随できず、基本的な対策が置き去りになる。セキュリティの専門家がきちんとポリシーを作っても、誰も見ていない隙間に穴が空く、という時代です。

ここで大事なのは、変わったのは「攻撃そのもの」というより「攻撃のされ方」と「守る側が追いつけているか」だ、という点です。技術が高度になったというより、守るべき面が広がりすぎて、基本が抜け落ちやすくなったのです。

「入口だけ」「出口だけ」では守れない

もう1つ、講義で強調されたのが「入口対策と出口対策」の話です。

昔は、とにかく入口を固めることが対策の中心でした。やがて「入口は完全には守りきれない。だから侵入されても情報を外に持ち出させない出口対策も大事だ」という考え方が広まります。「ウイルスに感染しても、情報を取られなければ問題ない」という発想です。

ところが、この「出口さえ守ればいい」という考え方は、今やほぼ通用しなくなっています。理由はシンプルで、入口も出口も多すぎるからです。クラウド、SaaS、VPN、リモートワーク端末、API と、ネットにつながる面はどんどん増えました。入口も出口も無数にある以上、「片方だけ守る」では穴が残ります。だから今は、入口も出口も前提にした多層防御へと移っています。

攻撃は「バリューチェーン」になった ── RaaSという分業

時代の縦軸を押さえたところで、横軸、つまり「攻撃がどういう構造になったか」に移ります。ここがこの記事のいちばんの肝です。

講義で繰り返されたのは、情報がお金になる流れ(犯罪のバリューチェーン)ができあがったという指摘でした。昔は、システムに穴があっても放置でよかった。たいしてお金にならなかったからです。しかし今は、その穴がお金になります。だから穴は確実に突かれます。

攻撃の3段階を MITRE ATT&CK の言葉で読む

攻撃の流れは、大きく3つの段階に分かれます。これを、攻撃者の戦術・技法を体系化したフレームワーク MITRE ATT&CK の言葉で読み解くと、解像度が上がります。

3段階を、それぞれ ATT&CK の戦術(Tactic)・技法(Technique)に対応づけると次のようになります。

段階	やること	ATT&CK の戦術(Tactic)	代表的な技法(Technique)
① 初期侵入・認証情報窃取	ネットワークに最初の足がかりを作る	Initial Access(TA0001)	T1190 Exploit Public-Facing Application(公開資産の脆弱性悪用)/ T1078 Valid Accounts(正規アカウントの悪用)
② 水平展開・居座り	内部を横移動し、長く居座る	Lateral Movement(TA0008)/ Persistence(TA0003)	T1021 Remote Services(RDP・SSH 等での横移動)/ T1098.001 Additional Cloud Credentials(永続化のための鍵の追加)
③ ペイロード・暴露	暗号化し、暴露をちらつかせて交渉する	(Impact 等)	ランサムウェアによる暗号化、リークサイトでの暴露型恐喝

①で窃取した正規アカウント(T1078 Valid Accounts)は、②③でも繰り返し再利用されます。なお ATT&CK 上、T1078 系(T1078.004 Cloud Accounts を含む)は Initial Access・Persistence・Privilege Escalation・Defense Evasion に分類され、Lateral Movement タクティックには分類されていません。横移動そのものを表す技法は、上の表に挙げた T1021 Remote Services のほうです。

講義メモでは「Additional Cloud Credential」を初期侵入(入口)側の例として挙げていました。ただし MITRE ATT&CK 上では、T1098.001 Additional Cloud Credentials は Persistence(永続化)/ Privilege Escalation(権限昇格) に分類される技法です。攻撃者が奪ったクラウドアカウントに「自分の鍵」を追加して、元の認証情報がローテーションされても居座り続けるための手口にあたります。本記事では ATT&CK の分類に合わせ、これを②の段階(居座り)側に置いています。

サプライチェーン経由の侵入(T1195.002 Compromise Software Supply Chain、これも Initial Access)など、入口の手口はほかにもたくさんあります。ここで覚えてほしいのは個々の ID の暗記ではなく、バラバラに見える手口が「①入口 → ②居座り → ③暴露」という1本の流れの部品として並ぶということです。ニュースで報じられる「暗号化された」は、たいてい③の最後の場面だけです。その手前に①②があったことを思い出せると、ニュースの読み方が変わります。

なぜ「分業」になると怖いのか ── RaaS

この流れが恐ろしいのは、各工程が分業されているからです。

近年のランサムウェア攻撃は、RaaS(Ransomware as a Service)というビジネスモデルで動いています。ランサムウェア本体を開発・提供する側と、それを使って実際に企業へ侵入する実行犯(アフィリエイト)が分かれていて、初期侵入の足がかりだけを売買する仲介役(イニシャルアクセスブローカー)まで存在します。つまり、攻撃は1人の天才ハッカーが端から端までやり遂げるものではなく、役割ごとに専門化された産業になっているのです。

分業されると何が起きるか。それぞれの工程の専門家が、自分の得意分野だけを磨きます。初期侵入を売る人は侵入だけを、暗号化と交渉をする人はそこだけを極めます。結果として攻撃全体の効率と再現性が上がり、「うちみたいな組織は狙われない」という前提が崩れます。狙って攻めているというより、お金になる穴を機械的に拾っているからです。

講義で「報道は単発で報じないでほしい。この流れがあることを周知してほしい」と語られたのは、まさにここでした。現場のリスク感度が、この「産業化」に追いついていない、という危機感です。

リスクの基本式:脅威 × 脆弱性 × 資産価値

ここで、対策を考えるための土台になる式を1つ置いておきます。リスクは、おおまかに次のように捉えられます。

リスク = 脅威 × 脆弱性 × 資産価値

脅威: 攻撃しようとする力。バリューチェーンが産業化したことで、この値は確実に上がりました。
脆弱性: 突かれる穴。パッチ未適用、設定ミス、漏れた認証情報などです。
資産価値: 守る対象がどれだけ重要か、です。重要な資産ほどリスクは大きくなります。

掛け算なので、どれか1つでもゼロに近づけられればリスクは下がります。脅威(攻撃側の動機)は自分ではコントロールしにくい一方、脆弱性は自分の努力で減らせます。次章の事例は、いずれも「脆弱性をゼロに近づけられたはずなのに、基本が置き去りで穴が残った」という話です。

3つの事例に共通する「盲点(ポテンヒット)」

講義では3つの事例が紹介されました。どれも「高度なゼロデイに一発でやられた」というより「基本が置き去りになった盲点を突かれた」点が共通しています。3つを同じ枠(内的要因・外的要因・盲点が生まれた背景・教訓)で並べてみます。

事例	内的要因(被害側)	外的要因(攻撃側)	盲点が生まれた背景	教訓
① VPN装置	外部公開資産が侵入の糸口に	認証バイパス+コマンドインジェクションの連鎖をゼロデイで悪用	リモートワーク・在宅勤務の普及で公開面が増えた	誰が VPN を守るのか、基本的な役割分担
② 予算制約のある組織(半田病院)	ランサム感染で院内システム停止、パッチ未適用	VPNの既知脆弱性経由で侵入	サポート切れ機器を「あえて」使う業種は多い	全体設計と事業継続、ベンダーとのコミュニケーション
③ カジュアル管理者	クラウドの設定ミスで情報が外部参照可能に	公開された情報を拾って二次流出させる存在	自由気ままなシステム構成の広がり、基本リテラシー不足	基本的な設計と基本的なリテラシー

3つを横に読むと、内的要因や攻撃の入口はバラバラでも、「盲点が生まれた背景」の列だけがよく似ています。どれも「基本が置き去りになる構造」に行き着くのです。

事例1:狙われ続ける VPN 装置

VPN 装置は、外からネットワークに入るための入口です。リモートワークが普及して公開面が増えた結果、ここが侵入の糸口として狙われ続けています。

象徴的なのが、認証バイパスとコマンドインジェクションを組み合わせたゼロデイです。2024年1月に公表された Ivanti Connect Secure(旧 Pulse Connect Secure)の脆弱性がまさにこの形でした。CVE-2023-46805(認証バイパス)と CVE-2024-21887(コマンドインジェクション)を連鎖させると、認証を回避したうえで任意のコマンドを実行できてしまう、というものです。CISA はこれらの実環境での悪用を確認し、注意喚起を出しています(CISA AA24-060b)。

VPN が狙われるのは今に始まった話ではありません。Fortinet FortiOS SSL VPN の CVE-2018-13379(パストラバーサルによる情報漏えい)は2019年から継続的に悪用されてきました。「VPN がずっと危ない」というのは、特定のメーカーが悪いという話ではなく、外部に公開された装置は常に狙われるという構造の問題です。

この事例の盲点は、技術というより役割分担にあります。VPN 装置のパッチを「誰が・いつ当てるのか」が曖昧なまま放置されると、既知の脆弱性がいつまでも残ってしまいます。

事例2:予算の限られた組織への侵入(半田病院)

2つめは、徳島県つるぎ町立半田病院のランサムウェア被害です。2021年(令和3年)10月31日にランサムウェアへ感染し、電子カルテをはじめとする院内システムが使えなくなりました(つるぎ町立半田病院お知らせ)。

特筆すべきは、この病院が事後に「コンピュータウイルス感染事案有識者会議調査報告書」(2022年6月7日公開)を一般に公開したことです。被害組織が自ら詳細な報告書を出した例は貴重で、多くの学びがあります。報告書によれば、侵入の起点は VPN 装置の既知脆弱性(CVE-2018-13379、事例1で触れた Fortinet の脆弱性)であり、その後は窃取した認証情報を使って内部を水平展開した、と分析されています。まさに前章の「①入口 → ②水平展開」をなぞる流れです。

ランサムウェアの種類が「LockBit」だったという名称や、復旧をめぐる金額については報道で広く伝えられていますが、これらは報告書本文で確認できる範囲とは区別して扱うべきです。本記事では、報告書が分析した「VPN の既知脆弱性が起点」「認証情報による水平展開」という構造に絞って言及します。

ここでの盲点は、ランサムウェアそのものよりもその手前にあります。話題になるのは暗号化の場面(③)ですが、止められたのは侵入口(①)のほうでした。サポート切れの機器を「あえて」使い続ける業種は少なくありません。さらに、ベンダーと事業者側のコミュニケーション不足も指摘されています。だからこそ、全体設計と事業継続(BCP)の観点で、基本的な運用設計と運用事項の洗い出しが大切になります。

なお、特定の病院やベンダーを責めるための事例ではありません。予算や人員に制約がある組織でも起こりうる、構造的な問題として読むべきだと思います。報告書を公開してくれたからこそ、私たちはこの構造を学べます。

事例3:カジュアル管理者の設定ミス

3つめは、クラウドの設定ミスです。本来は内部からしか見えないはずの情報が、設定ミスによって外部から参照できる状態になっていた、というものです。攻撃というより、こちらから扉を開けてしまったケースに近いものです。

外的要因としては、そうして公開された情報を拾い、二次流出させる存在がいます。一度外に出た情報は、回収できません。

盲点が生まれた背景は、基本的なリテラシーの不足と、自由気ままなシステム構成の広がりです。誰でもクラウド上にシステムを立てられる時代になった分、「公開設定になっていないか」という基本のチェックが抜け落ちやすくなりました。教訓はシンプルで、基本的な設計と基本的なリテラシーに尽きます。

3事例の共通点:基本が置き去りになる、という同じ構図

3つを並べると、同じ構図が浮かびます。どれも高度なゼロデイ単体にやられたのではなく、パッチ・設計・リテラシー・コミュニケーションといった「基本」が置き去りになった盲点を突かれているのです。

これは冒頭の「ポテンヒット」そのものです。守備範囲のはざまに落ちた基本が、攻撃のバリューチェーンに拾われている。つまり守る側がやるべきは、派手な最新ツールの導入よりも先に、基本の穴(脆弱性)を地道にふさぐことだ、と分かります。

盲点をふさぐ2つの柱と、レイヤーごとの動き方

では、どうふさぐのか。講義は2つの柱と、レイヤーごとの動き方を示していました。

脅威を知る/脆弱性を作らない

対策の柱は2つです。

脅威を知る: 自分たちの組織の何が狙われるのかを把握する。「国単位のサイバー諜報やテロは自分には関係ない」と切り分け、自組織にとって現実的な脅威に集中する、という割り切りも大切です。
脆弱性を作らない: ここが現場で効く柱です。具体的には、ASM(Attack Surface Management、アタックサーフェスマネジメント)で「外からどこが見えているか」を把握し、パッチマネジメントで既知の穴を計画的にふさぎます。

事例1・2の VPN は、まさにこの2つ目の柱が機能していれば防げた可能性が高い穴でした。リスクの式で言えば、自分でゼロに近づけられる「脆弱性」を地道に削る、ということです。

現場は平時PDCA・有事OODA、経営はERM(EDM)

対策は、現場と経営という別々のレイヤーで、別々のリズムで回ります。

現場(マネジメントレイヤー): 平時は PDCA(Plan-Do-Check-Act)をしっかり回して、運用を継続的に改善します。一方、インシデント発生時のような有事には、より速い意思決定ループである OODA が向きます。OODA は Observe(観測)→ Orient(情勢判断)→ Decide(意思決定)→ Act(対処)の頭文字で、刻々と変わる状況に素早く適応するためのループです。
経営(ガバナンスレイヤー): 全社のリスクを束ねる ERM(Enterprise Risk Management、エンタープライズリスクマネジメント)の世界です。ここで使われる代表的なモデルが、IT ガバナンスの国際規格 ISO/IEC 38500 が示す EDM サイクル、すなわち Evaluate(評価)・Direct(指示)・Monitor(モニタリング)です。経営層が IT の利用を評価し、方針を示し、その結果を監視する、という3つの営みを回し続けます。

ポイントは、これらが別々に動いているのではなく、つながっていることです。経営が EDM で方針を示し、現場が PDCA/OODA で実行し、その結果が経営に戻る。冒頭の軸「入口・出口・複数レイヤーをつないで設計する」とは、まさにこの縦のつながりのことです。

ここで講義のメッセージが効いてきます。「守るセキュリティから、つなげるセキュリティへ」。そして「デジタル社会 × セキュリティ = 安心安全デジタル社会」。守ることを目的化するのではなく、どうやって安心・安全にデジタルをつなげ、活用していくかをセキュリティとともに考える、という発想の転換です。

自分ごとセキュリティ ── 組織の盲点は、個人の盲点と地続き

講義はもう1つ、別の切り口を示していました。サイバーセキュリティには「自分ごとサイバーセキュリティ(リテラシー)」と「サイバーセキュリティ技術論」という2つの面がある、という整理です。ここまでは主に技術論の側でしたが、最後に「自分ごと」の側に短く触れておきます。組織で起きた「基本が置き去りになる盲点」は、個人にも地続きだからです。

自分では気づけない盲点:画像のEXIF

身近な例が、画像に埋め込まれる EXIF 情報です。スマートフォンなどで撮った写真には、撮影日時や、設定によっては撮影場所の位置情報(GPS座標)が EXIF として埋め込まれることがあります。それに気づかず画像をネットに投稿すると、写真そのものには写っていないはずの「どこで撮ったか」が漏れてしまう可能性があります。

これは事例3のクラウド設定ミスと同じ構図です。自分では「公開していないつもり」の情報が、知らないうちに外から読める状態になっているわけです。組織の盲点も個人の盲点も、根っこは「気づかないうちに開いている扉」という点で共通しています。投稿前に EXIF を削除する、という小さな習慣が、自分ごとセキュリティの第一歩になります。

「特別意識しなくても効くセキュリティ」へ

受講生の議論では、Tor のような匿名化技術とログ(追跡可能性)の両立という、答えの出ない論点も出ました。ここでは深入りせず、軸に近い1点だけ拾います。SRE・プラットフォームエンジニア・セキュリティエンジニアの境界が曖昧になり、利用者が特別に意識しなくても結果として安全なシステムを提供する役割が重要になっている、という指摘です。盲点を個人の注意力に頼らず、仕組みとして塞ぐ。これは前章の「つなげるセキュリティ」と地続きです。

まとめ

この記事では、CySec 第7回「転換期を迎えたサイバーセキュリティの変化」の内容を、「サイバー攻撃はもう単発の事件ではなく、分業化されたバリューチェーンになった。だから守る側も、入口・出口・複数レイヤーをつないで設計するしかない」という1本の軸で再構成しました。タイトルの「単発事件ではなく分業された産業」とは、この攻撃側の構造変化のことです。

この記事の幹は3つです。これだけ持ち帰れば十分です。

攻撃は分業化されたバリューチェーンになった。 「①初期侵入 → ②水平展開・居座り → ③暗号化・暴露」が、RaaS という形で別々の専門家に分業されています。MITRE ATT&CK の戦術(Initial Access / Lateral Movement / Persistence)に対応づけると、バラバラに見える手口が1本の流れの部品として読めます。ニュースの「暗号化された」は、たいてい③の場面だけです。
盲点は「基本の置き去り」から生まれる。 VPN・半田病院・クラウド設定ミスの3事例は、いずれも高度なゼロデイ単体ではなく、パッチ・設計・リテラシー・コミュニケーションといった基本が抜けた隙(ポテンヒット)を突かれていました。掛け算のリスク式で言えば、自分でゼロに近づけられる「脆弱性」を地道に削るのが王道です。
守りはレイヤーをつないで回す。 「脅威を知る」「脆弱性を作らない(ASM・パッチマネジメント)」を、現場(平時PDCA・有事OODA)と経営(ERM の EDM サイクル)でつなぎます。「守るセキュリティから、つなげるセキュリティへ」という講義のメッセージは、この縦のつながりを指しています。

そして、組織の盲点は EXIF のように個人の盲点とも地続きです。だからこそ「特別に意識しなくても効く=つなげるセキュリティ」という発想が、個人にも組織にも効いてきます。

最後に、手を動かしてほしいことを1つ。自組織の外部公開資産(VPN やクラウドの公開設定)を1つ棚卸しして、「誰が・いつパッチを当てるのか」という役割を確認してみてください。 事例1・2が示すとおり、ここが曖昧なまま放置された既知の穴こそ、攻撃のバリューチェーンに拾われる盲点です。少し前の私は、被害ニュースを「運の悪い1社の事故」として閉じていましたが、今は「この連鎖のどこが破られたのか」「うちの同じ場所は塞がっているか」と読み替えられるようになりました。

ここまで読んでいただき、ありがとうございました。冒頭にも書いたとおり、私自身まだ学習中の身です。間違いや、より正確な捉え方があれば、指摘していただけると助かります。

参考資料

本記事で挙げた技法ID・CVE・年号・事例は、次の一次情報・公的情報で確認できます。記事中の内容は学習・執筆時点(2026年6月現在)のもので、最新は各サイトで確認してください。