ランサムウェアとは何か：人手介在型攻撃の仕組みと対策

ランサムウェアは実務上、ファイルやデバイスへのアクセスを人質に取り、解除キーと引き換えに身代金を要求する攻撃を指します。攻撃者は暗号化後に身代金を要求するが、支払っても解除キーが渡されないケースや永続的にアクセスが停止されるリスクがあるとMicrosoftは指摘しています。

人手介在型（human-operated）ランサムウェア攻撃は、初期侵入、持続化と検知回避、横移動、認証情報取得、データ窃取、影響という段階を踏むのが一般的です。攻撃者は標的環境の弱点を偵察して足場を固め、奪取した資格情報で権限昇格や重要資産への到達を図ります。こうした攻撃は単一端末ではなく組織全体を狙い、事業継続に壊滅的な影響を及ぼすおそれがあるとされています。

Microsoftは、Defender XDRやMicrosoft Sentinel、Security Copilotなどの製品を挙げ、機械学習や自動化で攻撃の早期検出・阻止、インシデント対応の支援を行うと説明しています。進行中の攻撃に対してはMicrosoft Incident ResponseがDefender for IdentityやDefender for Endpointを活用して侵害範囲の特定、脅威アクターの排除、影響を受けたアカウントや資産の保護を支援する手順を示しています。

また、Qakbot、Ryuk、Trickbotなどのマルウェアや、LockBit、Black Basta、Storm-1674といった脅威アクターが挙げられ、2024年後半から2025年にかけて観測されたランサムウェアの変種（Akira、FOG、Qilin、Lynx、RansomHub、BlackBasta、SafePay、Hellcatなど）についても言及されています。自動化された「コモディティ」型攻撃に対してはDefender for Office 365やDefender for Endpointなどでメールや端末の保護を行うことが推奨されています。

Microsoftは、組織側の初動対応として発見時刻やログの確認、影響を受けた業務アプリケーションやバックアップの可用性の点検、脅威アクターの完全排除（compromise recovery）といった手順を提示しており、Azure向けの特有の防御策についても別途ドキュメントを用意しています。