ゼロデイ脆弱性

Security NEWS TOPに戻る
バックナンバー TOPに戻る

【2025年版】ランサムウェアギャング大図鑑：脅威マップと攻撃の特徴第1回：ランサムウェアの進化と2025年の市場構造アイキャッチ画像

2025年、ランサムウェアは依然として世界中で深刻な脅威となっています。二重恐喝型から、データ漏洩やDDoSを組み合わせた多重恐喝型へと進化し、被害は企業規模を問わず拡大中です。本シリーズでは、最新のランサムウェア勢力図を全3回で徹底分析します。第1回では、RaaS（Ransomware as a Service）の登場によって急成長したランサムウェア市場の構造と、勢力図がどのように変化してきたのかを詳しく解説します。

ランサムウェア攻撃の現状と被害拡大

2025年、ランサムウェアは依然として世界で最も深刻なサイバー脅威の一つとして位置づけられています。近年は暗号化による業務停止だけでなく、窃取したデータを公開・販売する「二重恐喝」や、DDoS攻撃を加えた「多重恐喝」など、攻撃の多様化が進んでいます。BlackFogの分析によると、2025年初頭のランサムウェア攻撃件数は前年同月比で20〜35％増加しており、増加傾向が続いています*1。特に製造、医療、自治体など、社会インフラに関わる業種への攻撃が目立ちます。日本国内でも被害は増加傾向にあり、企業規模を問わず中堅・中小企業への侵入事例が相次いでいます。攻撃者は直接的な金銭目的だけでなく、他国のサプライチェーンを狙った地政学的背景を持つケースもあり、もはや”無関係な企業は存在しない”状況です。

RaaSモデルがもたらした犯罪の分業化

ランサムウェアがここまで拡大した最大の要因が、「RaaS」と呼ばれるサービス型犯罪モデルの普及です。RaaSは、開発者が作成したランサムウェアを他の攻撃者（アフィリエイト）に貸し出し、得た身代金を分配する仕組みです。技術力を持たない犯罪者でも容易に攻撃を実行できるようになったことで、ランサムウェア攻撃の“裾野”が急拡大しました。

「LockBit」、「Cl0p」、「BlackCat」といった代表的なランサムウェアギャングは、このRaaSモデルを最も普及させたグループです。各アフィリエイトは攻撃対象の選定や侵入手口を独自に開発し、成功報酬を得るビジネス形態を採用しています。まるで企業のような組織構造を持ち、専用のリークサイト運営、広報担当、カスタマーサポートまで存在します。攻撃が商業化・効率化されることで、ランサムウェアはもはや“闇市場の産業”といえる規模に達しています。

勢力図の変化：旧勢力の衰退と新興ギャングの台頭

2024年後半から2025年にかけて、ランサムウェアの勢力図は大きく変化しました。かつて世界を席巻した「Conti」や「Hive」、「Revil」、「BlackCat（ALPHV）」といった主要なランサムウェアギャングは、国際捜査機関の摘発や内部対立により次々と崩壊しました。しかし、その空白を埋めるように新たな勢力が台頭しています。特に注目されるのが、「Qilin（旧Agenda）」や「Lynx」、「Fog」などの新興グループです。これらは高度な暗号化技術と迅速な展開能力を持ち、企業や自治体を標的にデータ漏洩を伴う攻撃を展開しています。Qilinは日本国内の製造業や医療機関を狙う傾向が強く、すでに複数の被害が確認されています。また、LockBitも摘発を受けながらも「LockBit 5.0」として再始動するなど、ブランドの使い捨て・再構築が常態化しています。2025年のランサムウェア市場は、以前から存在するギャングの復活と新興勢力の台頭が交錯する“過渡期”にあると言えます。

ランサムウェア市場を支える犯罪エコシステム

現在のランサムウェア攻撃は、単独の攻撃者だけでは成り立ちません。その背景には「地下経済圏」とも呼ばれる広大な犯罪エコシステムが存在します。ここでは、侵入経路を提供するアクセスブローカー、情報窃取ツールの開発者、暗号通貨を用いたマネーロンダリング業者など、多様な役割が分業的に連携しています。たとえばアクセスブローカーは、企業ネットワークへの侵入権をオークション形式で販売し、ランサムウェアギャングがそれを購入して攻撃を開始します。また、盗み出したデータを販売する「データリークサイト」は、恐喝手段としても活用され、被害企業名を公開して支払いを促します。

さらに近年は、SNSやダークウェブ掲示板上での広報・採用活動も活発化しており、RaaS提供者が「報酬50％保証」「高成功率ツール」といった広告を出すなど、まるでスタートアップ市場のような競争が繰り広げられています。こうした分業と再利用の仕組みにより、ランサムウェア市場は摘発を受けてもすぐに再生する自己修復的な構造を持ち、世界的な脅威として根強く残り続けています。

まとめ：進化する脅威にどう向き合うか

ランサムウェアはもはや“単なるマルウェア”ではなく、「経済的インセンティブを軸に発展する犯罪ビジネスモデル」へと進化しました。RaaSによる分業体制と匿名性の高い暗号資産の普及が、攻撃の拡大を後押ししています。2025年の時点で確認されている主要なランサムウェアギャングの多くは、過去に摘発・崩壊を経験しながらも、ブランドを変えて再登場しており、摘発による根絶は困難です。今後はAIを利用した自動化攻撃、ゼロデイ脆弱性の悪用、地域特化型の標的選定など、さらに巧妙な戦術が主流になると予想されます。企業に求められるのは、「攻撃を防ぐ」だけでなく、「被害を最小化し、迅速に復旧できる体制」を整えることです。第2回では、2025年時点で活動が確認されている主要なランサムウェアギャングの特徴と手口を詳しく分析し、勢力ごとの違いと警戒すべき動向を解説します。

―第2回へ続く―

【参考情報】

サイバーインシデント緊急対応

セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ウェビナー開催のお知らせ

2025年12月3日（水）14:00～15:00
「【最新事例解説】Qilin攻撃に学ぶ！組織を守る“サイバーレジリエンス強化のポイント”喫緊のランサムウェア被害事例からひも解く ― 被害を最小化するための“備えと対応力”とは？」

2025年12月10日（水）14:00～15:00
「【最短7営業日で報告書納品】短納期で実現するWeb脆弱性診断の新提案-SQAT^® with Swift Delivery紹介セミナー」

最新情報はこちら

Security NEWS TOPに戻る
バックナンバー TOPに戻る

ゼロデイ攻撃とは？Apple・Google・Ciscoを襲った脆弱性の実態と対策アイキャッチ画像

2025年9月、世界各地で「ゼロデイ脆弱性」を悪用したサイバー被害が相次ぎました。ゼロデイ攻撃とは、まだ修正プログラム（パッチ）が公開されていない未知の脆弱性を突く攻撃であり、検知や防御が極めて困難です。今、ゼロデイ攻撃は誰にとっても避けて通れないサイバーリスクとなっているのです。本記事では、最新のゼロデイ攻撃の事例、被害の傾向、そして今すぐ取るべき対策について解説します。ゼロデイ脆弱性の脅威を正しく理解し、被害を防ぐための第一歩にしましょう。

世界各地でゼロデイ脆弱性が続発

2025年9月、世界中でゼロデイ脆弱性をめぐる一連のサイバー攻撃が相次いで報告されました。ゼロデイ脆弱性とは、ソフトウェアやOSに潜む修正前のバグ、つまり開発元ですら把握していない段階で第三者によって悪用される脆弱性のことであり、攻撃者は一般公開前・パッチ適用前にこれを利用して侵入や情報搾取、システム乗っ取りを仕掛けます。2025年9月には、AppleのiPhoneやiPad、GoogleのAndroid端末、CiscoルーターやVPN装置、SAPやAdobe、SonicWallなど多岐にわたるプロダクトが標的となりました。

Apple・Googleのゼロデイ脆弱性が顕在化

Apple関連では、「CVE-2025-43300」「CVE-2025-55177」という画像解析に関するゼロクリック型脆弱性が公表され、iPhoneやiPadが世界的な攻撃対象になりました。Apple社は直ちに150ヶ国以上のユーザーへ警告通知を送り、Lockdown Modeの利用を強く推奨しました。実際に攻撃が検知された端末も多く、海外では医療機関や金融サービスを狙った“標的型ゼロデイ攻撃”の発生も確認されています。

Android端末でも深刻な脆弱性（CVE-2025-38352など）が確認されており、カーネルやランタイム部分の権限誤取得によって、スマートフォンが遠隔操作される事例が増加しました。Chromeブラウザでもゼロデイ脆弱性が発見され、公式パッチのリリースを急いだ流れがあります。これらの技術情報は国際的なセキュリティ速報サイトや公式ベンダーのアドバイザリが一次情報となっており、日々関係者向けに更新されています。

ビジネスシステムも標的に

さらに、Windowsのファイル圧縮ソフトWinRARでは「CVE-2025-8088」の脆弱性が報告され、悪意を持ったファイル一つでシステム内部に侵入されるリスクが浮上しました。Citrix NetScalerにおいてはリモートコード実行（RCE）を許す「CVE-2025-7775」、企業内パスワード管理ツールPasswordstateでもゼロデイ攻撃による被害が発生しています。こうしたビジネス系システムでは、管理画面だけで全システムが乗っ取られる危険性が顕在化しており、複数企業が業務停止・復旧対応に追われています。

ゼロデイ攻撃の基本的な流れ

ゼロデイ攻撃の基本的な流れは、メール・Web・ファイルアップロードなどを入り口として、権限昇格の脆弱性を突き、最終的に情報搾取や遠隔操作へと至るという流れです。特に企業ユーザーはパッチ適用・監視強化・多層防御など、従来型のセキュリティ運用だけでは防ぎきれない時代に直面しています。一般のエンドユーザーも自らが使うスマートフォンやタブレットがゼロデイ脆弱性を抱えている可能性を念頭に、定期的なアップデートや公式情報の取得を習慣化する必要があります。