※この記事は自動翻訳されています。正確な内容につきましては原文をご参照ください。
2024年には、ランサムウェアの状況に大きな変化が起こり、暗号資産が引き続き恐喝の中心的な役割を果たしました。しかし、法執行機関の取締りの強化、国際的な連携の改善、被害者による支払拒否の増加を背景に、ランサムの支払総額は前年比（YoY）で約35%減少しました。
これを受けて、多くの攻撃者は戦術を変更し、ブランド名を変更したり、流出したり、購入したコードから新たなランサムウェアが誕生するなど、より適応力があり機敏な脅威環境を反映した動きを見せています。また、ランサムウェアの活動はより迅速になり、データの持ち出しから数時間以内に交渉が始まることも珍しくありません。攻撃者は、国家によるものから、ランサムウェア・アズ・ア・サービス（RaaS）の運用、単独の実行犯、クラウドサービスプロバイダーのSnowflakeからデータを脅迫して盗んだデータ窃盗恐喝グループなど、多岐にわたります。
本章では、これらの動向とその影響について、さまざまな事例研究（LockBit、イランのランサムウェア亜種、Akira/Fog、INC/Lynx）を交えながら、今年の傾向を例示しながら探っていきます。
ランサムウェアの活動のピークは1年の中頃
2024年には、ランサムウェア攻撃者は被害者から約8億1355万ドルの支払いを手に入れましたが、これは記録的な12億5000万ドルを記録した2023年から35%の減少であり、2022年以来初めてランサムウェアの収益が減少しました。
Mid-year crime updateで指摘したように、2024年1月から6月までのランサムウェア攻撃者による身代金は4億5,980万ドルに達し、2023年の同期間における身代金総額を約2.38%上回りました。2024年上半期には、記録的な7,500万ドルの支払いがDark Angelsに対して行われるなど、例外的に高額な支払いがいくつか発生しました。
前年同期比（HoH）の増加率は半分以下でしたが、2024年は年末までに2023年の総額を上回るだろうと予想していました。しかし幸いにも、2024年7月以降、支払いの活動は約34.9%減速しました。この減速は、2021年以降の身代金支払いの前年比減少率や、盗難資金など一部の暗号資産関連犯罪の2024年下半期の全体的な減少率と類似しています。注目すべきは、今年度の減少率は過去3年間よりも顕著であるということです。
上半期の収益で上位10位のランサムウェアを詳しく調べると、これらの首位トレンドを推進するグループについて貴重な洞察が得られます。下の図に示すように、2023年3月以降250以上のエンティティを標的にしているAkiraは、上半期のトップ10のランサムウェアの中で、2024年下半期に活動を活発化した唯一のグループです。2024年初頭に英国の国家犯罪対策庁（NCA）と米国連邦捜査局（FBI）によって活動を妨害されたLockBitは、下半期の支払いが約79%減少しました。これは、国際的な法執行機関の連携が効果的であることを示しています。2023年のトップグロース系統のひとつであったALPHV/BlackCatは、2024年1月に出口詐欺に遭い、下半期に空白が生じました。
ランサムウェアのインシデント対応企業であるCovewareのインシデント対応シニアディレクターであるLizzie Cookson氏は、以下のように述べています。「LockBitとBlackCat/ALPHVの崩壊後、市場は以前の状況には戻りませんでした。単独犯の増加は見られましたが、以前に注目されたランサムウェアがダウンしたり閉鎖された後に見られたような、市場シェアを素早く吸収するグループは見られませんでした。現在のランサムウェアのエコシステムには、中小規模の市場に焦点を当てた多くの新規参入者が参入しており、それらの市場はより控えめな身代金要求に関連しています。」
下半期のランサムウェア支払い活動の減少をさらに文脈化するために、まずランサムウェアの出来事の代理となり得るデータ漏洩サイトに注目しました。以下のチャートでは、下半期にランサムウェアの出来事が増加した一方で、オンチェーンの支払いは減少しており、より多くの被害者が標的となったものの、支払った被害者は少なかったことが示唆されています。
出典： ecrime.ch
2024年には、データ漏洩サイトがこれまでのどの年よりも多くの被害者を出す結果となりました。被害者とされる人数が増えただけでなく、Recorded Future の脅威インテリジェンスアナリストであるAllan Liska氏によると、2024年には56の新しいデータ漏洩サイトが確認されており、これはRecorded Futureが2023年に確認した数の2倍以上です。しかし、データ漏洩サイトの情報や、それがランサムウェアのエコシステムについて示唆する内容については、考慮すべきいくつかの注意点があります。
eCrime の脅威研究員である Corsin Camichel 氏は、リークの正当性に関するさらなる情報を共有しました。「私たちは、組織を主張するリークサイトの投稿を観察しましたが、より深い分析では失敗に終わりました。例えば、私たちは多国籍組織を主張する投稿を見ましたが、実際には小規模な子会社のみが影響を受けていました。2024年には、100以上の組織が2つ以上のデータリークサイトに掲載されました。MEOWというリークサイトが大きな役割を果たしており、ウェブサイトを侵害し、ウェブサーバーやデータベースから取得したデータを掲載しているようです。また、上記のランサムウェアの支払いとデータ流出サイトの被害者数との逆相関関係の理由として、脅威の主体が被害者数を誇張または虚偽報告したり、過去の被害者の主張を転載したりしている可能性も考えられます。「LockBitの運営者は、『Operation Cronos』と呼ばれる法執行措置の後も、関連性と活動を維持しているかのように装うためにゲームを仕掛けました。彼らは、以前にリストアップされた多くの主張を再び投稿し直したり、1年以上も前の攻撃を追加したりしました」と、Camichel氏は付け加えました。
また、Liska氏は、データ流出サイトに掲載された不正な被害者に関する情報も共有し、「これは特にLockBitに当てはまります。当局による法執行措置の後、アンダーグラウンドコミュニティの多くから疎外された後も関連性を維持しようと、データ流出サイトに68%もの繰り返し被害者や完全なでっち上げの被害者を掲載しています」と述べています。
LockBitの混乱とBlackCatの出口詐欺の後、LockBitとBlackCatから追われた多くのオペレーターを吸収したRansomHub RaaSの台頭という興味深い現象も見られました。Camichel氏によると、RansomHubは2024年に最も多くの被害者を出し、2024年2月に登場したばかりにもかかわらず、オンチェーンデータによると、2024年のトップ10のランサムウェアにランクインしました。
インシデント対応データによると、需要と支払額の差は拡大し続けており、2024年下半期には両者の差は53%に達しました。インシデント対応企業からの報告によると、大多数の顧客は支払いを完全に拒否していることが示唆されており、実際の差額は以下の数字が示すよりも大きいことを意味します。
この被害者の回復力についてさらに詳しく知るために、サイバーセキュリティのインシデント対応企業であるKivu Consulting社のEMEAインシデント対応ディレクターであるDaniel Saunders氏に話を聞きました。「当社のデータによると、交渉の約30%が実際に支払いに至るか、または被害者が身代金を支払うことを決定しています。一般的に、これらの決定は、特に侵害されたデータの価値に基づいて行われます」と彼は述べました。同様に、Cookson氏は、サイバー衛生と全体的な回復力の向上により、被害者は需要に抵抗し、攻撃からの回復のための複数のオプションを模索できるようになってきていると指摘しました。「最終的に、復号ツールが最善の選択肢であると判断し、最終支払額を減額するよう交渉するかもしれませんが、より多くの場合、最近のバックアップからの復元がより迅速で費用対効果の高いパスであることが分かります」と彼女は付け加えました。最終的な支払額は、当初の需要に関わらず、通常15万ドルから25万ドルの範囲でした。
下の図を見ると、2024年までのランサムウェアの支払い分布の推移が分かります。2020年には、ランサムウェアの支払いには長い尾と一つの山がありましたが、2024年には、3つのクラスのランサムウェアの攻撃者がいました。例えば、Phobos のような一部のランサムウェア攻撃者は、平均支払額が500ドルから1,000ドル未満にクラスタ化されています。 また、1万ドル前後のクラスタと、10万ドルを超える支払いのクラスタがあり、中には100万ドルに達するものもあります。 さらに、分布の上限に近いイベントも増えており、100万ドルを超える攻撃が相対的に増加していることを意味しています。
この区分は、Cooksonが観察したランサムウェア攻撃者の状況の変化を反映しており、小規模なグループが低額および中額の支払いを支配している一方で、7～8桁の異常な身代金が分布を右に押し上げ、3番目の支払額区分に近づいています。
以下の図では、総額（バブルの大きさ）、中央値（X軸）、脅迫事象のインデックス（Y軸）の観点で、どの系統が最も悪質であったかがわかります。
ランサムウェアの資金の行方
ランサムウェアの資金洗浄方法を理解することは、エクスプロイト後の脅威行為者の行動に関する重要な洞察を提供し、法執行機関がより効率的に対応し、場合によっては確立されたパターンに基づいて今後の行動を予測することを可能にします。
下の図では、ランサム資金が主に中央集権型取引所（CEX）（資金の受け渡しに使用される）、個人ウォレット（資金を保有している）、ブリッジ（資金の動きを隠そうとしている）を通じて流れていることが分かります。2024年にはミキサーの使用が大幅に減少していることがわかります。 従来、ミキシングサービスは、ランサムウェアによる四半期ごとのマネーロンダリングの流れの10%から15%を日常的に獲得していました。 ここ数年のランサムウェア犯罪者によるミキシングの減少は非常に興味深く、Chipmixer、Tornado Cash、Sinbadなどに対する制裁や法執行措置が混乱を招いたことの証左でもあります。ミキサーの代わりに、ランサムウェアの犯罪者たちがオフランディングを促進するためにクロスチェーンブリッジをますます利用していることが確認されています。一方、CEXは依然としてランサムウェアのオフランディングの主要な手段であり、2024年にはこのタイプのサービスへの依存度が平均を若干上回る（39%対2020年から2024年の期間の37%）ことが確認されています。
個人ウォレットに相当な量の資金が持たれていることは注目に値します。興味深いことに、主に金銭的な動機を持つランサムウェアのオペレーターは、これまで以上にキャッシュアウトを控えています。これは、おそらくランサムウェアの資金洗浄に関与する個人やサービスを標的とした法執行機関の予測不能かつ断固とした行動を脅威の主体が認識しているため、警戒と不確実性が高まっていることが主な原因であると考えられます。その結果、脅威の主体は、資金をどこに安全に置くことができるかについて不安を抱いています。
上の図に見られるトレンドの背後には、多数の要因が存在していると思われますが、2024年10月以降のKYC不要取引所の利用減少は、2024年9月にロシアを拠点とする取引所Cryptexが指定され、ドイツ連邦刑事局（BKA）が47件のロシア語No KYC取引所を差し押さえたことによるものかもしれません。これらの取締りのタイミングと、No KYCの取引所へのランサムウェア流入が減少した時期が重なっていることは、注目に値します。
ランサムウェアケーススタディ
Panevの逮捕とLockBitのオペレーションへの影響
2019年から2024年の間、イスラエルとロシアの二重国籍者であるRostislav Panevは、LockBitを支援する上で重要な役割を果たしていたとみられています。彼は、攻撃者が侵害されたシステムに接続された任意のプリンターから身代金要求のメモを印刷できるようにするツールなど、グループのために複数のツールを開発したとして告発されており、その報酬としてビットコイン（BTC）で約23万ドルを受け取ったと伝えられています。LockBitの管理者であるDimitry Yuryevich Khoroshevを含むロシア国籍の人物は、これらの攻撃に関与したとして、以前に制裁措置を受けていますが、ランサムウェアが世界中の犯罪者たちを巻き込んだ真のグローバルな脅威であることを認識することが重要です。Panevは現在イスラエルに身柄を拘束されており、米国への身柄引き渡しを待っています。米国では、詐欺、サイバー犯罪、電信詐欺、その他の犯罪の共謀容疑で逮捕状が出ているのです。
調査ツールのグラフでは、起訴状によると、2022年から隔週で、Khoroshevに約5,000ドル相当のBTCが送金されていることが分かります。その後、2023年7月から2024年初めにかけて、毎月約1万ドル相当のBTCがKhoroshevに送金されました。
Panevの逮捕は、LockBitの再構築能力に大きな打撃を与える可能性があり、犯罪が起きてから何年も経った後でも、ブロックチェーンの透明性と不変性という性質が、違法行為の追跡や国際的なサイバー犯罪組織の壊滅を可能にする法執行機関の力を継続的に強化していることを浮き彫りにしました。LockBitの摘発とPanevの逮捕は、2024年の大きな勝利であり、より断片化され、連携の少ないエコシステムへのシフトのきっかけとなりました。
ランサムウェアへのイランの関与
ロシア語を話すサイバー犯罪者だけでなく、過去数年の間、イラン国籍の者も、ランサムウェア攻撃の促進と実行への関与により、米国財務省外国資産管理局（OFAC）から制裁を受けています。また、以前にも、LockBitの関連組織がイランのランサムウェア亜種と連携し、イランの取引所に資金を入金しているというオンチェーンの証拠について言及しました。
幸いにも、私たちのオンチェーン分析により、イランの攻撃者がブランド名を変更したり、別のRaaSに切り替える場合でも、特定することができます。下のChainalysis Reactorのグラフで示されているように、4つの異なるランサムウェアの亜種が同じイランの脅威アクターに関連付けられており、おそらく人気のRaaSの亜種も展開していると思われます。また、複数の世界的な取引所で入金アドレスが再利用されており、一見ばらばらに見えるこれらの亜種が互いに結びついているだけでなく、攻撃者のイランとのつながりも承認されています。
多くの亜種のリブランディング・分化
Akiraの出現以来、特に企業環境における脆弱性を悪用することに成功しており、注目度の高い攻撃を数多く仕掛けています。前述の通り、Akiraは2024年下半期にその活動を活発化した唯一のトップ10ランサムウェアです。
2024年9月には、新しいランサムウェアの亜種であるFogが登場し、それ以来、Akiraと同様に重大な脆弱性を標的にする能力を示してきました。両グループは主にVPNの脆弱性を悪用することに重点を置いており、それによってネットワークへの不正アクセスが可能になり、結果としてランサムウェアを展開することができます。
AkiraとFogは、他のランサムウェアとは異なる同一のマネーロンダリング手法を使用しており、両者の関連性を裏付けるさらなる証拠となっています。例えば、次のChainalysis Reactorのグラフは、AkiraとFogが運用する複数のウォレットが、同じNo KYC取引所に資金を移していることを示しています。
AkiraとFogの関係に加え、類似したオンチェーンの挙動を調査した結果、INCとLynxランサムウェアの亜種にも関連性があることが分かりました。また、サイバーセキュリティの研究者も、この2つの亜種が共通のソースコードを使用していることを指摘しています。
これらの重複する関係は、ランサムウェアのエコシステムにおけるより広範な傾向を示しています。すなわち、法執行機関の監視強化に対応するサイバー犯罪者の戦略の継続的な進化です。
進化する脅威への対応
2024年のランサムウェアは、法執行機関の活動、被害者の回復力の向上、新たな攻撃傾向による変化を反映していました。取り締まりや、インシデント対応企業やブロックチェーン専門家との連携により、多くのランサムウェアグループが壊滅し、その収益性が低下しました。また、被害者もランサムの要求に対してより強い抵抗を示し、需要と供給のギャップが拡大しました。
ランサムウェアグループの資金の扱いは、法執行機関の圧力の下で引き続き適応を続けていますが、悪意のある行為者は、被害者からの支払いの洗浄がますます難しくなっています。2024年に達成された進歩をさらに発展させるには、継続的な協力と革新的な防御が引き続き重要となります。
本ウェブサイトには、Chainalysis, Inc. およびその関連会社（以下、総称して「Chainalysis」）の管理下にない第三者のサイトへのリンクが含まれています。当該情報へのアクセスは、Chainalysis が当該サイトまたはその運営者との提携、支持、承認、または推奨を行っていることを意味するものではなく、Chainalysis は、当該サイトで提供される製品、サービス、その他のコンテンツについて一切の責任を負いません。
本資料は情報提供のみを目的としており、法律、税務、財務、または投資に関する助言を提供するものではありません。受領者は、こうした決定を行う前に、各自のアドバイザーに相談してください。Chainalysis は、受領者が本資料を利用したことに起因する、つながり におけるいかなる決定、その他の作為または不作為についても、一切の責任を負いません。
Chainalysis 当社は、本報告書に記載された情報の正確性、完全性、適時性、適合性、または有効性を保証するものではなく、当該資料のいかなる部分における誤り、欠落、またはその他の不正確さに起因するいかなる請求についても責任を負いません。
