2024年、ランサムウェア の情勢は大きな変化を見せ、暗号資産は引き続き恐喝において中心的な役割を果たしました。しかし、法執行機関 による取り締まりの強化、国際的な連携の向上、および被害者による支払いを拒否する傾向の高まりを背景に、身代金支払いの総額は前年比で約35％減少しました（前年比 ）。
これに対し、多くの攻撃者は戦術を転換し、ブランド名を変更したコード、流出したコード、あるいは購入したコードから新たなランサムウェア の亜種が出現しており、脅威環境がより適応力と機動性を増していることを反映しています。また、ランサムウェア の活動も迅速化しており、データの持ち出しから数時間以内に交渉が始まることが多くなっています。 攻撃者の範囲は、国家主体のアクターから、ランサムウェア-as-a-service（RaaS）組織、単独の攻撃者、さらにはクラウドサービスプロバイダーのSnowflakeからデータを強要・窃取したようなデータ窃取・恐喝グループにまで及んでいる。
この章では、こうした動向とその影響について考察します。具体的には、今年のトレンドを象徴する、事案 に関するさまざまな研究（LockBit ）、イランのランサムウェア 株、Akira/Fog、INC/Lynxなどを取り上げます。
ランサムウェア 年の半ばに活動が変化する
2024年、ランサムウェア の攻撃者たちは被害者から約8億1355万ドルの支払いを受け取った。これは、過去最高額を記録した2023年の12億5000万ドルから35％減少したものであり、ランサムウェア の収益が減少したのは2022年以来初めてのことである。
年半ばの犯罪動向レポートで指摘した通り、2024年1月から6月にかけて「ランサムウェア 」の攻撃者によって強要された身代金の総額は4億5,980万ドルに達し、2023年の同期間に比べて約2.38％増加しました。また、2024年上半期には、「Dark Angels」への過去最高額となる7,500万ドルの支払いをはじめ、極めて高額な支払いがいくつか見られました。
前四半期比（HoH）での伸びは小幅にとどまったものの、2024年は年末までに2023年の総額を上回ると予想していました。 しかし幸いなことに、2024年7月以降、支払いの動きは約34.9％鈍化した。この鈍化は、2021年以降の身代金支払いの前月比減少や、2024年下半期における暗号資産 関連犯罪の一部（例えば 盗難資金。特に、今年の減少幅は過去3年間よりも顕著である。
H1の収益 に基づいて選定されたランサムウェア のトップ10亜種を詳しく分析すると、こうしたHoHの動向を牽引しているグループに関する貴重な知見が得られます。以下のグラフが示すように、2023年3月以降250以上の組織を標的としてきた「Akira」は、H1のトップ10にランクインしたランサムウェア 亜種の中で、2024年下半期に活動を活発化させた唯一の亜種です。 LockBit2024年初頭に英国国家犯罪対策庁（NCA）および米国連邦捜査局（FBI）によって摘発されたこのグループは、下半期の支払額が約79％減少しており、国際的な法執行機関 連携の有効性を示しています。2023年に収益トップクラスに名を連ねていたALPHV/BlackCatは、2024年1月にエグジット詐欺を行い、下半期にはその空白が生じました。
ランサムウェア （インシデント対応 ）傘下のCovewareで、インシデント対応 担当シニアディレクターを務めるリジー・クックソン氏は次のように語っています。「LockBit やBlackCat/ALPHVの崩壊後、市場はかつての現状に戻ることはありませんでした。単独犯の増加は見られましたが、過去の大規模な摘発や閉鎖後に見られたような、特定のグループが彼らの市場シェアを急速に吸収する動きは見られませんでした。 現在のランサムウェア エコシステムには多くの新規参入者が流入しており、彼らは中小規模の市場に注力する傾向があり、その結果、身代金要求額も比較的控えめなものとなっています。」
H2におけるランサムウェア の支払い件数の減少要因をさらに詳しく把握するため、まず、ランサムウェア の事象の代用指標となり得るデータ漏洩サイトを調査しました。以下のグラフから、ランサムウェア の事象数はH2にかけて増加したものの、オンチェーン の支払い件数は減少したことがわかります。これは、標的となった被害者は増えたものの、実際に支払った被害者は減少したことを示唆しています。
出典： ecrime.ch
2024年には、データ漏洩サイトにおいて、過去どの年よりも多くの被害者が掲載された。被害者とされる人数が増加しただけでなく、Recorded Futureの脅威インテリジェンスアナリストであるアラン・リスカ氏によると、2024年には56の新たなデータ漏洩サイトが登場した。これは、Recorded Futureが2023年に特定した数の2倍以上に相当する。ただし、データ漏洩サイトの情報や、それがランサムウェア のエコシステムについて示唆する点については、いくつかの注意点がある。
eCrimeの脅威研究者であるコルシン・カミシェル氏は、情報漏洩の信憑性についてさらに詳しい情報を共有した。 「組織名を名指しするリークサイトの投稿が見受けられますが、詳細な分析を行うと事実とは異なることが判明しています。例えば、多国籍企業を標榜する主張が見られましたが、実際には小規模な子会社のみが影響を受けていました。2024年には、100を超える組織が2つ以上のデータリークサイトに掲載されました。『MEOW』というリークサイトがこれにおいて大きな役割を果たしており、ハッキング といったウェブサイトをスキャンし、ウェブサーバーやデータベースから取得したデータを掲載しているようです。」 上述したランサムウェア の支払い額とデータ漏洩サイトの被害者数との間に逆相関が見られるもう一つの理由として、脅威アクターが被害者数について誇張や虚偽の報告を行っていたり、過去の被害者の主張を再投稿していたりしたことが挙げられる。「LockBit の運営者は、『Operation Cronos』と呼ばれる法執行機関 の作戦の後も、依然として影響力があり活動的であるかのように装うために、過去にリストアップされた主張を多数再投稿したり、かなり昔（中には1年以上前）に発生した攻撃を追加したりといった小細工を行っていた」とカミシェル氏は付け加えた。
リスカ氏はまた、データ漏洩サイトに掲載された架空の被害者に関する情報を私たちに共有し、次のように述べた。「これは特に『LockBit 』に当てはまる。同サイトは、法執行機関 の件でアンダーグラウンドコミュニティの大部分から排斥された後、留まる で存在感を示そうとするあまり、データ漏洩サイトに掲載された被害者のうち、最大68％が重複した情報か、あるいは完全に捏造されたものである。」
LockBit の活動停止やBlackCatの出口詐欺 に続き、もう1つの興味深い現象として、RansomHub RaaSの台頭が挙げられる。これは、LockBit やBlackCatから追われたオペレーターの多くを吸収したものだ。Camichelによると、RansomHubは2024年に最も多くの被害者数を記録しており、オンチェーン のデータによれば、2024年2月に登場したばかりにもかかわらず、2024年のトップ10ランサムウェアにランクインした。
インシデント対応 データによると、請求額と支払額との差は拡大し続けており、2024年下半期には両者の間に53％の差が生じた。インシデント対応 加盟企業からの報告によると、クライアントの大半は支払いを一切行わないことを選択しており、これは実際の差が以下の数値が示すよりも大きいことを意味している。
この「被害者のレジリエンス」について詳しく知るため、サイバーセキュリティインシデント対応 企業であるKivu ConsultingのEMEA地域インシデント対応 担当ディレクター、ダン・サンダース氏に話を伺った。 「当社のデータによると、交渉の約30％が実際に支払いに至るか、被害者が身代金を支払うことを決定しています。一般的に、こうした決定は、具体的に侵害されたデータの価値に対する認識に基づいて下されます」と同氏は述べました。同様に、クックソン氏は、サイバー衛生管理の改善と全体的なレジリエンスの向上により、被害者が要求に抵抗し、攻撃からの復旧に向けた複数の選択肢を検討できるようになってきていると指摘しました。 「最終的には復号ツールが最善の選択肢であると判断し、最終的な支払額の減額交渉を行う場合もあるが、多くの場合、直近のバックアップからの復元の方が迅速かつ費用対効果が高いと気づくパス 」と彼女は付け加えた。最終的な支払額は、当初の要求額にかかわらず、通常15万ドルから25万ドルの範囲であった。
下の図を見ると、2024年までのランサムウェア の支払い分布の推移がわかります。2020年には、ランサムウェア への支払いにおいてロングテールが見られたものの、山は1つだけでしたが、2024年には、ランサムウェア のアクターが3つのクラスに分かれていました。Phobosなど一部のアクターの平均支払額はクラスタ化 で、500～1,000ドル未満となっています。 また、$10,000前後のクラスタ が存在し、さらに$100,000を超える支払いが行われる第三のグループもあり、その中には$1 millionに達した事例も含まれています。また、分布の上位層における事案も増加しており、これは$1 millionを超える攻撃が相対的に増加していることを意味しています。
この分類は、クックソンが観察したランサムウェア の攻撃者動向の変化を反映しており、小規模なグループが低額および中額の身代金支払いを占める一方で、7～8桁という異常値の身代金要求が分布を右側に押し上げ、第3の支払いクラスへと向かわせている。
以下のグラフからは、総強要額（バブルの大きさ）、支払額の中央値（X軸）、および強要事案の指標（Y軸）の観点から、どの株が最も悪質であったかがわかります。
ランサムウェア オフ・ランピング：資金はどこへ流れるのか？
ランサムウェア のマネーロンダリング手法を理解することは、エクスプロイト後のサイバー攻撃者 の挙動に関する重要な知見をもたらし、法執行機関 がより効率的に対応できるようにするとともに、場合によっては、確立されたパターンに基づいて将来の行動を予測することも可能にします。
以下のグラフから、身代金資金は主に、中央集権型取引所（CEX）（資金のオフランプに使用）、個人ウォレット（資金の保管）、およびブリッジ（資金の移動を隠蔽しようとするため）を経由して流れていたことがわかります。 2024年には、ミキサーの利用が大幅に減少していることが確認されます。過去には、ミキシングサービスが四半期ごとのランサムウェア におけるマネーロンダリング資金の流れの10％から15％を占めるのが常でした。ランサムウェア の関係者によるミキシングの利用がここ数年で減少していることは非常に興味深く、Chipmixer、Tornado Cash 、Sinbadなどに対する制裁や法執行機関 の措置がもたらした破壊的な影響を如実に物語っています。 ミキサーに代わって、ランサムウェア のアクターたちは、オフランプ（仲介する ）を行う際にクロスチェーンブリッジへの依存度を高めていることが確認されています。対照的に、CEX（中央集権型取引所）は引き続きランサムウェア のオフランプ戦略の主力であり、2024年にはこの種のサービスへの依存度が平均をわずかに上回りました（2020年から2024年までの期間の37％に対し、39％）。
個人ウォレットに保管されている巨額の資金については、特筆すべき点である。興味深いことに、主に金銭的動機を持つグループであるランサムウェア の運営者たちは、これまで以上に資金の引き出しを控えている。この現象は、主に、法執行機関が、ランサムウェア のマネーロンダリングに関与したり、それを助長したりする個人やサービスを標的とした、予測不能かつ断固とした措置を講じていることが、脅威アクターの間で不確実性を生み出しており、その結果、資金をどこに安全に預ければよいかという不安が広がっているためであると我々は分析している。
上のグラフに見られる各傾向の背景には数多くの要因があると考えられますが、2024年10月以降に見られる「no-KYC 」取引所の利用減少は、ロシアを拠点とする取引所「Cryptex 」の指定、およびドイツ連邦刑事警察局（BKA）による47のロシア語版「no-KYC 暗号資産 」取引所の差し押さえ――いずれも2024年9月に実施された――に起因している可能性があります。 これらの取締措置のタイミングと、ランサムウェア からno-KYC 取引所への流入が減少した時期が重なっている点は、極めて注目に値する。
ランサムウェア 事案 研究
パネフの逮捕と、それがLockBitの事業に与えた影響
2019年から2024年にかけて、イスラエルとロシアの二重国籍を持つロスティスラフ・パネフ氏は、 LockBit への支援において重要な役割を果たしたとされる。同氏は、このグループのためにいくつかのツールを開発したとして告発されており、その中には、攻撃者が侵害されたシステムに接続された任意のプリンターから身代金要求書を印刷できるようにするツールも含まれていた。この開発に対し、同氏はビットコイン（BTC）で約23万ドルの報酬を受け取ったと報じられている。LockBitの管理者であるディミトリー・ユリエヴィチ・ホロシェフ氏を含むロシア国籍者は、これらの攻撃への関与により過去に制裁措置を受けてきたが、ランサムウェア が世界中の関係者が関与する真にグローバルな脅威であることを認識することが重要である。パネフ氏は現在イスラエルに滞在しており、詐欺、サイバー犯罪、電信詐欺、その他の罪の共謀容疑で指名手配されている米国への身柄引き渡しを待っている。
この Reactor グラフからは、起訴状によると、2022年から2週間ごとにホロシェフから約5,000ドル相当のBTCが送信 されていたことがわかります。その後、2023年7月から2024年初頭にかけては、毎月約10,000ドル相当のBTCがホロシェフに送金されていました。
パネフの逮捕は、LockBitの再編能力に重大な打撃を与えた可能性があり、犯罪が発生してから数年が経過した後であっても、ブロックチェーンの透明性が高く不変であるという性質が、法執行機関 による違法活動の追跡や、無力化する 国境を越えたサイバー犯罪組織の摘発を可能にし続けていることを浮き彫りにした。LockBit の摘発とパネフの逮捕は、2024年の大きな成果であり、エコシステムがより細分化され、連携が弱まる方向への転換を促した。
イランのランサムウェア への関与
ロシア語を話すサイバー犯罪者に加え、ここ数年、イラン国籍者も、 ランサムウェア 攻撃の支援および実行に関与したとして、米国財務省の外国資産管理室（米国財務省外国資産管理局（OFAC） ：OFAC ）から制裁措置を受けています。また、以前にも、 LockBit の関連組織がイランのランサムウェア 亜種と連携し、イランの取引所に資金を預け入れているという証拠（オンチェーン ）について指摘したことがあります。
幸いなことに、オンチェーン による分析を通じて、イランの攻撃主体がブランド名を変更したり、別のRaaSに切り替えたりした場合でも、それらを特定することが可能です。以下の Chainalysis Reactor グラフに示されているように、4つの異なるランサムウェア の亜種を、同じイラン人サイバー攻撃者 に結びつけました。この人物は、人気のあるRaaS亜種のデプロイされた も担当している可能性が高いです。また、入金 アドレス が世界中の複数の取引所で再利用されていることが確認されており、一見無関係に見えるこれらの亜種同士を結びつけるだけでなく、その運営者がイランとつながりを持っていることも裏付けています。
主要ブランドの再ブランディング、派生ブランドの立ち上げ
Akiraが登場して以来、特に企業環境において脆弱性を悪用することに成功しており、数々の注目を集める攻撃を通じてその勢いを増しています。前述したように、Akiraはランサムウェア のトップ10にランクインする亜種の中で、2024年下半期に活動を活発化させた唯一の亜種です。
2024年9月、ランサムウェア の新たな亜種である「Fog」が登場し、それ以来、「Akira」と同様に、重大な脆弱性を標的とする能力を示している。両グループとも主にVPNの脆弱性を悪用することに注力しており、これによりネットワークへの不正アクセスを得て、その結果として「ランサムウェア 」を展開している。
AkiraとFogは、他のランサムウェア の亜種とは異なる同一の資金洗浄手法を用いており、これが両者のつながり をさらに裏付けている。例えば、以下の Chainalysis Reactor グラフが示すように、アキラとフォグが運営する複数のウォレットから、同じKYC 非対応の取引所へ資金が送金されている。
アキラとフォグの関係に加え、我々はオンチェーン における類似した挙動を調査することで、INCとLynxランサムウェア の亜種との間にも関連性があることを突き止めました。また、サイバーセキュリティ研究者らは、これら2つの亜種に共通するソースコードがあることも指摘しています。
こうした相互に関連し合う関係性は、ランサムウェア のエコシステムにおけるより広範な傾向、すなわち、法執行機関 による監視の強化に対応してサイバー犯罪者の戦略が絶えず進化していることを示している。
変化し続ける脅威の情勢への対応
ランサムウェア 2024年には、法執行機関 の対策、被害者の回復力の向上、および新たな攻撃傾向によって引き起こされた変化が見られました。取り締まりや、インシデント対応 企業およびブロックチェーン の専門家との連携により、無力化する 多くのランサムウェア グループを摘発し、その収益性を低下させることができました。また、被害者も身代金要求に対してより強い抵抗を示すようになり、要求額と支払額との差が拡大しました。
法執行機関 の圧力の下、資金調達戦略は引き続き変化を続けているが、悪意のある攻撃者が被害者からの支払いをマネーロンダリングすることはますます困難になっている。2024年に達成された進展をさらに発展させるためには、継続的な連携と革新的な防御策が留まる 不可欠となるだろう。
本ウェブサイトには、Chainalysis, Inc. およびその関連会社（以下、総称して「Chainalysis」）の管理下にない第三者のサイトへのリンクが含まれています。当該情報へのアクセスは、Chainalysis が当該サイトまたはその運営者との提携、支持、承認、または推奨を行っていることを意味するものではなく、Chainalysis は、当該サイトで提供される製品、サービス、その他のコンテンツについて一切の責任を負いません。
本資料は情報提供のみを目的としており、法律、税務、財務、または投資に関する助言を提供するものではありません。受領者は、こうした決定を行う前に、各自のアドバイザーに相談してください。Chainalysis は、受領者が本資料を利用したことに起因する、つながり におけるいかなる決定、その他の作為または不作為についても、一切の責任を負いません。
Chainalysis 当社は、本報告書に記載された情報の正確性、完全性、適時性、適合性、または有効性を保証するものではなく、当該資料のいかなる部分における誤り、欠落、またはその他の不正確さに起因するいかなる請求についても責任を負いません。
