第2章S=1:100
扉が開いた後
暗号化は侵入者の最後の手順だ。2025年、バックアップから復元を試みた国内の被害組織99件のうち79件が元に戻せず、48件ではバックアップも暗号化されていた。
要旨
ランサムウェアの被害は、VPN の扉から始まり、多くは数日後の暗号化で終わる一連の手順の結果だ。画面が止まった時点で、侵入者はたいてい管理者の鍵を握り、バックアップを消し、データを外へ運び出している。
月曜日、午前7時40分
最初に出社した社員が、事務室のプリンタが夜通し同じ紙を刷っていたのに気づく。身代金の要求文だ。共有フォルダは開かず、バックアップサーバには何も残っていない。
扉から入ってきた
港精密には、社員と保守業者が社外から使う VPN 機器がある。外壁の扉で、鍵が通ればインターネット上の誰でも入れる。侵入者は、漏れていたパスワードか機器の欠陥を使ってここから入った。
受付は気づかない
VPN の扉は受付の奥の廊下に直接つながっている。受付からは見えず、ネットワーク上では在宅勤務中の社員と見分けがつかない。
鍵の束ですべての扉が開く
侵入者は鍵保管庫、つまり Active Directory を目指す。管理者のアカウントを奪えば、内扉はすべて開く。
このページ後半の二つの病院では、同じ管理者パスワードが複数のサーバで使い回され、アカウントロックアウトも設定されていなかった。
先にバックアップが消される
暗号化の前に、侵入者はバックアップを消すか暗号化する。2025年、バックアップから復元を試みた国内の被害組織99件のうち79件が元に戻せず、48件ではバックアップも暗号化されていた。
出典: 警察庁 令和７年におけるサイバー空間をめぐる脅威の情勢等について（統計データ） (sheets 統計編P122, P124, P126, P129, P130; sheets 統計編P137, P138)
データは同じ扉から出ていく
ファイルは同じ VPN の扉から外へコピーされ、「払わなければ公開する」という二つ目の脅しに使われる。
暗号化は最後の一手
暗号化はこの後だ。夜間や週末が多く、Sophos が扱った2025年の事例では、ランサムウェアの88.10%が業務時間外に実行されていた。
出典: Sophos Nowhere, man: The 2026 Active Adversary Report (2025 case data)
各手順が残すログ
どの手順も、VPN 機器、Active Directory、ファイルサーバ、バックアップソフトなど、たいていの会社がすでに持っているログに記録が残る。
手順2：本人らしくないログイン
VPN 機器から見れば、正しいアカウントによる普通のログインだ。
- VPN のログ本人が寝ているはずの午前3時に、国外やホスティング事業者のアドレスからログインが成功している。
- VPN のログ直前にログイン失敗が続いている。パスワードが漏れていれば、失敗は一度もない。
- VPN のログ退職者や契約の終わった業者など、もう存在しないはずのアカウントでログインしている。
手順3：在宅勤務のはずの1人が数十台に触れる
侵入者は社内のアドレスを得て、ネットワークを調べ始める。メールの検査もウイルス対策も通っていないので、そこには何も記録されない。
- ファイアウォール1本の VPN セッションが、数分のうちに社内の数十のアドレスへ接続している。
- サーバ1台から多数のサーバへリモートデスクトップ接続が試みられている。大阪の病院では、約240の IP アドレスの情報が集められ、1台から約70のアドレスへ試みられた。
出典: Arctic Wolf Smash and Grab: Aggressive Akira Campaign Targets SonicWall VPNs, Deploys Ransomware in an Hour or Less地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)
Arctic Wolf の観測では、SonicWall の VPN にログインした Akira の攻撃者は「5分以内」に社内ネットワークの探索を始めていた。
手順4：新しい管理者が現れる
侵入者は Active Directory の管理者アカウントを乗っ取るか、新しく作る。
- AD誰も申請していないユーザーアカウントができている。または既存のアカウントが Domain Admins グループに追加されている。
- AD管理者アカウントが VPN のアドレスからログオンしている。
- サーバサーバのウイルス対策ソフトが削除されるか、止められている。大阪の事例では、最初に入ったサーバでアンインストールされた。
出典: Sophos Nowhere, man: The 2026 Active Adversary Report (2025 case data)地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)
Sophos の2025年の事例データでは、侵入から Active Directory への最初の試みまでが中央値で3.40時間だった。
手順5：バックアップのジョブが失敗し始める
多くは暗号化の直前、数時間から数日のうちに起きる。
- バックアップバックアップのジョブが失敗する。またはバックアップサーバが応答しなくなる。
- バックアップ夜間に誰かがバックアップの管理画面にログインしている。
- サーバWindows が各サーバに残している復元ポイント（シャドウコピー）が消えている。
手順6：1つのアカウントが大量のファイルを読む
データの持ち出しは、多くの場合、攻撃が始まって数日後に行われる。
- ファイルサーバ1つのアカウントが短時間に数千のファイルを読んでいる。
- サーバサーバ上に大きな圧縮ファイルが現れる。
- ファイアウォール外向きの通信量が平常を大きく超えている。行き先はクラウドストレージであることが多い。
出典: Sophos It takes two: The 2025 Sophos Active Adversary Report (2024 case data)Sophos Nowhere, man: The 2026 Active Adversary Report (2025 case data)CISA・FBI ほか（米国） #StopRansomware: Akira Ransomware (AA24-109A)
CISA は、2時間あまりでデータを持ち出した Akira の事例を報告している。Sophos の2024年のデータでは、攻撃が検知されたのは持ち出しから中央値で2.7時間後だった。
手順7：すべてのファイルの名前が一斉に変わる
暗号化は、ログを読まなくても誰もが気づく最初の手順だ。
- ファイルサーバ数千のファイルが数分のうちに新しい拡張子に変わる。大阪の事例では
.elbieだった。 - プリンタすべてのプリンタから身代金要求文書が出てくる。半田病院では未明にこれが起きた。
- サーバサーバや仮想マシンが止まる。
出典: Arctic Wolf Smash and Grab: Aggressive Akira Campaign Targets SonicWall VPNs, Deploys Ransomware in an Hour or Less地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)
侵入から暗号化までの時間
速い例では、VPN へのログインから暗号化までが数時間で終わる。データ持ち出しの中央値は数日だ。起点は出典ごとに違う。
出典: Arctic Wolf Smash and Grab: Aggressive Akira Campaign Targets SonicWall VPNs, Deploys Ransomware in an Hour or LessSophos Nowhere, man: The 2026 Active Adversary Report (2025 case data)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)Sophos It takes two: The 2025 Sophos Active Adversary Report (2024 case data)
データ
| 出典 | 起点 | 出来事 | 時間 |
|---|---|---|---|
| Akira、SonicWall SSL-VPN 経由（Arctic Wolf、2025年） | 0 = VPN へのログイン | 5分, 社内の探索が始まる | 0.08 |
| Akira、SonicWall SSL-VPN 経由（Arctic Wolf、2025年） | 0 = VPN へのログイン | 55分, 最も早い例で暗号化へ | 0.92 |
| Akira、SonicWall SSL-VPN 経由（Arctic Wolf、2025年） | 0 = VPN へのログイン | 4時間未満, ほぼ全件で暗号化まで | 4.00 |
| Sophos の対応事例、中央値 | 0 = 攻撃の開始 | 3.40時間, Active Directory への, 最初の試み | 3.40 |
| Sophos の対応事例、中央値 | 0 = 攻撃の開始 | 2024年のデータでは11時間 | 11.00 |
| Sophos の対応事例、中央値 | 0 = 攻撃の開始 | 78.83時間（2025年）, 72.98時間（2024年）, データの持ち出し | 78.83 |
| 半田病院、2021年（有識者会議報告書） | 0 = 23:57、記録に残る最初のリモートデスクトップ操作 | 03:04, 身代金要求文書を開く | 3.12 |
| Sophos | — | 業務時間外に実行されたランサムウェア（Sophos、2025年のデータ） | 88.10% |
大阪急性期・総合医療センターの経過
2022年10月の事例で、調査委員会が経過をページ番号付きで公表している。報告書は関係企業を記号（E社、C社）で記し、VPN 製品名は出していないが、脆弱性の番号は明記している。
| 手順 | 報告書の記述 | ページ |
|---|---|---|
| 1 | 2022年10月31日月曜日の午前7時45分、電子カルテの障害で病院が問題を認知した。8時30分ごろ、ランサムウェア感染が確認された。 | 11 |
| 2 | 給食業者（E社）がリモート保守用に置いていた VPN 機器に CVE-2018-13379 があり、そのグローバル IP アドレス、ID、パスワードが公開されたリストに載っていた。委員会は、このリストの ID とパスワードで侵入されたと考えるのが合理的としている。 | 45 |
| 2 | この機器のファームウェアは更新されていなかった。緊急の更新前のバージョンは 5.4.2 だったことが後に判明した。 | 18, 37 |
| 3 | 侵入者は E社のネットワーク内で、辞書攻撃ツールを使いリモートデスクトップでログオンした。E社の端末のビルトイン Administrator のパスワードは共通で弱く、攻撃ツールのパスワードリストに含まれていた。 | 45 |
| 3 | 病院のファイアウォールは、給食システムの構築業者（C社）の依頼で、E社からのリモートデスクトップ通信を常時許可していた。この通信は実際には不要で、使われていなかったことが後に分かった。 | 18, 39, 46 |
| 4 | 病院の最初のサーバ（サーバB）の管理者パスワードが Mimikatz で解析された。侵入者はリモートデスクトップでログオンし、ウイルス対策ソフトをアンインストールした。 | 12, 45–46 |
| 4 | 病院のサーバのビルトイン Administrator のパスワードが共通だったため、横展開が容易になった。アカウントロックアウトは設定されていなかった。 | 12, 19, 46 |
| 4 | 侵入者は到達可能な約240の IP アドレスの情報を窃取し、サーバBから約70のアドレスへリモートデスクトップ接続を試みた。 | 47 |
| 5 | 病院内の LTO バックアップ装置が暗号化された。重症系システムのバックアップはオンラインのみで、使えなかった。遠隔地に保管していた LTO テープは読み出せ、10月27日の状態まで戻せた。 | 38, 40–41 |
| 6 | 大きなデータ転送は見つかっていない。最大のものはリモートデスクトップの約1.8MB と SMB の7.9MB で、SMB の中身はログの詳細設定がなかったため不明である。委員会は情報漏洩の可能性を「極めて低い」としている。 | 12, 46 |
| 7 | 電子カルテを含むサーバの大部分が、ランサムウェア「Elbie」で暗号化された。基幹システムの再開は43日目、診療システム全体の復旧は73日目だった。 | 11 |
| 事後 | C社が10月31日の夕方、バックアップを取らずに VPN 機器のファームウェアを更新し、VPN の syslog が消えた。そのため、攻撃が単独のものだったか断定できなかった。ファイアウォールのログでは、E社からのリモートデスクトップ通信が2022年4月までさかのぼって確認でき、10月31日より前のログオン失敗も残っていた。 | 37, 39, 46 |
出典: 地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)
複合事例と違うのは手順5と6だ。遠隔地のテープが残ったので主な記録は復元でき、ログで分かる規模のデータ流出もなかった。
半田病院（2021年）
つるぎ町立半田病院は2021年10月、同じ脆弱性から攻撃を受けた。ページ番号は報告書に印刷されたものを使った。
| 手順 | 報告書の記述 | ページ |
|---|---|---|
| 2 | リモート保守用の Fortinet 製 VPN 機器 FortiGate 60E は導入当初からソフトウェアが更新されておらず、CVE-2018-13379 が放置されていた。 | 本編 16 |
| 2 | 約87,000台分の漏洩データに、半田病院のグローバル IP アドレス、ID、パスワードが含まれていた。接続元の IP アドレス制限はなく、インターネット上のどこからでも接続できた。 | 技術編 10, 11 |
| 3 | 発覚前の10月30日23時57分の時点で、リモートデスクトップの操作が記録されていた。 | 本編 21 |
| 4 | Active Directory のパスワードの最小桁数は5桁で、ロックアウトは無効だった。ビルトイン Administrator はすべてのコンピュータで共通だった。Mimikatz と PsExec の使用が指摘されている。 | 技術編 9, 15、本編 22 |
| 5 | バックアップサーバのデータは2018年以降の分が物理的に削除されていた。2018年までオフラインで保管していたバックアップは影響を受けず、復旧に使えた。 | 本編 13, 22 |
| 7 | 10月31日の未明、院内の複数のプリンタから脅迫文が大量に印刷された。3時04分に身代金要求文書が開かれている。被害を受けた端末は40台。通常診療の再開は2022年1月4日だった。 | 本編 6, 7, 21, 22 |
| 事後 | 業者がログを保存せずに VPN 機器のファームウェアを更新したため、ログを分析できなかった。ログや証跡がないため、侵入経路と横展開の手法は不明のままである。 | 本編 16、技術編 14 |
出典: 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 (printed pp.6–7, 13, 16, 21–22; pp.6–9, 13, 21, 37–38)徳島県つるぎ町立半田病院 コンピュータウイルス感染事案有識者会議 徳島県つるぎ町立半田病院 コンピュータウイルス感染事案 有識者会議調査報告書 技術編 (printed pp.9–11, 14–15; pp.10–14)
どちらの病院でも、ログを写す前に VPN 機器が更新され、VPN のログが失われた。
技術者向けの詳細
ATT&CK の技術と対応するログ
技術の番号と名前は MITRE ATT&CK による。Security ログのイベントの多くは、対応する監査ポリシーを有効にしていなければ記録されない。機器側のログは、更新の前に機器の外へ出していなければ残らない。
| 手順 | ATT&CK 技術 | それを示すログ・テレメトリ | イベント ID |
|---|---|---|---|
| 2 | T1190 Exploit Public-Facing Application | 認証より前の欠陥を突かれるので、ログイン記録が残らないことが多い。VPN のプロセスの異常終了と再起動、機器上にあるはずのないファイル、誰も行っていない設定変更を探し、ベンダーの外部整合性検査の結果と突き合わせる。 | なし（機器・通信のログ） |
| 2 | T1133 External Remote Services | VPN 機器の認証ログ。ユーザー、接続元アドレス、割り当てた社内アドレス、セッションの開始と終了が残る。普段と違う時間帯、本人が使うはずのない国やホスティング事業者からの接続、初めて見る端末からの接続を検知対象にする。このログは機器の外へ転送しておく。両病院とも失っている。 | なし（機器・通信のログ） |
| 2 | T1078 Valid Accounts | 社内の機器で、VPN のアドレス帯からのログオン成功を見る。休眠アカウント、業者のアカウント、VPN を使ったことのないアカウントであれば特に疑う。最初の成功の前に失敗が続いていることもある。 | Security4624Security4625 |
| 2 | T1552.001 Unsecured Credentials: Credentials In Files | Windows 側からは見えない。この種の欠陥は、認証情報を保存した機器上のファイルを読み出す。両病院の CVE-2018-13379 がこれにあたる。兆候は後から出る。VPN のローカルユーザーやディレクトリ連携用アカウントなど、パスワードが機器の中にしかないアカウントでのログインである。 | なし（機器・通信のログ） |
| 2 | T1539 Steal Web Session Cookie | 新たな認証の記録がないまま、VPN セッションが別の接続元から使われる。あるいは同じユーザーが別々の場所から同時に二つのセッションを持つ。 | なし（機器・通信のログ） |
| 3 | T1087.002 Account Discovery: Domain Account | 1台の機器が数分のうちにディレクトリの全ユーザーと全グループを照会する。ドメインコントローラは通常のディレクトリ照会を既定では記録しないので、EDR かディレクトリ照会の記録で見る。メンバーサーバではグループメンバーの列挙が記録される。 | Security4798Security4799 |
| 4 | T1003 OS Credential Dumping | LSASS のメモリへのアクセスに対する EDR の警告（Sysmon を入れていればイベント10）。ドメインコントローラでは、シャドウコピー経由でディレクトリのデータベースが複製される。両病院の報告書とも Mimikatz の使用を挙げている。 | Sysmon10 |
| 4 | T1078.002 Valid Accounts: Domain AccountsT1136.002 Create Account: Domain Account | 新しいアカウントの作成（4720）、Domain Admins などのセキュリティ グローバル グループへの追加（4728）、ローカルの Administrators への追加（4732）、普段は特権を持たないログオンへの特権の割り当て（4672）。 | Security4720Security4728Security4732Security4672 |
| 4 | T1021.001 Remote Services: Remote Desktop ProtocolT1021.002 Remote Services: SMB/Windows Admin Shares | 普段使われない機器でのログオンタイプ10（リモート対話型）。1台から多数の機器のリモートデスクトップのポートへ向かう通信。端末からの管理共有へのアクセスと、PsExec などの遠隔実行ツールが動いたときに System ログに残るサービスの登録。大阪の事例では、1台のサーバから約70のアドレスへリモートデスクトップ接続が試みられた。 | Security4624Security5140Security5145System7045 |
| 4 | T1562.001 Impair Defenses: Disable or Modify Tools | Microsoft Defender のイベント5001（リアルタイム保護の無効化）と5007（設定変更）、セキュリティ製品の削除時に残る Windows Installer のイベント11724、報告が途絶えた EDR エージェント。Security ログ自体を消すとイベント1102が残る（T1070.001）。大阪の事例では、最初に入られた病院のサーバでウイルス対策ソフトがアンインストールされた。 | Defender5001Defender5007Application11724Security1102 |
| 5 | T1490 Inhibit System Recovery | サーバからシャドウコピーが消える。コマンドラインを含めたプロセス作成の監査（4688）か Sysmon のイベント1を有効にしていれば、削除の操作と実行したアカウントが記録される。バックアップソフト自身の監査ログには、夜間の管理画面へのログイン、ジョブの削除、保存期間の短縮が残る。 | Security4688Sysmon1 |
| 6 | T1048 Exfiltration Over Alternative ProtocolT1567 Exfiltration Over Web Service | 機器ごとの外向き通信量が平常を大きく超え、クラウドストレージやファイル転送サービスへ向かう。サーバ上で圧縮ツールが動く（T1560.001）。ファイルサーバでは、1つのアカウントが数千のファイルを読む。オブジェクトアクセスか共有の詳細監査を有効にしていれば見える。大阪の事例では詳細なログ設定がなく、SMB で送られた 7.9MB の中身を特定できなかった。 | Security4663Security5145 |
| 7 | T1486 Data Encrypted for Impact | ファイルサーバで毎分数千件の書き込みと名前の変更が起き、すべてのファイルに新しい拡張子が付く（大阪の事例では .elbie）。各フォルダやプリンタに身代金要求文書が出て、ハイパーバイザ上の仮想マシンが止まる。この段階で兆候は明らかだが、被害を止めるには遅い。 | なし（機器・通信のログ） |
出典: MITRE Enterprise TechniquesMicrosoft Advanced security audit policy settings (per-event pages linked from this reference: 4624, 4625, 4672, 4720, 4728, 4732, 4798, 4799, 5140, 5145, 4663, 1102)地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会 調査報告書 (pp.11–12, 18–19, 36–41, 45–47; pp.11, 37, 45–46, 71)
文書化された例として、LockBit 3.0 はボリュームシャドウコピーを削除し、Windows のイベントログを消去する。
出典: CISA ほか（米国） Understanding Ransomware Threat Actors: LockBit (AA23-165A)