結論からお話しすると、ランサムウェア攻撃の主要な侵入経路に変化が見られている、と日経クロステック（xTECH）の元記事は指摘しています。これまでのVPN装置の脆弱性を悪用する手口に加え、メールを使った攻撃が主流になっているとのことです。

ランサムウェアとは

業務データを暗号化し、復旧と引き換えに身代金を要求するマルウェアの一種です。

VPN（Virtual Private Network）とは

インターネット上に仮想の専用線を構築し、安全な通信を可能にする技術です。

多要素認証とは

パスワードだけでなく、別の認証要素（生体認証、ワンタイムパスワードなど）を複数組み合わせて本人確認を行う仕組みを指します。

ランサムウェア攻撃、侵入経路に変化あり

元記事によると、ランサムウェア攻撃者は、標的企業のネットワークに侵入して業務データを暗号化する、という基本的な手口は変わりません。しかし、その侵入経路において、以前はVPN装置などのシステム的な脆弱性を悪用するケースが常套手段でした。ところが、最新の調査では、メールを使った攻撃が主流になっている、と元記事は報じています。

これは、私たち中小製造業の現場でも、特に従業員一人ひとりの意識や行動が、セキュリティリスクに直結する可能性を示唆していると感じています。元記事のタグ情報には「多要素認証を導入していても被害」という記載もあり、攻撃の手口が巧妙化している可能性も考えられます。

直近でも総当たりのように、同じドメインのメールアドレス宛に大量のメールが来たことがありました。ExchangeOnlineの標準のメールを隔離するポリシーをすり抜けてきたときにわかったことがあります。退職した社員も含めて一気にメールしているのです。どこからか漏れていることを感じました。

他にもLineやTeamsに招待する手口の攻撃もあります。まだまだ、あからさまな内容なので気づきやすい状況ではありますが、さらに巧みに、タイミング併せて攻撃することで、うっかり招待に応じてしまうことがあるかもしれません。過去に、2人の役員を装った攻撃者が1名の社員をだまそうと仕掛けてきたこともあります。

メール攻撃が増加、中小企業は何に注意すべきか

私は、この「メールを使った攻撃が主流」という点に特に注目しています。今まではVPNが大半で、UTMメーカーでもVPNが利用できない対応をされたと聞いたことがあります。VPNを使っていないから・・ではなく、誰もが使うメールの悪用という点が非常に重要です。

具体的にどのような手口が増えているのか、非常に興味があります。多要素認証を突破するような高度な手法があるのか、それとも従業員のうっかりミスを誘う一般的なフィッシングメールが進化しているのか、現状ではまだ詳しい経緯を追えていないため、今後の調査でその中身を調べたいと考えています。

中小製造業の現場で今すぐできる対策としては、従業員へのセキュリティ教育の強化が挙げられます。不審なメールの見分け方や、添付ファイル、リンクを安易に開かないといった基本的な注意喚起を継続することが重要です。また、メールシステムのフィルタリング機能や迷惑メール対策を強化し、怪しいメールが従業員の受信箱に届く前にブロックする仕組みの見直しも有効でしょう。

メール起点におけるランサムウェアの攻撃手順と手口

近年のランサムウェア攻撃は、メールで直接ランサムウェア（暗号化プログラム）を送りつけるのではなく、段階を踏んで社内ネットワークへ潜入する手法へと変化しています。初期潜入から最終的なネットワーク制圧に至るまでの攻撃手口を解説します。

特にプリカーサーを中継させる攻撃である「AiTM（Adversary-in-the-Middle：中継型フィッシング）」は知らずにアクセス、ログインするとMFAごと乗っ取られるため脅威として非常に大きく、アカウントを乗っ取られた状態のメールでは見破ることがかなり難しくなるかもしれません。

リンク先や添付が明らかにおかしい場合はアクセスする前に防げそうなので、C2サーバーを取り入れたブラウザ上で悪意のあるサイトへのブロックさせる仕組みなど、セキュリティの取り組みが必須になってくることかと思います。

プリカーサー（前兆）マルウェアによる初期潜入

攻撃者はまず、EmotetやLUMMAといった情報窃取型マルウェア（Infostealer）をメールで送り込みます。このマルウェアの目的は暗号化ではなく、感染端末のブラウザやメールソフトに保存されたID・パスワード、セッション情報を盗み出すことです。収集された認証情報はダークウェブ上で「初期アクセスブローカー（IAB）」に売却され、本格的な侵入の足がかりとして悪用されます。

生成AIを活用したビジネスメール詐欺（BEC）

生成AI（LLM）の発展により、誤字脱字のない極めて自然な日本語文面を作成することが容易になりました。攻撃者は送信相手の業界用語や文脈に合わせた高度なフィッシングメールを作成するため、従来のメールフィルターを容易にすり抜けます。また、実在する取引先や社内関係者のメールスレッド（Re:◯◯）に割り込む「スレッド乗っ取り」の手法と組み合わせることで、受信者を疑わせずに悪意あるファイルを開かせます。

多段階ファイルとQuishing（QRコードフィッシング）

セキュリティフィルターの検知を回避するため、メール本文に悪意あるURLを直接記載しない手法が増加しています。添付したPDFやSVGファイル、あるいはカレンダーの招待（Google CalendarやOutlook）内にQRコードを埋め込み、スマートフォン等で読み取らせることで偽のログインサイトへ誘導します。PC向けのセキュリティ対策が効きにくい個人のモバイル端末を標的にすることで、確実に認証情報を窃取します。

TOAD（電話誘導型フィッシング）

メール本文に悪意あるリンクやファイルを置かず、「SSOアカウントの更新が必要です。至急サポート窓口へお電話ください」といった案内のみを記載する手法です。メール自体に有害な要素が含まれていないため、検知システムを完全にスルーします。被害者が記載された電話番号に連絡すると、ヘルプデスクを装った攻撃者が言葉巧みに誘導し、遠隔操作ツールのインストールや認証情報の開示を行わせます。

MFA（多要素認証）の限界と耐フィッシング対策

ログイン情報の奪取を防ぐ手段として普及したMFA（多要素認証）ですが、攻撃手口の進化により従来のMFAでは防げないケースが急増しています。

特に脅威となっているのが「AiTM（Adversary-in-the-Middle：中継型フィッシング）」です。攻撃者がユーザーと正規サイトの間に偽のプロキシサーバーを挟み込むことで、ユーザーが入力したID・パスワードだけでなく、MFAのワンタイムパスワードやアプリ承認もリアルタイムで本物のサイトへ転送します。認証が完了すると、正規サイトから発行される「セッションCookie（ログイン維持用の鍵）」が攻撃者に横取りされ、MFAを突破されてしまいます。

このように、MFAの方式によって防ぐことができる攻撃の範囲は大きく異なります。

従来の「パスワード＋ワンタイムパスワード」によるMFAは、「入力した認証情報を盗まれること」や「認証後に発行されるセッションCookieを盗まれること」を防止できません。今後は、接続先のドメインと厳密に紐づく「FIDO2 / パキー（耐フィッシングMFA）」への移行や、不審なIPアドレスや端末からのセッション利用を即座に失効させるアクセス制御の導入が不可欠です。

おわりに

ランサムウェア攻撃の侵入経路が、システム的な脆弱性からメールへと変化している可能性についてお伝えしました。ドメインのメールアドレス利用者が乗っ取られたりすると、さらに功名なフィッシングメールからMFAをバイパスしてログイン情報が盗まれてしまうかもしれません。従業員教育がさらに難しくなりますね。問い合わせも含めて・・。

元記事の詳細は有料会員限定のため、頭出しを読んでから実際の体験などから考えていました。具体的な攻撃手口の詳細はまだ不明ですが、従業員のセキュリティ意識向上が喫緊の課題であることは間違いありません。

今後も、メール経由の攻撃手口に関する具体的な情報収集を進め、中小製造業の皆様に役立つ情報を提供していきたいと考えています。

参考: https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/041800012/091400342/