公開日：
ランサムウェアグループによる虚偽のリーク活動｜“盗まれていない情報”が脅迫に使われる時代
この記事をシェア
0aptの活動
2026年1月28日に活動を開始した0aptは、わずか48時間以内に71件、数日内には150件以上の組織への侵入を主張しました。 この異常な速度は、物理的な攻撃リソースの限界を考慮すると極めて疑わしく、比較対象として、有力なランサムウェアグループであるQilinであっても、その活動のピーク時における1日の犠牲者報告数は24件程度にとどまっています。 既存のランサムウェアの運用限界を大幅に超えた被害件数の膨大さと、それに反する技術的根拠の希薄さから虚偽のリーク活動であることが指摘されています。
0aptは、Rust言語で記述された高度なランサムウェアを使用し、AES-256およびSalsa20を組み合わせたハイブリッド暗号化スキームを採用していると自称しています。しかし、セキュリティ研究者による解析の結果、提供されたデータサンプルが「0バイト」の空ファイルであったり、大規模言語モデル（LLM）によって生成されたと思われる架空の企業情報が含まれていたことが判明しています。さらに、リークサイトのソースコード内には、ヒンディー語やウルドゥー語による開発者コメントが含まれており、高度な国家背景を持つAPTというよりも、技術レベルの低い外部委託や未熟な開発者による急造のインフラである可能性が高いと示唆されています。
虚偽のリーク活動の目的
なぜ、ランサムウェアグループはこうのような虚偽のリークを行うのでしょうか。 0aptの活動を踏まえて考えられる虚偽リークの目的を以下に記載します。
金銭 企業の経営層や広報担当者に極度のパニックを引き起こし、実際のデータ窃取の有無を確認する前に「ブランドイメージの保護」を優先させて、支払いに応じさせようとします。 また、企業名をリークサイトに記載することで、記載した企業の株価を下げ、空売りなどで金銭を得ることも考えられます。
実績の構築と勧誘 新たなランサムウェアグループがRaaS市場でアフィリエイト（実行犯）を確保するためには、その「実績」が不可欠です。短期間に膨大な数の犠牲者を公開することで、自らが極めて高い攻撃能力を持つ強力なグループであるかのような虚像を作り上げることで、有力なアフィリエイトを勧誘し、将来的に本物の攻撃能力を獲得するためのマーケティング戦略の一つと捉えることができます。
二次的な詐欺とツール・ゼロデイの窃取 0aptの活動には、他のサイバー犯罪者を標的とした「捕食者」としての側面も確認されている。彼らはアフィリエイト・プログラムへの参加希望者に対し、保証金として「1ビットコイン」の支払いを要求したり、参加条件として「保有しているゼロデイ脆弱性」の実演を求めたりしている。これは、ランサムウェアによる身代金獲得だけでなく、他の犯罪者から金銭や貴重な攻撃コードをだまし取ることを目的とした、重層的な詐欺スキームである。
過去の虚偽または誇張報告の事例
虚偽のリークや誇張された被害報告は、0apt以前にも複数のグループによって戦略的に用いられてきたことが分かっています。今後も同様なグループが増加する可能性があり、より一層注意する必要があります。
RansomedVCの事例（2023年）
2023年に活動したRansomedVCは、0aptと極めて類似した「誇張と虚偽」の手法を用いたことで知られる。彼らは国内の大手通信企業、電機メーカーを侵害したと大々的に宣言しました。
国内通信企業の事例： 101万5,000ドルの身代金を要求しましたが、主張していたデータは完全に架空のものでした。
国内電機メーカーの事例: RansomedVCは「全システムを侵害した」と称して約3GBのデータを公開しましたが、実際には開発環境（JenkinsやSonarQubeなど）から抽出された一部のデータに過ぎないことが後に判明しています。
米国保険企業の事例: RansomedVCが犯した最も成功した欺瞞の一つが、某保険企業に対する虚偽の声明です。彼らは4億件の顧客データを盗んだという嘘をメディアに拡散させ、それを信じた顧客によって企業が集団訴訟を起こされるという事態に発展しました。
Mogilevichの事例（2024年）
Mogilevichと称するグループは、著名なエンターテインメント企業をはじめとする有力企業の機密データを保有していると主張していましたが、最終的にその内容はすべて虚偽であったことを自白しました。彼らはデータの販売を偽装することで、他のサイバー犯罪者から約85,000ドルを詐取したと称しており、ランサムウェア攻撃を装った詐欺の典型的な事例となりました。
エンターテイメント企業への虚偽報告: 彼らは同社から189GBに及ぶ機密データ（ソースコードや個人情報）を奪取したと主張しましたが、同社が精査した結果、データ侵害を裏付ける証拠は一切検出されませんでした。
ドローン企業のデータ販売詐欺: ドローン企業の偽データを10万ドルで売り出し、ダークウェブ上の購入希望者に対して「他にも交渉中の買い手がいる」と心理的な揺さぶりをかけることで、最終的に約85,000ドルを詐取したと自称しています。
推奨される対応
0aptのような「虚偽リーク」を行う集団に対して、従来の技術的防御のみで対応することは困難です。これらの被害は今後も定期的に発生することが考えられるため、虚偽のリークであることを想定した対応フローを事前に確立しておくことが重要となります。
段階的なインシデント検証プロセス
リーク内容については、虚偽や誤情報でないかを含めて証跡に基づき検証し、併せて影響範囲を特定することが重要です。
内部痕跡の精査: 0aptが主張する侵入経路（VPN、RDP、フィッシング）を中心に、自社ネットワーク内にIoC（侵害指標）が存在するかをフォレンジックレベルで検証する。
リークデータの信憑性確認: 公開された「証拠パック」をダウンロードし、その内容が自社の実際のデータであるか、あるいは一般公開情報（GitHub、公開資料など）や他社のデータの詰め合わせでないかを確認する。
脅威アクターのプロファイル確認: 当該脅威アクターの過去の活動歴（0バイトファイルの提供、他社データ流用など）を脅威インテリジェンスを通じて確認し、脅威のリアリティを評価する。
戦略的コミュニケーションと対外対応
迅速かつ正確な情報発信を行うため、法務・広報・外部機関との連携ラインを平時から確立しておきます。
事実に基づいた透明な説明: 調査の結果、侵害の証拠が確認されない場合は、「事実無根である」あるいは「侵害の事実は確認されていない」と冷静に発表することで、不必要な風評被害を最小限に抑える。
取引先・顧客へのフォロー: 虚偽の主張であっても、不安を感じるステークホルダーに対して、どのような調査を行い、何が判明したかを個別に、あるいは公式に説明し、信頼関係を維持する。
法執行機関との連携: 警察庁サイバー警察局やJPCERT/CCなどの外部機関に報告を行い、同様の被害情報の有無を確認するとともに、必要に応じて法的措置を検討する。
まとめ
0aptの脅威の本質は、データの侵害そのものよりも、攻撃者だけが詳細を知っているという「情報の非対称性」を突いた心理的な揺さぶりにあります。 企業に求められるのは、外部からの一方的な主張に対して過剰反応せず、客観的証拠に基づく自己検証を迅速に行う能力です。一方で、0aptが将来的に、今回獲得した資金や犯罪者コミュニティでの名声を用いて、実体のある高度な攻撃へとシフトする可能性も排除できません。したがって、今回の事案を単なる「狂言」として過小評価することなく、自社の検知・防御能力および危機管理体制を再点検し、サイバーレジリエンスを高めるための契機とすべきであると考えられます。
当サイトに掲載されている情報（記事、資料、動画、テンプレート等）については、その正確性および妥当性の確保に努めておりますが、ご利用に際しては、利用者ご自身の責任においてご判断ください。なお、個別の事情に応じては、専門家へのご相談を含め、適切な対応をご検討いただくことを推奨いたします。
