米Halcyonは、ランサムウェアの手口として「暗号化より先にバックアップを消す」動きが目立ち、OSの標準機能を悪用する「環境寄生型」（Living off the Land）攻撃のアラートが前月比72.0％増加したとする「ROC STARレポート：2026年8月版」を公表した。
事案の詳細
Halcyonがまとめた同レポートによると、攻撃者がデータを暗号化して身代金を要求する段階に入る前に、復旧の要となるバックアップや復元ポイントを削除しようとする傾向が強まっている。バックアップが先に失われると、暗号化による業務停止が起きた際に、組織側が自力で元に戻す選択肢を奪われやすくなるためだ。
同レポートでは、攻撃者がOSに標準で備わる機能を悪用する事例が増えている点が示された。攻撃用のツールを新たに持ち込むのではなく、OSに元から入っている正規機能を流用する「環境寄生型」攻撃のアラートが前月比で72.0％増加したとされる。具体的には、Windowsが自動的に取得している復元用スナップショット（シャドウコピー）を管理するためのコマンド「VSSAdmin」が、2026年8月の悪用ツールランキングで前月から2つ順位を上げ、15組織で観測されたと報告されている。
VSSAdminは本来、管理者が復元ポイントやシャドウコピーを管理するために用いる正規のコマンドだが、攻撃者が用いると暗号化の直前に復元ポイントをまとめて削除する手段となる。同社は、攻撃者がこうした手順を踏む理由について、データを暗号化しても企業がバックアップや復元ポイントから自力で復旧できてしまえば、身代金を支払うインセンティブがなくなるためだと考察している。
レポートの主眼は、ランサムウェアを「暗号化の実行」だけで捉えるのではなく、その前段階で復旧手段を破壊する動きが拡大している点にある。復旧用データや復元ポイントの削除が先行することで、被害発生後の選択肢が狭まり、組織の対応がより困難になり得ることが示唆される。
影響と背景
OS標準機能の悪用が増えるという指摘は、攻撃が特殊なツールだけで成立するわけではない現実を浮き彫りにする。企業内で日常的に使われる機能が攻撃に利用されると、単純な「未知の不審プログラム」の検知に依存した対策だけでは追随しにくくなり、バックアップの保全や復旧設計の重要性が相対的に高まる。
特に、環境寄生型攻撃では、管理者権限で実行されるOS標準コマンドや管理ツールが悪用されるため、従来型のマルウェア検知だけでは見逃されるリスクがある。バックアップや復元ポイントの削除、システム復元機能の無効化など、復旧を妨げる操作が暗号化の前段階で行われることから、バックアップの設計・保管方法・権限管理を含めた「復旧のしやすさ」そのものがセキュリティ上の重要な論点になっている。
対策・今後の展望
- バックアップの保全を優先：暗号化の前にバックアップが狙われる前提で、バックアップや復元ポイントが削除・改ざんされにくい運用を見直す。バックアップの世代管理・異なる場所への保管・オフラインバックアップの活用なども検討する。
- OS標準機能の利用状況を把握：標準機能が業務でどう使われているかを棚卸しし、通常と異なる使われ方が起きた際に気づける監視や手順を整える。特に、VSSAdminなど復旧関連機能を操作するコマンドについては、誰がいつ実行したかを把握できるログ管理・監視体制を検討する。
- 復旧手順の確認：バックアップからの復旧が実際に可能かを、手順面・権限面・保管面から点検し、緊急時に迷わず実行できる状態にする。復旧訓練や手順書の整備、復旧に必要な権限の確認などを定期的に行う。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIの中小企業支援では、診断時点でバックアップの保管先や権限設計が曖昧なまま運用されている例が多く見られます。MDRのアラートでは、管理者権限の操作とあわせて「復旧用データの削除につながる動き」を追う必要が増えています。
【観点②：平易な解説】例えるなら、泥棒が金庫を壊す前に「合鍵と予備の鍵」を先に捨てるようなものです。つまり、データを暗号化される前に戻す手段を奪われると、被害が起きた後に自社で立て直すのが一気に難しくなります。
【観点③：今週中にできること】まず、バックアップがどこにあり誰が削除できるかを確認し、削除できる権限を最小限に絞れるか担当者と見直してください。次に、OS標準機能の利用状況を棚卸しし、普段使わない管理操作が出たらすぐ連絡するルールを決めましょう。
参照: ランサムウェアは「暗号化より先にバックアップを消す」、OS標準機能の悪用が前月比7割増〜Halcyonがレポート 「ROC STARレポート：2026年8月版」