Halcyon Japanは8月18日、ランサムウェアオペレーションセンター（ROC）が観測した2026年7月のランサムウェア動向をまとめた月次レポート「ROC STARレポート」を公開した。その概要は以下のとおり。
●侵入は日中、暗号化は深夜：検知の69%は業務時間内、暗号化の89%は業務時間外
7月の検知データを各地域の現地時間に換算すると、検知全体の69%が現地時間6時〜18時の業務時間帯に発生していた。これには2つの理由がある。
一つは、フィッシングやソーシャルエンジニアリングといった初期侵入の手口が、端末が起動し、利用者が実際に操作していることを前提としているため。受信したメールを開き、リンクをクリックする人がいなければ、これらの手口は成立しない。
もう一つは、侵入後の環境の偵察が、業務時間帯のほうが紛れやすいため。攻撃者はこの段階で、新たなツールを持ち込まず、OSに標準搭載された正規のツールをそのまま悪用する「環境寄生型（Living off the Land）」の手法を用いる。同じ操作でも、日中であれば通常の業務や運用作業の中に埋もれてしまうが、深夜に実行されれば、それだけで不審な挙動として際立つ。攻撃者にとって、日中は最も目立たずに動ける時間帯である。
この傾向が唯一反転するのが、最終段階の暗号化。7月に観測された暗号化イベントの89%は業務時間外に発生し、その大半が利用者のログオフ中である深夜0時〜早朝6時に集中していた。攻撃者は、監視の目が薄くなる時間帯を待って暗号化を実行している。
●夜間の空白が被害を広げる
暗号化が深夜・早朝に実行されるということは、多くの組織で被害の発覚が翌朝の出社時になることを意味する。検知から対応までの数時間が、夜間の空白によって失われる。監視や初動対応が日中に偏っている組織ほど、この空白は大きくなる。
夜間の暗号化を防ぐ最大の機会は、その前の日中にある。初期アクセスや偵察の段階で捕捉できれば、深夜の暗号化には至らない。
●日中の侵入段階で止めきり、夜間は自動で遮断する
Halcyonのデータによれば、7月に観測した攻撃の99%を初期アクセスや偵察といった初期の段階で止めている。データの窃取や暗号化に至る前に阻止できた割合は99.8%以上。暗号化が深夜に実行される以上、対策の要は、日中の侵入段階で止めきることと、夜間に自動で遮断できる仕組みを持つことである。
関連リンク