攻撃者が求めるのは高度な技術より「再現性」——主要セキュリティ調査が示すサイバー攻撃の標準化

要点

• Microsoftの観測によると、ユーザー自身にコマンドを実行させる「ClickFix」が初期侵入の47%を占め最多となった。

• Bitdefenderが分析した70万件のインシデントでは、深刻度の高い事案の84%で端末に最初から存在する正規ツールが悪用されていた。

• Verizonの最新報告書（DBIR）では、脆弱性の悪用による侵入が前年比55%増の31%に達し、最大の初期侵入要因となった。

• ランサムウェア組織の間では確立された攻撃手順（プレイブック）の再利用が進み、技術的な高度さよりも再現性と処理量が競われている。

• セキュリティ各社が公表した最新の脅威データにより、サイバー攻撃者が高度で独自性の高い攻撃手法の開発よりも、手順化された再現性の高い手法を大量に展開する傾向を強めている実態が明らかになった。MicrosoftやBitdefender、Verizonなどの調査結果によると、ユーザーを誘導する手口や公開された検証コードの流用、端末内の正規ツールの悪用など、準備コストを抑えて標準化された攻撃が侵入の大半を占めているという。

誘導と正規ツールの悪用による侵入の定着

Microsoftが公開した「デジタル防衛レポート2025」によると、同社が通知した攻撃の中で最も多く確認された初期侵入手法は「ClickFix」と呼ばれる手口で、全体の47%に達した。ClickFixは、Webサイト上で「ロボットではないことを証明してください」といった偽の指示を表示し、利用者のクリップボードに密かにコマンドを配置した上で、ターミナルを開いて貼り付け・実行させるソーシャルエンジニアリング（人間の心理的な隙を突く手口）の一種である。この手法では悪意あるファイルが添付されないためスキャンによる検知が難しく、システムの脆弱性も利用しないためパッチ適用による直接的な防御が機能しない特徴を持つ。

さらに侵入後の活動においても、新たなマルウェアを持ち込まない手法が主流となっている。Bitdefenderが70万件のセキュリティインシデントを調査した結果では、重大度の高いインシデントの84%において、システムに最初からインストールされている正規の管理用バイナリが悪用されていた。これらはIT管理者が日常業務で使用する正規ツールであるため、攻撃者は不正なプログラムを外部から持ち込むことなくシステム内部での探索や権限昇格を進めることができると報告されている。

公開PoCと自動スキャンによる脆弱性攻撃の急増

侵入経路の全体的な傾向としても、高度なスキルを要する個別攻撃から自動化しやすい手法への移行が進んでいる。Verizonが発行した最新の「データ漏洩侵害調査報告書（DBIR）」によると、初期侵入経路に占める脆弱性の悪用の割合は前年の20%から31%へと上昇し、1年間で55%の増加を記録した。これは同レポートのデータセットの中で最も顕著な侵入経路となっている。

特にインターネットに直接接続された機器を標的とした攻撃において、この標準化の手順が顕著に見られる。認証不要でリモートコード実行（遠隔からの不正なプログラム実行）が可能な脆弱性が公開されると、数日以内にGitHubなどの公開リポジトリでPoC（概念実証コード）が共有されるケースが多い。攻撃者は自らエクスプロイトを開発することなく、公開されたコードを用いてインターネット全体を自動スキャンし、パッチが未適用のアカウントや機器を網羅的に狙う手法を採っている。

ランサムウェア組織における「手順書」の再利用と処理量競争

こうした攻撃の標準化は、ランサムウェア集団の運用形態にも現れている。ランサムウェアのリークサイトにおける被害報告件数では、1年以上にわたり約1,600件（月間100件超）の被害を主張してきた「Qilin」に対し、2026年6月には「The Gentlemen」が121件の被害を主張し、Qilinの80件を上回って首位に立った。これらはグループ自身の自己申告データではあるものの、上位を争う要因が技術的な特異性ではなく、どれだけ多くの標的に手順を適用できたかという処理量（スループット）にあることを示している。

Bitdefenderの2026年7月の脅威レポートによると、The GentlemenはQilinの元アフィリエイトから派生した組織であり、成功した攻撃手順（プレイブック）を再利用・改良して規模を拡大していることが確認された。攻撃組織が保有する強みは、独自のエクスプロイトや秘密のツールそのものよりも、他者に引き継いで繰り返し実行できる確立された手順そのものに移行していると分析されている。

補足

近年のサイバー脅威においては、ゼロデイ脆弱性の発見や独自ツールの開発に依存せず、公開情報や既存ツールを組み合わせた再現性の高い手順を迅速に実行する組織的な分業と標準化が定着している。