ランサムウェア攻撃者からデータを奪還したと主張する「Ransom Busters」が出現、被害組織に最大6万ドルを要求

要点

• ランサムウェア被害組織に対し「攻撃者のサーバーから盗難データを削除する」と持ちかけ、2万〜6万ドルを要求する「Ransom Busters」の活動が確認された。

• セキュリティ企業GuidePoint Securityの調査により、善意の第三者ではなく、ランサムウェアのアフィリエイト自身が偽装して二重に金銭を要求している可能性が高いと判明した。

• 被害組織に接触した複数の事例において、使用ツールやホスト名、バックドアのパスワードなどに顕著な共通点が確認されている。

• あわせて、金融機関などを標的に多額の身代金を要求する脅威グループ「UNC6671」の活動実態も報告された。

• 米サイバーセキュリティ企業GuidePoint Securityの調査チーム（GRIT）は2026年8月18日、ランサムウェア被害組織に対して「攻撃者のサーバーからデータを削除する」と提案し、金銭を要求する新たな脅威アクター「Ransom Busters」の活動を報告した。

• 調査によると、同アクターは善意の支援者を装っているものの、実際にはランサムウェアの攻撃に関与したアフィリエイト（攻撃実行者）自身が、被害組織から追加の金銭を詐取するために自作自演を行っている可能性が高いという。

「救済者」を装い被害組織に直接接触する手口

Ransom Bustersは、ランサムウェア被害に遭った組織のCEOやIT部門の責任者に対して能動的に電子メールを送信し、接触を図っている。メールの中で同グループは、ランサムウェアをサービスとして提供する「RaaS（Ransomware-as-a-Service）」の管理パネルに脆弱性を発見し、3年以上にわたって攻撃者のサーバーに侵入し続けていると主張している。

さらに、直近でアクセスしたサーバー内にその被害組織から盗まれたデータを発見したと説明。データへのアクセス回復を支援し、ランサムウェアグループが保持するすべてのバックアップを削除する対価として、2万ドルから6万ドルの支払いを要求している。

通常、正当なサイバーセキュリティ企業が被害組織へ復旧支援を提案するのは、インシデントが公に知られた後であるのが一般的だ。しかしRansom Bustersは公表前の段階で接触してくる点に異常性がある。GuidePoint Securityが支援に費用を請求する理由を問い詰めたところ、グループ側は「無報酬で動けば攻撃者のインフラへのアクセス権を危険にさらすことになる」と不可解な説明を行ったという。

調査で判明した技術的痕跡と同一犯の疑い

GuidePoint Securityは、DragonForce、Settra、Anubisといったランサムウェアグループによるインシデント対応の過程でこの手口を確認した。Ransom Bustersが被害組織に接触した2つの異なるインシデントを詳細に分析した結果、攻撃に使われたツールやシステム設定に複数の共通点が浮かび上がった。

具体的には、ネットワーク内部の偵察を行う「SoftPerfect Network Scanner」、クラウドサービスであるAWS経由でデータを持ち出す「s5cmd」、そしてPowerShellスクリプトを用いて導入されたリモート監視・管理（RMM）ツール「Remotely」が共通して使用されていた。さらに、バックドア用のアカウント作成時に共通のパスワード「Numlock!123」が設定されていたほか、攻撃者が制御するホスト名として同一の「DESKTOP-BBETH6K」が検知された。

これらの技術的重複から、GuidePoint Securityは独立した第三者の組織ではなく、複数のRaaSに関与する単一のアフィリエイトが活動の背後にいると分析している。米国のコンピュータ不正利用防止法（CFAA）に違反する違法行為である可能性が極めて高く、犯罪者に身代金を支払っても盗まれたデータが確実に削除される保証はないとして、同社はこうした申し出を詐欺として扱うよう警告している。

認証情報窃盗を組織化する「UNC6671」の台頭

GuidePoint Securityは今回のレポートにおいて、2026年4月以降に活発化している脅威グループ「UNC6671」（別名Cordial Spider、O-UNC-045）による恐喝攻撃についても詳細を明かしている。同グループは、Falcon、Helix、Pink、Redact、BlackFileといった複数のブランド名を用いて、通信の間に介在して認証情報を盗み取る「AitM（Adversary-in-the-Middle）」攻撃を展開している。

UNC6671の手法は、不特定多数を狙う従来のランサムウェア攻撃とは異なり、大企業を狙い撃ちにする「ビッグゲームハンティング」へと移行している。対象期間中に5つの恐喝ブランドに関連する15個のビットコインウォレットへ800万ドル以上が支払われており、1件あたりの平均要求額は約60万ドルに達する。これまでに15の業界にまたがる76の組織を対象に、78件の専用フィッシングサブドメインが確認されており、そのうち40%がヘッジファンドやベンチャーキャピタル、資産運用会社などの金融サービス企業に向けられていた。

認証大手のOktaによる分析でも明かされているように、UNC6671は「Work Panel」と呼ばれる専用の管理コンソールを運用している。このシステムは役割ベースのアクセス制御や商用APIを活用した標的の事前調査、インフラの自動構築機能、OktaやMicrosoft 365を装ったテンプレートによるリアルタイムの認証情報中継機能を備えている。音声通話で騙す「ビッシング」を用いた認証情報窃盗の手口が、極めて高度かつ組織的に産業化されている実態が示されている。