SonicWallの脆弱性を悪用するランサムウェア「INC Ransomware」の活発化が判明

要点

• セキュリティ企業Resecurityなどの報告により、SonicWall製VPN機器の脆弱性を悪用する主要なサイバー攻撃者として「INC Ransomware」が浮上した。

• 悪用されているのは、2026年7月中旬に対策パッチが公開された「SMA 1000」シリーズの2つの脆弱性で、これらを組み合わせることでデバイスの完全な乗っ取りが可能になる。

• 攻撃者は侵入後、多要素認証のシード情報やセッション情報を窃取し、社内ネットワークへの長期的なアクセス権を確保する手口を用いている。

• 被害者に対して、ハッカーを装う人物から「問題解決を支援する」という不審な電話やメールで交渉を迫る、新たな「圧力戦術」も確認された。

• 米セキュリティ企業のResecurityやRapid7などは、2026年8月初頭までに、SonicWall製のVPNアプライアンス（仮想専用線接続を行うための専用ネットワーク機器）「SMA 1000」シリーズに存在した深刻な脆弱性が、ランサムウェア（感染したコンピュータのデータを暗号化し、復旧と引き換えに身代金を要求する不正プログラム）グループ「INC Ransomware」によって精力的に悪用されている実態を明らかにした。このサイバー攻撃グループは、同脆弱性の対策パッチが公開された直後から活動を急速に拡大しており、世界各国の組織が標的になっているという。専門家は、被害の拡大を防ぐために迅速なシステムのアップデートとセキュリティ調査の実施を強く呼びかけている。

• Resecurityの週末の報告によると、INC Ransomwareは2026年8月に入ってから活動を顕著に活発化させている。同グループが運営するデータリークサイト（サイバー攻撃者が盗み出したデータを公開・暴露するために運営するWebサイト）には、新たな被害組織の名前が次々と追加されている状況だ。

• ランサムウェアの活動を追跡する統計サイト「Ransomware.Live」のデータによれば、同グループがこれまでに主張した被害件数は累計で885件に達しており、直近では8月2日にも新たな被害者がリストに掲載された。7月17日から8月1日までの間に新たにリストに追加された組織には、米国、オーストラリア、アラブ首長国連邦（UAE）、コロンビア、スイスといった多様な国の民間企業や政府機関が含まれているという。

• 今回の攻撃で悪用されているのは、SonicWallのセキュアモバイルアクセス（SMA）1000シリーズVPN機器における2つの脆弱性「CVE-2026-15409」および「CVE-2026-15410」である。これらの脆弱性は、組み合わせて悪用されることで、攻撃者が機器上で任意のシステムコマンドを実行し、最終的にVPN機器全体の制御権を奪取することを可能にする。

• SonicWallは2026年7月中旬にこれらの修正パッチを公開していたが、パッチが提供される前の段階から「ゼロデイ」（修正パッチが提供される前に脆弱性を悪用して行われる攻撃）として悪用されていたことが疑われている。

• セキュリティ企業のRapid7の分析によれば、攻撃者はVPN機器の制御を奪った後、ネットワーク内部へ侵入を広げる「ラテラルムーブメント（組織内での横展開）」のための足がかりを構築していた。具体的には、高価値の認証情報やアクティブな接続セッション情報のデータベースのほか、多要素認証（パスワードに加え、異なる要素を組み合わせてセキュリティを高める仕組み）で用いられるTOTP（時間ベースのワンタイムパスワード）のシード設定などの重要情報を抽出していた。これにより、長期間にわたって組織のネットワークへ不正にアクセスし続ける仕組みを確保していたという。

• 一方、別のセキュリティ企業Volexityの追跡調査では、公式発表前の2026年6月22日時点で、すでに「UTA0533」と名付けられた脅威アクター（サイバー攻撃を実行する主体やグループ）による悪用が始まっていたことが判明している。この初期の攻撃では、オープンソースの通信中継ツール「Suo5」を稼働させるためのPythonスクリプト「KNUCKLEBALL」の展開や、Webサーバーを遠隔操作するための不正なプログラム（ウェブシェル）である「ORANGETAIL」の導入が確認されていた。

• Rapid7のセキュリティディレクターを務めるダグラス・マッキー氏は、同社が調査したサイバー攻撃キャンペーンとの間に強い技術的な共通点が見られると指摘した。これは、単一の攻撃者、あるいは緊密に連携したグループが今回のゼロデイ脆弱性の発見と悪用を主導したことを意味しており、その結果として「INC Ransomware」がこの脆弱性チェーンを主要な武器として実戦投入するに至ったと説明している。

• 被害者に対するアプローチにおいて、極めて特異な手口も明らかになった。Resecurityによると、被害を受けた組織の多くが、ランサムウェア問題の「解決を支援する」と主張する未知の組織から電話やメールを受け取っていたという。

• 一部の被害事例では、「Andrew」と名乗る人物から電話番号「+1 (304) 384-0401」を通じて直接連絡があり、「ハッカーグループの者だ」と告げられた上で、ネットワークがすでに侵害されている事実を突きつけられた。この人物は通話の最後に、今後の交渉用として「info@helprans[.]com」という電子メールアドレスを提示し、通話を一方的に切断したという。セキュリティ専門家は、こうした連絡方法はランサムウェアグループが被害組織に対して支払いを迫るための新たな「圧力戦術」の一部であると見ている。

• SonicWallは、該当するSMA 1000アプライアンスを使用しているすべての顧客に対して、直ちに最新の修正バージョンへとアップデートを適用するよう勧告している。

• さらにResecurityは、パッチの適用にとどまらず、すでにネットワークへ侵入されている可能性を考慮した包括的な脅威ハンティング（ネットワーク内に侵入して潜伏しているサイバー脅威を能動的に探し出す活動）の実施を推奨している。具体的には、システムのログイン情報の変更や機器の整合性検証を行うことが重要であるとしている。また、外部から製品の特定の通信パス（/wsproxy）への不審なアクセスや異常なパラメータを用いた通信ログを洗い出し、それらを社内の認証ログや内部での不審な動きと突き合わせて相関分析を行うことが、潜在的な被害の特定に有効であるとアドバイスしている。