※ 本ブログは、2026年6月2日にHP WOLF SECURITY BLOGにポストされた The Anatomy of a Destructive Attack の日本語訳です。

早朝、最初の通報が入ります。リモート勤務の従業員が自分のノートパソコンにアクセスできません。その間もなく、基幹業務アプリケーションが利用不能になります。ITチームがオフィスに到着する頃には、被害の全容が明らかになります。数千台ものエンドポイント端末が同時にデータ消去されてしまいました。身代金要求のメッセージはなく、バックアップも利用できず、ヘルプデスクにはパソコンが起動しないという従業員からの問い合わせが殺到しています。顧客やサプライヤーがシステムや情報にアクセスできない中、損失はすでに増大の一途をたどっています。

これは破壊的サイバー攻撃です。金銭的目的でデータを人質にするランサムウェアとは異なり、破壊的攻撃はシステムやデータを使用不能にすることを目的としています。攻撃者の目的は、システムに損害を与えたり、通常の業務を妨害したりすることで、復旧の手段を提示することではありません。

上記のシナリオは決して机上の空論ではありません。破壊的攻撃は、長きにわたり激化の一途をたどってきた歴史があります。2012年には、ワイパー型マルウェアのファミリーである Shamoon が、わずか数時間で数万台のワークステーションを破壊しました。2017年の NotPetya はランサムウェアを装っていましたが、実際には機能する復号ツールは存在しませんでした。このマルウェアは当初の標的を超えて拡散し、物流から製薬業界に至るまで組織の業務を混乱させ、世界全体で推定US＄100億の損害をもたらしました。2022年以降、その活動は激化しています。複数のワイパーファミリーが重要インフラに対して投入され、以後、ワイパーは数千万人の加入者にサービスを提供する通信ネットワークをはじめ、エネルギーインフラや政府システムをも標的にしています。

こうした攻撃は、数週間にわたる業務停止、データの永久的な消失、多大な経済的損害、評判の失墜、そして重要インフラにおいては人命の危険をもたらす恐れがあります。

最近では、ある医療テクノロジー企業に対する大規模な破壊的攻撃を受けて、関係当局は、組織に対し、デバイス群の管理において最小権限のアクセス原則を徹底し、特権アカウントの認証を強化し、デバイスのデータ消去など影響の大きい操作に対して承認プロセスを設けることで、デバイス群を保護するよう強く求めています。

大規模な被害は避けられないものではありません。破壊的攻撃には明確な認識可能なパターンがあり、各段階において、攻撃を検知し、阻止し、あるいはその進行を食い止める機会が存在します。適切な対策が講じられた強靭なエンドポイントインフラストラクチャは、1台のデバイスが侵害されただけで全システムがダウンするリスクを低減し、組織がより迅速に復旧することを可能にします。

破壊的攻撃は、一瞬にして起こるものではありません。それらは一連のアクションを経て進行し、その流れは、攻撃者の行動を理解するための業界標準モデルであるMITRE ATT&CKフレームワークと密接に関連しています。各段階について、攻撃者の行動、組織が防御するためにできること、そしてHPのソリューションが、こうした攻撃に直面した際に企業がレジリエンスを維持できるように、どのような具体的な機能を提供しているかを解説します。

何が起こるのか

攻撃者は破壊の前に、侵入経路を確保する必要があります。最近では、その侵入経路として、盗まれたセッショントークンや、盗まれたユーザー名とパスワードが利用されるケースが増えています。

偵察の過程で、攻撃者はMicrosoft Entra ID のようなIDおよびアクセス管理プラットフォーム、デバイス管理コンソール、VPNゲートウェイ、リモートアクセスポータル、クラウド管理インターフェースなど、価値の高いアクセスポイントを特定します。これらのシステムが侵害されると、多数のデバイスへのアクセスが可能になります。こうした活動で収集された認証情報やトークンは、その後、地下マーケットプレイスやイニシャルアクセスブローカーからなる成熟したエコシステムを通じて取引されます。

また、一部の攻撃者は自らアクセス権を取得するのではなく、こうしたマーケットを利用してアクセスを購入します。彼らは、インフォスティーラーによって収集された、ユーザー名、パスワード、セッショントークン、ブラウザのクッキーなど、標的企業の従業員のすでに盗まれた認証情報を探します。インフォスティーラーは、一般的にフィッシングメール、悪意のあるダウンロード、改ざんされた検索結果、または侵害されたWebサイトを通じて配布されます。有効な認証情報やセッショントークンを入手すれば、攻撃者は初期アクセスに必要なものを手に入れ、破壊的攻撃の準備を開始することができます。

サプライチェーンへの侵害は、別の侵入経路を提供し、攻撃者が信頼されたソフトウェア、サービスプロバイダー、または管理プラットフォームを経由して、間接的に標的にリーチすることを可能にします。

防御の方法

特権ユーザーや管理者から始め、すべてのアカウントに対して、フィッシング対策に効果的な多要素認証（MFA）を徹底してください。脅威インテリジェンス情報を監視し、組織に関連する漏洩した認証情報やセッショントークンがないか確認しましょう。Eメールの添付ファイル、ダウンロード、ブラウザのセッションなどの、ホストシステム上の信頼できないコンテンツがアクセスできる範囲を制限することで、エンドポイントのアタックサーフェスを縮小してください。

ソーシャルエンジニアリングを見抜けるようスタッフを教育する必要がありますが、教育だけに頼ってはいけません。悪意のあるコンテンツの一部がエンドポイントに到達することを想定し、その場合にそれを封じ込めるための対策を講じましょう。

HPはどのようにサポートできるのか

認証情報の盗難を目的とした攻撃の多くは、Eメールの添付ファイルを開く、ファイルをダウンロードする、あるいは侵害されたWebページにアクセスするなど、たった1回のクリックから始まります。検知に基づく防御では、こうした脅威の多くを阻止できますが、すべての阻止をできるわけではありません。HPの脅威リサーチによると、2026年第1四半期において、HP Wolf Securityによって阻止されたEメール経由の脅威のうち、少なくとも11％が1つ以上のEメールスキャナーをすり抜けていたことが判明しました。

組織には、リスクのあるコンテンツとのやり取りが認証情報の盗難につながらないようにする管理策が必要です。信頼できないファイル、リンク、およびブラウザの動作は、ホストOSや、保存された認証情報やセッショントークンなどの重要なデータから隔離されるべきです。HP Sure Click Enterpriseは、ハードウェアによって強制されるマイクロ仮想マシンを通じてこれを実現し、悪意のあるコンテンツをそのやり取りが行われる時点で封じ込めます。

何が起こるのか

侵入に成功すると、攻撃者は自身のアクセスを確認し、その権限を拡大する方法を模索します。ユーザー、グループ、デバイス、管理ロール、クラウドリソース、デバイス管理プラットフォーム、およびリモートアクセス経路を網羅的に調査します。その目的は、環境全体を制御するシステムを特定することにあります。

破壊的攻撃では、この段階に特徴的なパターンがあります。攻撃者は、破壊的ペイロードを展開する前に、組織の復旧機能を標的とすることがよくあります。バックアップおよび復旧システムは、初期段階から優先的に狙われる対象となります。また、デバイス管理プラットフォーム、ハイパーバイザーコンソール、クラウド管理インターフェース、リモート監視ツールも、インフラ全体に変更を反映させたり、保護機能を無効にしたり、復旧を妨げたりすることができるため、重要な標的となります。

パスワードや多要素認証（MFA）のリセットにおける不十分な本人確認、MFAの未導入、権限が過剰なアカウント、および制限が不十分な管理者セッションは、攻撃者にラテラルムーブ、データの一斉消去の準備、および復旧作業への妨害を行うために必要なアクセス権を与えてしまう可能性があります。

防御の方法

まず、自社のアタックサーフェスを把握してください。環境内のすべての管理コンソール、リモートアクセス経路、および認証システムを特定してください。これらは、最も強力な保護が必要な資産です。

次に、管理用アクセスに対してより厳格な管理策を適用してください。特権セッションにはフィッシング攻撃に耐性のある多要素認証（MFA）を必須とし、それらのセッションの接続元を制限してください。パスワードやMFAのリセットについては、特にサポート業務を外部委託している場合、堅牢な本人確認を実施してください。電話一本だけで特権アカウントのリセットが行われるようなことは、決してあってはなりません。

CISA、NIST、ENISA、および英国のNCSCなどの専門機関のガイダンスに従い、バックアップインフラストラクチャを保護してください。本番ネットワークからはアクセスできない、書き換え不能かつオフラインのバックアップコピーを維持してください。通常とは異なるソースからのログイン、一括コマンドの実行、メンテナンス時間帯外でのポリシー変更、バックアップシステムへの予期せぬアクセスなど、異常なアクセスを監視してください。管理用インターフェースを一般ネットワークから分離し、それらへの接続を開始できるシステムを制限してください。

攻撃者がID管理システム、デバイス管理プラットフォーム、またはバックアップインフラを侵害したといったシナリオを含め、現実的な演習を通じてディザスタリカバリ計画を検証しましょう。

HPはどのようにサポートできるのか

ラテラルムーブを制限するため、特権管理者はホスト端末の完全性を前提とすべきではありません。バックアップ、ハイパーバイザー、クラウド、およびリモート監視システム向けの管理セッションは隔離し、ホスト上のマルウェアがキー入力、画面内容、クリップボードのデータ、またはセッションメモリにアクセスできないようにする必要があります。HP Sure Access Enterpriseは、重要な管理業務向けに独自の保護セッションモデルを提供します。高度な隔離技術を採用しており、エンドポイントが侵害された場合でも管理セッションを保護し続けます。これにより、エンドポイントが、大規模なデータ消去の準備に必要な企業システムへの侵入経路として悪用されるのを防ぎます。

何が起こるのか

攻撃者は、これでデータの消去を開始する準備が整いました。場合によっては、起動に不可欠なデータを破壊し、デバイスが起動しなくなるようなワイパーマルウェアとして攻撃が行われることもあります。また、身代金を要求するメッセージを伴うランサムウェアを装うこともありますが、実際に機能する復号ツールは存在せず、そもそもそのようなツールが提供される意図は最初からありません。

また、場合によっては、攻撃者は組織自身の管理ツールを悪用し、全端末に対して一斉にリモートワイプや工場出荷時設定へのリセット、あるいは一括削除を実行します。この時点で、攻撃者は業務を妨害するという目的を達成したことになります。

防御の方法

現在、復旧の速さが最も重要となっています。IBMの2025年版「データ侵害のコスト」レポートによると、200日以内に収束したデータ侵害の平均コストは361万米ドルであったのに対し、それ以上の期間を要したデータ侵害の場合は549万米ドルでした。

攻撃者がすでに制御している可能性のあるインフラに依存しない、検証済みの復旧プロセスを維持してください。また、OSより下層での侵害は、システムの再構築後も存続し、OSレベルのセキュリティツールを回避する可能性があるため、ファームウェアの完全性も復旧計画の一部として組み込む必要があります。

HPはどのようにサポートできるのか

OSを確実に復旧するには、まずそのデバイスが信頼できるものである必要があります。HP Sure Startは、起動時にファームウェアの完全性を検証し、デバイスの稼働中はランタイムシステム管理コードを監視して改ざんがないかを確認することで、システムファームウェアを保護します。侵害が検知された場合、ハードウェアは、ローカルデバイス上に安全に保存されている、暗号的に検証済みのファームウェアイメージから自動的に復旧することができます。

これが重要なのは、その下にあるファームウェアが改ざんされている場合、クリーンなOSイメージだけでは不十分だからです。HP Sure Startは、まずファームウェアの完全性を検証し復元することで、OSの復旧が、改ざんされたシステムの上ではなく、信頼できるデバイス基盤から開始されることを保証します。

HP Sure Recoverは、ローカルOSが信頼できなくなった場合に、信頼できるソースからエンドポイントを復旧します。ネットワークリソースからダウンロードしたOSイメージに対し、ハードウェアによる暗号学的検証を行うことで、OSの自動イメージジングをサポートしています。また、 Embedded Reimaging または Enhanced Local Storage を利用することで、対応デバイスは隔離された専用のローカルストレージを使用でき、ネットワークアクセスに依存しない高速なローカル復旧を実現します。

大規模なデータ消去が発生した後、この組み合わせにより、手動でのリビルドへの依存度を低減し、エンドポイント全体の迅速かつ信頼性の高い復旧を実現します。

破壊的攻撃に対処するには、業務への支障を最小限に抑えるよう設計されたレジリエンスモデルが必要です。最優先事項は、侵害を未然に防ぐこと、侵害されたエンドポイントがアクセスできる範囲を制限すること、破壊的なペイロードが展開された後も信頼性を維持できる復旧方法を確保することです。

HPのテクノロジーは、このレジリエンスモデルを現実的なものにするのに役立ちます。脅威の封じ込め機能により、リスクのあるファイル、リンク、Webサイトがホストに到達する前に隔離されます。保護アクセス機能は、管理セッションをローカルエンドポイントから分離します。HPの第三者認機関による認証済みのハードウェアであるエンドポイント・セキュリティ・コントローラーは、OSの下層でレジリエンスとエンドポイント・ファームウェアの完全性を確保するとともに、セキュアなOS復旧機能をサポートし、全デバイスの復旧とデータの復元を支援します。これらの管理策を組み合わせて導入することで、破壊的攻撃の実行を著しく困難にし、数千台の画面が真っ暗になり、数週間にわたる業務中断を招くような、全デバイス規模の障害が発生する可能性を低減します。

• HP Sure Click Enterprise
• HP Sure Access Enterprise
• HP Sure Recover
• HP Sure Start

Author : Alex Holland

監訳：日本HP