企業を狙ったランサムウェア攻撃は年々巧妙化しており、業務停止や情報漏えいなど、事業継続に大きな影響を及ぼすケースもあります。なかでもBlackSuit（ブラックスーツ）は、組織を標的にした攻撃活動が確認されており、企業にとって注意すべき脅威の一つです。

ランサムウェア対策では、バックアップや端末保護といった技術的な対策が欠かせません。一方で、フィッシングメールの添付ファイルを開く、偽サイトで認証情報を入力するといった従業員の行動が、攻撃の入口になる場合もあります。

そのため、BlackSuitの被害を防ぐには、攻撃の特徴や侵入経路を理解し、技術対策と人的対策を組み合わせることが重要です。

本記事では、BlackSuitの基本的な特徴や被害事例、想定される攻撃手法を整理したうえで、企業が取るべき対策について解説します。

BlackSuitは、企業や公共機関、医療機関、教育機関など、幅広い組織で被害が確認・報告されているランサムウェアです。ネットワークへ侵入した後にデータを窃取し、端末やサーバーを暗号化することで、システム停止や情報漏えいにつながる可能性があります。

2023年頃から活動が確認されており、それ以前から攻撃を行っていたRoyalランサムウェアとの関連や、後継・リブランドである可能性が指摘されています。

攻撃者は、企業のネットワークへ侵入した後、顧客情報や従業員情報、社内文書などのデータを窃取します。そのうえで、端末やサーバー内のデータを暗号化し、業務を継続できない状態にして、復旧と引き換えに身代金を要求します。

また、窃取した情報を公開するとほのめかして支払いを迫る「二重脅迫」も確認されています。データの暗号化だけでなく、情報漏えいを組み合わせて企業へ圧力をかける点が、BlackSuitをはじめとする近年のランサムウェア攻撃の特徴です。

ランサムウェア被害は、バックアップからデータを復元できれば終わる問題ではありません。BlackSuitのようなランサムウェアでは、暗号化を行う前に、社内のデータを外部へ持ち出す場合があります。

そのため、システムを復旧できたとしても、どの情報が閲覧・窃取されたのかを調査し、顧客や取引先、従業員への通知を検討しなければなりません。復旧費用に加えて、原因や影響範囲の調査、問い合わせ対応、再発防止、信用回復などにも時間と費用がかかります。

企業には、バックアップを整えるだけでなく、不審なアクセスや大量のデータ転送を検知し、情報の持ち出しを防ぐ対策が必要です。併せて、従業員が不審なメールや端末の異常に気づき、早期に報告できる体制を整えることも、被害を抑えるうえで重要になります。

BlackSuitをはじめとするランサムウェアの被害は、端末やサーバーの暗号化だけにとどまりません。業務システムの停止、サービス提供への影響、情報漏えいなどが同時に発生し、復旧後も対応が長期化する可能性があります。

BlackSuitとの関連が報じられた国内の大規模な企業グループでは、2024年6月に複数のWebサイトへアクセスできなくなる障害が発生しました。調査の結果、データセンター内のサーバーがランサムウェアを含む大規模なサイバー攻撃を受けていたことが確認されています。

この攻撃により、一般利用者向けのWebサービスが停止したほか、社内業務や取引先とのやり取りにも影響が広がりました。システムやサービスは段階的に復旧されましたが、通常の事業運営へ戻るまでには長い時間を要しています。

さらに、攻撃後の調査では、従業員や関係者の個人情報、取引先に関する情報、社内文書などが外部へ流出したことも確認されました。ランサムウェア被害が発生すると、サービス停止への対応と並行して、漏えいした情報の調査や関係者への通知も必要になります。

出典：独立行政法人情報処理推進機構『情報セキュリティ白書2025 1章』を基に作成

BlackSuitによる攻撃では、最初から端末やサーバーが暗号化されるわけではありません。攻撃者は、メールや脆弱な外部接続環境などを起点に侵入し、ネットワーク内で権限や影響範囲を広げたあと、情報窃取や暗号化を行うと考えられます。

BlackSuitをはじめとするランサムウェア攻撃では、取引先や社内担当者を装ったフィッシングメールが侵入のきっかけになる場合があります。請求書、見積書、契約書、共有資料などを装い、添付ファイルや本文中のリンクを開かせる手口です。

リンク先では、不正ファイルをダウンロードさせたり、正規サービスに似せた偽のログイン画面で認証情報を入力させたりする場合があります。実在する取引先や日常的な業務連絡を装われると、受信者が不審に感じにくく、メールフィルタリングなどの技術対策をすり抜ける可能性もあります。

更新されていないVPN機器や外部公開システムも、ネットワークへの侵入口になり得ます。機器やソフトウェアに既知の脆弱性が残っていると、攻撃者に悪用され、社内環境へ侵入される可能性があります。

また、フィッシングや過去の情報漏えいによって盗まれた認証情報を使い、VPNやリモート接続環境へ不正ログインされる場合もあります。パスワードの使い回しや多要素認証の未設定は、不正アクセスのリスクを高める要因です。企業は、外部からアクセスできる機器やサービスを棚卸し、不要な接続経路やアカウントを削減することで、侵入リスクの低減につなげられます。

攻撃者はネットワークへ侵入すると、最初に侵害した端末を足掛かりとして、ほかの端末やサーバーへの移動を試みます。より高い権限を持つアカウントを取得し、管理者権限を使ってネットワーク内の重要なシステムへ到達する可能性があります。

その過程で、セキュリティ機能の停止やログの削除を試みるほか、遠隔操作ツールや管理ツールなど、社内で利用されている正規のソフトウェアを悪用する場合もあります。正規ツールを使われると、不審な動作を通常の管理作業と区別しにくくなるため注意が必要です。

最終的には、顧客情報や従業員情報、契約書などのデータを外部へ持ち出した後、複数の端末やサーバーを暗号化します。そのため、BlackSuit対策では入口をふさぐだけでなく、侵入後の横展開や大量のデータ転送、不審な権限変更を早期に検知することも重要です。

BlackSuitを防ぐには、侵入経路を減らす技術対策と、侵入後の被害を抑える仕組みを組み合わせる必要があります。従業員が不審なメールや偽サイトに気づき、操作を止めて早期に報告できる状態を作ることも重要です。

まずは、BlackSuitをはじめとするランサムウェアが社内ネットワークへ侵入する経路を減らします。VPN機器、OS、ソフトウェアを最新の状態に保ち、既知の脆弱性を放置しないことが基本です。利用していない外部公開ポートやサービス、不要なアカウントも停止します。

メール経由の侵入に備えて、メールフィルタリングや添付ファイル・URLの検査を導入します。また、VPN、クラウドサービス、管理画面には多要素認証を設定し、パスワードだけでログインできないようにします。EDR（※）やログ監視も活用し、通常と異なる通信やプロセスの実行、不審なログインなどを早期に検知できる環境を整えることが重要です。

※EDR（Endpoint Detection and Response）とは、パソコンやサーバーなどの端末上で不審な挙動を検知し、原因調査や対応を支援するセキュリティ対策のこと。

技術対策を整えても、侵入を完全に防ぎ切れるとは限りません。そのため、攻撃者がネットワークへ侵入した場合でも、被害が社内全体へ広がりにくい仕組みを用意する必要があります。

アクセス権限は業務上必要な範囲に限定し、管理者権限を過剰に付与しないようにします。ネットワークを分離することで、侵害された端末から重要なサーバーへ横展開されるリスクも抑えやすくなります。

重要データは定期的にバックアップし、実際に復元できるか確認することも欠かせません。バックアップは通常のネットワークから分離して保管し、攻撃時に同時に暗号化されないようにします。感染端末の隔離、アカウント停止、ログ保全などの初動手順も事前に決めておくことが重要です。

BlackSuit対策では、従業員が攻撃の入口で適切に判断できるようにする必要があります。不審メール、添付ファイル、クラウド共有リンク、偽のログイン画面など、実際に遭遇する可能性がある手口を具体的に教育します。

また、メールやリンクから開いた画面で認証情報を安易に入力しない習慣を身につけさせることも重要です。端末の動作が急に遅くなった、不審な警告が表示された、誤ってファイルを開いたといった場合の報告先も明確にします。

誤操作を責める運用では、従業員が報告をためらい、初動対応が遅れる可能性があります。早期報告を評価する文化を作り、技術対策をすり抜けた攻撃に気づき、操作を止めて報告できるよう、従業員の判断力を高めることが必要です。

座学だけでは、ランサムウェアへの感染が業務停止や情報漏えいへどのように発展するのかを実感しにくい場合があります。攻撃の名称や特徴を覚えるだけでなく、日常的な操作が被害につながる流れを実務に近い形で学ぶことが重要です。

『セキュアプラクティス®』では、BlackSuitへの感染や被害を題材としたシナリオを用意しています。疑似体験を通じて、不審な状況への気づき方や、感染後に企業へ生じる影響を具体的に理解しやすくなります。

BlackSuitに加えて、フィッシング、標的型攻撃メール、スミッシングなどのシナリオも学習できるため、複数の侵入経路を想定した人的対策に活用できます。管理者側で履修状況を確認できることから、対象者への受講案内や未受講者の確認など、組織的な教育運用にも取り入れやすい方法です。

BlackSuitは、企業のネットワークへ侵入し、情報窃取と暗号化を組み合わせて身代金を要求するランサムウェアです。被害が発生すると、システム停止や情報漏えいに加え、復旧・調査対応の長期化、顧客や取引先からの信用低下につながる可能性があります。

主な侵入経路としては、フィッシングメール、認証情報の窃取、脆弱性が残るVPN機器や外部公開システムなどが挙げられます。企業には、機器やソフトウェアの更新管理、多要素認証、EDRやログ監視、分離したバックアップなどの技術対策が必要です。

ただし、技術対策だけですべての攻撃を防ぎ切ることは簡単ではありません。不審なメールを開くか、偽サイトへ認証情報を入力するか、端末の異常に気づいて報告するかには、従業員一人ひとりの判断が関わります。

『セキュアプラクティス®』では、BlackSuitへの感染や被害を題材としたシナリオを用意しています。体験型学習を取り入れることで、ランサムウェアの脅威を具体的に理解し、「気づく・止まる・報告する」行動を組織内に定着させやすくなります。