LockBit Ransomware-as-a-Service (2019)（ロックビット）
2019年に登場した、RaaS（サービスとしてのランサムウェア）モデルを採用する世界最大級のサイバー犯罪エコシステム。高度な暗号化技術とアフィリエイト制度を駆使し、多額の身代金を要求することで知られる。
概要
LockBitは、単なるマルウェアの名称ではなく、サイバー犯罪者が「サービス」として利用できるプラットフォーム（RaaS: Ransomware-as-a-Service）を指します。2019年の登場以来、開発者と実行犯（アフィリエイト）が役割を分担し、高度に組織化されたビジネスモデルを構築してきました。暗号化技術の高速化と、データの窃取による「二重脅迫」を組み合わせることで、世界中の数千もの企業に対して甚大な経済的損失を与えてきました。2024年の国際的な法執行機関による大規模な摘発（Operation Cronos）を経た後も、その攻撃インフラの一部は再構築されており、次世代の自動化された脅威へと進化を続けています。
バージョン別進化の特性
LockBitは、技術的要件の変化に合わせて段階的なアップデートを繰り返してきました。各フェーズにおける主要な焦点は以下の通りです。
| フェーズ | 主な技術的焦点 | 攻撃の性質と影響 |
|---|---|---|
| 初期モデル (2019) | 暗号化アルゴリズムの実装とアフィリエイト募集 | 標的型攻撃の基盤となるエコシステムの構築。 |
| 2.0世代 (2021) | 暗号化プロセスの高速化・自動化技術 | 大規模なネットワークへの迅速な拡散と被害拡大。 |
| 3.0世代 (2022) | 検知回避技術（EDR/AV対策）の高度化 | 高度なセキュリティ製品をすり抜ける隠蔽性の向上。 |
| 4.0世代 (2024~) | 最新の脆弱性利用と自動展開機能の統合 | 攻撃の自動化が進み、より検知が困難な持続的脅威へ。 |
攻撃モデルの比較：従来型 vs RaaSモデル
LockBitが従来のランサムウェアと決定的に異なるのは、その「ビジネス構造」にあります。
| 比較項目 | 従来の単発型ランサムウェア | LockBit（RaaS）モデル |
|---|---|---|
| 開発・実行 | 同一の攻撃者が開発と侵入の両方を行う | 開発者（運営）と実行犯（アフィリエイト）が分離 |
| スケーラビリティ | 攻撃者のスキルに依存し、規模が限定的 | 攻撃手法を「外注」できるため、爆発的な拡大が可能 |
| 収益分配 | 全ての利益が単一の組織に帰属 | 開発者とアフィリエイト間で報酬を分配する仕組み |
| 技術更新 | 攻撃者が自らコードを修正する必要がある | 運営側が常に最新の回避技術をアップデートして提供 |
関連用語との違い
LockBitを理解する上で混同しやすい概念との違いを整理します。
- Malware（マルウェア）との違い: マルウェアは悪意のあるソフトウェア全般を指す総称であり、LockBitはその中でも「身代金要求」という特定の目的と「RaaS」というビジネスモデルを持つ具体的なブランド名です。
- Double Extortion（二重脅迫）との違い: これは攻撃の手法を指します。データを暗号化するだけでなく、「公開すると脅す」ためにデータを事前に窃取する手法です。LockBitはこの手法を標準的な運用として確立させた主要なプレイヤーの一つです。
- Conti / REvil との違い: これらはLockBitと同様のRaaSモデルを採用していた競合する犯罪グループです。これらが解体・再編される中で、LockBitはより強固なインフラを維持し続けてきました。
FAQ
Q1: 「Operation Cronos」によって攻撃は完全に終息したのですか？ A1: いいえ、完全な終息には至っていません。2024年2月の国際共同捜査により、C2サーバーの押収や運営者の特定が進み、インフラの一部が破壊されました。しかし、攻撃グループの残党は依然として活動を継続しており、既存の資産を利用した再編や、新しい名称での活動が確認されています。
Q2: なぜこれほどまでに多くの企業が被害に遭うのですか？ A2: LockBitのRaaSモデルは、高度な技術を持たない攻撃者でも「使いやすいツール」を提供しているためです。アフィリエイト（実行犯）が脆弱性スキャンや初期侵入を容易に行える仕組みが整っており、これが世界規模での被害拡大を支えています。
Q3: 2025年以降の防御策として何に注力すべきですか？ A3: 単なるウイルス対策ソフト（AV）の導入だけでは不十分です。LockBitはEDR（Endpoint Detection and Response）などの高度な検知を回避する技術を強化しています。そのため、振る舞い検知に基づいた監視、ネットワークのゼロトラスト化、およびデータのバックアップと復旧プロセスの徹底的な検証が不可欠です。