LockBitとは？RaaS型ランサムウェアの仕組み・LockBit 5.0・攻撃手法・対策を解説

LockBit（ロックビット）は、単なる「ファイルを暗号化するマルウェア」ではありません。

ランサムウェアを開発・運営する側と、実際に企業へ侵入する攻撃者を分業させたRaaS（Ransomware as a Service）型の犯罪エコシステムとして理解することが重要です。

2024年2月には、日本を含む各国捜査機関による国際共同作戦「Operation Cronos」によって主要インフラがテイクダウンされました。日本警察も捜査へ参加し、LockBitで暗号化されたデータの復号ツールを開発しています。

しかし、それで完全消滅したわけではありません。

Europolの「IOCTA 2026」によると、LockBitは2025年に複数回の再起を試み、同年9月にはLockBit 5.0を公開しました。一方、2025年5月にはLockBit自身が情報漏えいを受け、ビルド情報や被害者との交渉メッセージなどが流出し、その後の活動は大きく低下したとされています。

つまりLockBitを理解するときは、

「昔有名だったランサムウェア」

ではなく、

RaaS
  ↓
Affiliateによる侵入
  ↓
情報窃取
  ↓
暗号化
  ↓
公開脅迫
  ↓
法執行機関による破壊
  ↓
再構築・新バージョン

という犯罪組織・マルウェア・サービス基盤が一体になった仕組みとして見る必要があります。

結論・要点

この記事の要点

• LockBitはランサムウェア名であると同時に、RaaS型の犯罪グループ・犯罪基盤を指す名称でもある。
• LockBitでは開発・運営者とAffiliateと呼ばれる攻撃実行者が分業する仕組みが採用されている。
• LockBitは暗号化だけでなく、情報窃取と公開脅迫を組み合わせる二重脅迫を行ってきた。
• 2024年2月のOperation CronosによってLockBitの主要インフラは国際共同捜査で大きく破壊された。
• 日本警察はLockBitで暗号化されたファイルを復号するツールを独自開発した。
• LockBitは2025年9月にWindows・Linux・VMware環境を対象とするLockBit 5.0を公開した。
• LockBit 5.0では暗号化速度や解析妨害機能などが強化されたとEuropolが報告している。
• LockBit攻撃には特定の侵入方法が一つだけ存在するわけではなく、AffiliateごとにTTPが異なる。
• VPNや公開サービスの脆弱性、盗難認証情報、フィッシングなどを初期侵入対策として監視する必要がある。
• EDRだけでなくMFA、IPS/NDR、最小権限、ネットワーク分離、バックアップを組み合わせた多層防御が必要である。
• LockBit被害では警察庁開発の復号ツールを利用できる可能性があるが、すべてのバージョン・ファイルを復号できるとは限らない。

この記事で分かること

この記事では、LockBitを次の順番で理解します。

LockBitとは何か
      ↓
RaaSとは何か
      ↓
誰が攻撃しているのか
      ↓
どのように侵入するのか
      ↓
何が盗まれるのか
      ↓
どう暗号化されるのか
      ↓
Operation Cronosで何が起きたのか
      ↓
LockBit 5.0は何が違うのか
      ↓
どう確認するのか
      ↓
どう防ぐのか
      ↓
感染したらどうするのか

特定のIOCだけではなく、攻撃ライフサイクル全体を防御する考え方まで扱います。

対象読者・前提環境

この記事は次の読者を対象としています。

• 情報セキュリティマネジメント試験を勉強している人
• 基本情報技術者試験を勉強している人
• 情報処理安全確保支援士を勉強している人
• 社内SE
• インフラ担当者
• SOC・CSIRT担当者
• Windowsサーバーを管理している人
• Linuxサーバーを管理している人
• VMwareなど仮想化基盤を運用している人
• EDR・IPS・NDR・SIEMを運用している人

LockBitとは

LockBitは、ランサムウェアファミリーと、そのランサムウェアを提供する犯罪グループの名称です。

米司法省によると、LockBitのグループは2019年ごろから活動し、RaaSモデルを利用して世界中の組織を攻撃してきました。米司法省が2025年3月に公開した資料では、少なくとも120か国、2,500以上の被害組織が攻撃され、少なくとも5億ドルの身代金が支払われたとしています。

対象には、

• 企業
• 病院
• 学校
• 非営利組織
• 重要インフラ
• 政府機関
• 法執行機関

などが含まれています。

LockBitは「1人のハッカー」ではない

ここを最初に理解すると分かりやすくなります。

LockBitは、

天才ハッカー
    ↓
全部一人で攻撃

という仕組みではありません。

基本的には、

┌──────────────────┐
│ LockBit開発・運営側             │
│ Developer / Administrator       │
│                                  │
│ ・ランサムウェア開発            │
│ ・Builder                        │
│ ・管理パネル                     │
│ ・リークサイト                   │
└──────────┬───────┘
           │
           │ 攻撃基盤を提供
           ▼
┌──────────────────┐
│ Affiliate                        │
│                                  │
│ ・企業へ侵入                     │
│ ・内部探索                       │
│ ・情報窃取                       │
│ ・LockBitを展開                  │
│ ・身代金要求                     │
└──────────┬───────┘
           │
           ▼
        被害組織

という構造になっています。

米司法省も、LockBitのDeveloperがマルウェアコードとインフラを維持し、Affiliateが実際の攻撃を実行していたと説明しています。

RaaSとは

RaaSは、

Ransomware as a Service

の略です。

普通のサービスにたとえるなら、

「犯罪者向けのランサムウェア攻撃基盤」

です。

ただし、合法的なSaaSとは当然まったく異なります。

LockBitでは、

Developer
   │
   ├─ ランサムウェア
   ├─ Builder
   ├─ 管理パネル
   ├─ リークサイト
   └─ 攻撃用インフラ
        ↓
     Affiliate
        ↓
     実際に攻撃
        ↓
      被害企業
        ↓
      身代金

という分業が行われてきました。

米司法省によると、LockBitでは開発・管理側が身代金の約20%、Affiliateが約80%を受け取る仕組みが使われていたとされています。

LockBit攻撃では何が起きるのか

LockBit攻撃を単純化すると、

① 外部から侵入
        ↓
② 内部ネットワークを探索
        ↓
③ より強い権限を取得
        ↓
④ サーバーや重要情報を探索
        ↓
⑤ 重要データを収集
        ↓
⑥ データを外部へ持ち出す
        ↓
⑦ LockBitを展開
        ↓
⑧ ファイルを暗号化
        ↓
⑨ 身代金要求
        ↓
⑩ 支払わなければ情報公開と脅す

という流れになります。

ただし、Affiliateごとに攻撃方法が違うことが重要です。

CISAも、LockBitは多数の独立したAffiliateを抱えているため、確認されるTTPが大きく異なると説明しています。

1. 最初に企業へ侵入する

LockBitだから特別な「LockBit専用侵入方法」があるわけではありません。

攻撃者は、

VPN
RDP
公開サーバー
脆弱性
盗難ID・パスワード
フィッシング

など、一般的な侵入方法を利用します。

例えばCISAは、LockBit 3.0 AffiliateがCitrix NetScalerの脆弱性**CVE-2023-4966（Citrix Bleed）**を実際に悪用した事例を公表しています。

LockBitとCVE-2023-4966

LockBitそのものに「CVE-2023-4966がある」という意味ではありません。

正しくは、

LockBit Affiliateが侵入口としてCVE-2023-4966を悪用した

です。

CISAは、この脆弱性によってパスワードやMFAを迂回する形でセッションを悪用される可能性について警告しました。

重要なのは、

パッチを当てた
      ↓
必ず安全

ではないことです。

すでにセッションや認証情報が盗まれている場合には、侵害済みセッションの無効化や認証情報の再確認も必要になります。

2. 内部を探索する

侵入後、攻撃者はすぐに暗号化を始めるとは限りません。

まず、

どんな端末がある？
どんなサーバーがある？
Active Directoryは？
管理者は誰？
バックアップは？
仮想化基盤は？
重要ファイルはどこ？

と調べます。

つまり防御側にとって、

ランサムウェアが起動した瞬間

が最初の検知チャンスではありません。

その前の、

Discovery
Privilege Escalation
Credential Access
Lateral Movement

で見つけることが重要です。

3. 情報を盗む

LockBitは単純な暗号化だけではなく、二重脅迫を利用してきました。

重要情報
   │
   ├──→ 外部へ窃取
   │
   └──→ 暗号化

その後、

「復旧したければ払え」
        ＋
「公開されたくなければ払え」

と圧力を掛けます。

LockBitではStealBitという情報持ち出し用ツールも確認されています。

米司法省は、2025年に米国へ身柄を移送されたLockBit開発者の端末から、複数バージョンのLockBit Builderに加え、StealBitのソースコードも確認されたと公表しています。

StealBitとは

簡単に言えば、

盗んだファイルを攻撃者側へ持ち出すためのツール

です。

攻撃イメージは、

ファイルサーバー
      ↓
大量ファイル収集
      ↓
攻撃者の端末・ツール
      ↓
StealBit等
      ↓
外部
      ↓
攻撃者側

となります。

そのためLockBit対策では、

暗号化を検知する

だけでは足りません。

大量ファイルアクセス
       ＋
異常な外向き通信

も重要です。

4. LockBitを展開する

十分な権限を確保すると、AffiliateはLockBitの暗号化プログラムを複数端末へ展開します。

米司法省によると、LockBit開発者は、

• セキュリティ製品を無効化するコード
• 被害ネットワーク内の複数端末へマルウェアを展開するコード
• ネットワーク接続プリンターへ身代金要求文を出力するコード

などの開発にも関与していたとされています。

5. ファイルを暗号化する

最終段階では大量のファイルが暗号化されます。

Word
Excel
PDF
Database
画像
業務ファイル
仮想マシン

などが利用不能になる可能性があります。

企業環境ではPCだけでなく、

Windows
Linux
Virtualization

を同時に狙われることが問題になります。

LockBitのバージョン変遷

LockBitは継続的に改良されてきました。

大まかには、

2019～2020
LockBit / ABCD

      ↓

LockBit 2.0
Red

      ↓

LockBit 3.0
Black

      ↓

LockBit-NG-Dev / 4系開発

      ↓

2025年
LockBit 5.0

という進化をしています。

バージョン名や呼称については研究者・攻撃者側の名称が混在するため、記事や製品によって表記が異なる場合があります。

2024年に何が起きたのか

LockBitの歴史で最大級の転換点が、

Operation Cronos

です。

2024年2月、英国NCAを中心として米FBI、Europol、日本警察など複数国の機関がLockBitのインフラへ介入しました。

実施されたのは、

LockBitサーバー
       ↓
法執行機関が押収

管理インフラ
       ↓
制御を奪取

リークサイト
       ↓
テイクダウン

復号情報
       ↓
被害者救済へ利用

といった大規模な破壊作戦です。

Europolは当時、LockBitを世界でも最も広く展開されたランサムウェアの一つとして説明しています。

日本警察もLockBit復号ツールを開発した

Operation Cronosでは日本も重要な役割を果たしました。

警察庁によると、関東管区警察局サイバー特別捜査部は、LockBitによって暗号化されたファイルを復号するツールを独自開発しました。

さらに、この復号技術はEuropolにも提供され、海外の被害回復にも利用されました。

これは日本のランサムウェア対策史でも重要な事例です。

LockBitに感染したら復号ツールを確認する

LockBit被害が疑われる場合、

身代金を支払う

より先に、

警察
No More Ransom
復号可能性
バックアップ

を確認します。

警察庁は現在も、LockBit向け復号ツールの利用を検討する場合は最寄りの警察署へ連絡するよう案内しています。

ただし重要な注意があります。

復号ツールは、

• 全バージョンで使えるとは限らない
• すべての暗号化ファイルを復元できるとは限らない
• 被害状況によって利用できない場合がある

ため、

LockBit
   ↓
必ず無料で復号できる

という意味ではありません。

Operation CronosでLockBitは消滅したのか

消滅したとは言えません。

2024年のテイクダウンは非常に大きな打撃でした。

米司法省も、LockBitの評判と攻撃能力を大きく低下させたと説明しています。

しかし、

インフラ破壊
      ≠
全Affiliate消滅

です。

RaaSでは、

Developer
Affiliate
Initial Access Broker
その他犯罪サービス

が分散しています。

そのためブランドやインフラが破壊されても、一部の攻撃者が別のRaaSへ移ったり、再構築したりする可能性があります。

2025年にはLockBit自身が侵害された

興味深い出来事が2025年5月に起きました。

今度はLockBit側がデータ侵害を受けました。

EuropolのIOCTA 2026によると、

• LockBitのビルド
• ビルド設定
• 被害者との交渉メッセージ

などが流出しました。

その後、LockBitの活動と被害者数は大きく低下したとEuropolは評価しています。

しかしLockBit 5.0が登場した

2025年9月、

LockBit 5.0

が登場しました。

Europolは2026年版IOCTAで、LockBit 5.0について、

• Windows
• Linux
• VMware

を対象とするバージョンが存在するとしています。

Trend MicroもLockBit 5.0のバイナリを解析し、Windows・Linux・VMware ESXiを狙うクロスプラットフォーム対応と、難読化や解析妨害機能を報告しています。

LockBit 5.0で何が変わったのか

Europolが2026年にまとめた内容では、LockBit 5.0には、

• 解析・フォレンジックを妨げる機能
• より高速な暗号化
• ロシア語環境などを避けるための地域確認
• 復旧を難しくする追加機能

などが盛り込まれています。

大きな特徴をまとめると、

となります。

VMware・仮想化基盤を狙われるとなぜ危険なのか

企業では、

物理サーバー
     ↓
VMware ESXi
     ↓
┌───────────┐
│ Web Server   │
│ DB Server    │
│ AD Server    │
│ File Server  │
└───────────┘

のように、多数のサーバーを1台の仮想化基盤へ集約することがあります。

そのため、

ESXi上の仮想マシン
        ↓
大量に暗号化

されると、一度に複数の業務システムが停止する可能性があります。

LockBit 5.0がWindowsだけでなくLinux・VMwareを対象としている点は、企業側がPCだけを守ればよいわけではないことを示しています。

2026年時点のLockBitの状況

ここは断定しすぎないことが重要です。

確認できる事実：

EuropolのIOCTA 2026では、

2024
Operation Cronos

↓

2025
再起を複数回試行
ただし限定的な成功

↓

2025年5月
LockBit自身が情報漏えい

↓

活動低下

↓

2025年9月
LockBit 5.0公開

と整理されています。

英国NCAも2026年3月、2024年にLockBitをテイクダウンしたことを重大な成果として改めて取り上げています。

一方、2026年8月現在の正確な被害件数や全Affiliateの活動状況を、政府機関のリアルタイム統計から確認することはできません。

そのため、

「LockBitは完全復活した」

または、

「LockBitは完全に消滅した」

のどちらかへ単純化するのは適切ではありません。

どうやってLockBitを確認するのか

LockBit対策では、

LockBit.exeを探す

だけでは不十分です。

Affiliateによって攻撃手法が違うからです。

確認するべきなのは、

Identity
Endpoint
Network
Data

の4方向です。

1. 認証ログを確認する

確認する内容は、

• 通常と違う地域からのVPNログイン
• 深夜の管理者ログイン
• 新規端末からの接続
• MFA失敗後の成功
• 普段使用しないアカウントによる管理操作
• 不自然なRDP接続

などです。

2. EDRを確認する

端末上では、

不審プロセス
      ↓
Discovery
      ↓
Credential Access
      ↓
権限取得
      ↓
大量ファイルアクセス
      ↓
セキュリティ製品停止
      ↓
暗号化

という一連の動きを確認します。

LockBitではセキュリティ対策機能を無効化するコードも開発されていたことが米司法省の捜査で明らかになっています。

3. ファイルサーバーを確認する

例えば通常、

1ユーザー
  ↓
1時間に数十ファイル

だったものが、

1ユーザー
  ↓
短時間で数万ファイル

になった場合は調査対象です。

特に、

大量読み取り
      ↓
大量外向き通信

が連続した場合は、暗号化前の情報窃取を疑います。

4. ネットワークを確認する

NDR・Firewall・Proxyでは、

• 新規通信先
• 通常と異なる大量アップロード
• 不審C2通信
• 内部探索
• SMB横展開
• RDP接続急増

などを確認します。

CISAは過去のLockBit Affiliateについて、Cobalt Strikeの利用やSMB共有を横展開に使用するケースなどを報告しています。

LockBit対策

LockBit対策の基本は、

LockBitを止める

ではありません。

侵入を止める
   ↓
横展開を止める
   ↓
情報窃取を止める
   ↓
暗号化を止める
   ↓
安全に復旧する

です。

1. VPN・公開機器を更新する

最優先で、

Internet
   ↓
VPN
Firewall
RDP Gateway
Web Server
Citrix
その他公開機器

を確認します。

警察庁もランサムウェア対策として、ネットワーク機器やOSに未適用の更新・セキュリティパッチがあれば速やかに適用するよう案内しています。

2. MFAを導入する

盗まれたID・パスワードだけで侵入できないようにします。

ID
＋
Password
＋
MFA

とします。

ただしMFAも万能ではありません。

CVE-2023-4966のように、セッションを悪用して認証を回避されるタイプの侵害もあるため、

MFA
＋
パッチ
＋
セッション管理

で考える必要があります。

3. 最小権限にする

1アカウントが侵害されたとき、

一般社員
   ↓
全サーバー
   ↓
バックアップ
   ↓
Domain Admin

まで到達できる構造は危険です。

必要な人
   ↓
必要なシステム
   ↓
必要な権限だけ

へ限定します。

4. ネットワークを分離する

例えば、

社員PC
 │
 ├──×── Backup
 │
 ├──×── 管理NW
 │
 └──── 業務Server

のように、侵害端末から重要基盤へ自由に移動できないようにします。

特に、

• Active Directory
• Backup
• VMware管理
• セキュリティ管理
• Database

などは分離を強く検討します。

5. EDRを導入する

EDRでは、

• 不審なプロセス
• Credential Dump
• セキュリティ製品停止
• PowerShell異常
• 横展開
• 大量暗号化

などを監視します。

ただし、

EDRを入れたから安全

ではありません。

攻撃者がEDR無効化を試みることも想定します。

6. IPS・NDRを利用する

IPSでは、

脆弱性攻撃
既知Exploit
異常通信

を止めます。

NDRでは、

内部探索
横展開
C2
情報持ち出し

を見ます。

LockBit対策では、

Endpoint
   ＋
Network

の両方を見ることが重要です。

7. WAFだけでは防げない

WAFは重要ですが、守れる範囲は主に、

Internet
  ↓
Web Application

です。

例えば、

VPN
RDP
盗難認証情報
Citrix
Endpoint

から侵入された場合は、通常のWAFの守備範囲外です。

したがって、

WAFを導入したからLockBit対策は完了

とは言えません。

8. バックアップを攻撃者から分離する

最も重要な対策の一つです。

悪い構成は、

Production
     │
     └── Backup
           ↑
     同じ管理者権限

です。

攻撃者が管理者権限を奪えば、

Production
     ×
Backup
     ×

となる可能性があります。

理想は、

本番
 │
 ├─ Backup A
 │
 ├─ 別環境Backup
 │
 └─ Offline / Immutable Backup

です。

警察庁も、バックアップの保護と復旧可能性の確保を重要なランサムウェア対策として案内しています。

WAF・IPS・NDR・EDRの役割

一つの製品だけでは不十分です。

LockBit感染が疑われた場合の対処

1. まずネットワークから隔離する

LAN
 ↓
抜線

Wi-Fi
 ↓
無効化

などによって端末を隔離します。

2. 安易に電源を切らない

警察庁は、調査に必要なログなどが失われる可能性があるため、隔離できる場合は安易に電源を落とさないよう案内しています。

ネットワーク隔離
       ○

即電源OFF
       △

と覚えると分かりやすいです。

3. ログを保存する

最低限、

EDR
Windows Event
Linux Log
VPN
Firewall
Proxy
DNS
AD
VMware
Backup

などを保全します。

警察庁も、侵入経路と侵害範囲を調査するため各種ログを適切に保管することを推奨しています。

4. 認証情報を変更する

端末を隔離しても、

攻撃者
  ↓
盗んだVPNアカウント
  ↓
再侵入

される可能性があります。

警察庁も攻撃者からアクセスされた可能性がある機器のパスワード変更を推奨しています。

実務では、

• パスワード
• セッション
• API Token
• Service Account
• VPN認証情報
• 管理者資格情報

まで確認します。

5. 復号可能性を確認する

LockBitであることが確認できた場合は、

警察
     ↓
LockBit復号ツール
     ↓
利用可能か確認

を行います。

警察庁はLockBit向け復号ツールについて、利用を検討する場合には最寄りの警察署へ連絡するよう案内しています。

6. バックアップをすぐ接続しない

攻撃者が残っている状態で、

安全なBackup
      ↓
本番環境へ接続

すると、

Backupまで暗号化

される可能性があります。

まず、

侵入経路
 ↓
侵害範囲
 ↓
残存攻撃者
 ↓
認証情報

を確認します。

その後に復旧します。

動作確認

LockBit対策を導入したら、次を確認します。

実際のLockBitを本番へ投入して検証してはいけません。

隔離した検証環境や安全なランサムウェアシミュレーションを利用します。

再発防止

LockBitを削除しただけでは終了ではありません。

LockBit削除
    ↓
終了

ではなく、

侵入経路特定
    ↓
CVE・設定不備修正
    ↓
認証情報変更
    ↓
セッション失効
    ↓
不要権限削除
    ↓
ネットワーク分離
    ↓
検知ルール追加
    ↓
Backup検証
    ↓
復旧訓練

まで行います。

注意点・よくある誤解

誤解1：Operation CronosでLockBitは完全消滅した

そうとは言えません。

2024年の国際共同捜査によって主要インフラは大きな打撃を受けましたが、2025年には再起の試みとLockBit 5.0の登場がEuropolによって確認されています。

誤解2：LockBit 5.0が出たから昔と同じ勢力まで完全復活した

これも断定できません。

Europolは2025年の復活の試みを「limited success」と評価し、5月の情報漏えい後には活動と被害者数が大きく低下したとしています。

「新バージョンが存在する」ことと「以前と同じ勢力を取り戻した」ことは別問題です。

誤解3：LockBitを検知するシグネチャを入れれば防げる

不十分です。

LockBitはRaaSであり、Affiliateによって侵入方法やTTPが異なります。CISAもAffiliate間で攻撃方法が大きく異なるとしています。

したがって、

LockBitのハッシュ
LockBitのドメイン
LockBitのIP

だけではなく、

侵入
認証
内部探索
横展開
情報窃取
暗号化

という行動そのものを検知する必要があります。

LockBitについて否定的に見るべき3つのポイント

LockBitを過大評価することにも問題があります。

1. 「世界最強のランサムウェア」と固定的に扱うのは適切ではない

LockBitは非常に大きな被害を与えたRaaSですが、2024年のテイクダウンと2025年の内部情報漏えいによって勢力は大きな打撃を受けています。Europolも2025年の復活を限定的と評価しています。

脅威ランキングは時期によって変化します。

2. LockBitだけを重点的に守る防御は弱い

LockBitのAffiliateが別のRaaSへ移れば、

LockBit専用ルール

だけでは防げません。

防御側はグループ名よりTTPを見る必要があります。

3. 復号ツールがあるから安全という考えも危険

復号できても、

情報窃取

は取り消せません。

また、警察庁も復号ツールがすべてのバージョン・すべてのファイルへ対応するとは限らないと注意しています。

LockBitをMITRE ATT&CKで考える

代表的には、

Initial Access
      ↓
Credential Access
      ↓
Discovery
      ↓
Lateral Movement
      ↓
Collection
      ↓
Exfiltration
      ↓
Impact

という流れで考えます。

重要なのは、

Impact
暗号化

だけを見るのではなく、

Impactに到達する前に止める

ことです。

対策優先順位

P0：すぐ確認する

• インターネット公開資産を洗い出す
• VPN・Citrix・Firewall等のパッチを確認する
• MFAを確認する
• Domain Admin等の権限を確認する
• Backupが攻撃者から分離されているか確認する
• EDRが全端末・サーバーで動作しているか確認する

P1：検知能力を上げる

• VPNログをSIEMへ送る
• AD/IdPログを集約する
• 大量ファイルアクセスを監視する
• 外向き通信量を監視する
• EDRとNDRを相関させる
• VMware管理操作を監視する

P2：侵害前提の構成へ変更する

• ネットワークセグメンテーション
• 管理ネットワーク分離
• PAM
• Immutable Backup
• DLP
• Purple Team / Tabletop Exercise

セキュリティ記事としての整理

LockBitは脆弱性そのものではないため、「LockBitのCVSS」や「LockBitのパッチ」というものは存在しません。

侵入口となった製品・CVEごとに個別対応します。

まとめ

LockBitは、

RaaSモデルを利用して世界規模で展開されたランサムウェア・犯罪エコシステム

です。

構造を最も簡単にすると、

LockBit Developer
        ↓
Ransomware / Builder / Infrastructure
        ↓
Affiliate
        ↓
企業へ侵入
        ↓
内部探索
        ↓
情報窃取
        ↓
LockBit展開
        ↓
暗号化
        ↓
身代金要求
        ↓
情報公開でも脅迫

となります。

2024年のOperation Cronosでは、日本を含む国際共同捜査によって主要インフラが大きく破壊され、日本警察が開発した復号ツールも被害回復へ利用されました。

しかし2025年にはLockBit 5.0が登場しています。

そのため防御側は、

「LockBitを防ぐ」

より、

「RaaS Affiliateが行う侵入・探索・横展開・情報窃取・暗号化を途中で止める」

と考える方が適切です。

LockBit対策の基本は、

侵入させない・広げさせない・盗ませない・暗号化させない・安全に戻す

の5段階です。

FAQ

Q. LockBitは現在も存在しますか？

LockBit 5.0が2025年9月に公開されたことはEuropolが確認しています。

一方で、2024年のOperation Cronosと2025年のLockBit自身の情報漏えいによって活動は大きな打撃を受けています。

2026年8月時点の全Affiliateのリアルタイム活動量を政府公式統計だけから正確に判断することはできません。

Q. LockBit 5.0とは何ですか？

LockBitの新世代バージョンです。

EuropolとTrend Microによって、Windows・Linux・VMware/ESXi環境を対象とする機能が確認されています。

Q. LockBitに感染したら無料で復号できますか？

可能な場合があります。

日本警察はLockBit向け復号ツールを開発しており、警察庁は利用を検討する場合は最寄りの警察署へ相談するよう案内しています。

ただし、すべてのバージョン・すべてのファイルを復号できる保証はありません。

Q. 身代金を払えばデータを削除してもらえますか？

保証されません。

米司法省は、LockBitが身代金を支払った被害者にデータを削除すると約束しながら、運営側が盗んだデータのコピーを保持していたとする証拠を押収したとしています。

そのため、

支払い
 ↓
必ずデータ削除

とは考えられません。

Q. EDRを入れていれば防げますか？

EDRは重要ですが十分ではありません。

VPNや脆弱性からの侵入、盗難認証情報、ネットワーク横展開、情報持ち出しなどは、EDRだけでは完全に防げません。

MFA、IPS/NDR、最小権限、ネットワーク分離、Backupなどを組み合わせます。

Q. WAFでLockBitを防げますか？

Webアプリケーションへの攻撃が侵入口なら役立つ可能性があります。

しかしVPN・RDP・Citrix・盗難認証情報などから侵入された場合はWAFだけでは対応できません。

Q. LockBitとRaaSの違いは何ですか？

RaaSは犯罪ビジネスモデルの名称です。

LockBitはRaaSモデルを採用した代表的なランサムウェア・犯罪グループです。

RaaS
 ├─ LockBit
 ├─ 他のRaaS
 └─ その他

という関係で考えると分かりやすくなります。

参考情報

警察庁「ランサムウェア被害防止対策」

https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html

LockBit復号ツール、感染時の対応、ログ保存、パッチ、認証情報変更などを確認できます。

警察庁「重大サイバー事案対処に係る警察の取組」

https://www.npa.go.jp/hakusyo/r06/honbun/html/aat300000.html

Operation Cronosへの日本警察の参加とLockBit復号ツール開発について確認できます。

Europol「IOCTA 2026」

https://www.europol.europa.eu/cms/sites/default/files/documents/IOCTA-2026.pdf

LockBitの2025年の活動、情報漏えい、LockBit 5.0、Windows・Linux・VMware対応などの最新整理を確認できます。

Europol「Law enforcement disrupt world's biggest ransomware operation」

https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation

Operation CronosによるLockBitインフラ破壊について確認できます。

U.S. Department of Justice「LockBit Developer Extradited」

https://www.justice.gov/usao-nj/pr/dual-russian-and-israeli-national-extradited-united-states-his-role-lockbit-ransomware

LockBitのDeveloper・Affiliate構造、StealBit、Builder、被害規模などを確認できます。

U.S. Department of Justice「U.S. Charges Russian National with Developing and Operating LockBit Ransomware」

https://www.justice.gov/archives/opa/pr/us-charges-russian-national-developing-and-operating-lockbit-ransomware

LockBitSuppとされる人物への起訴、RaaSの収益構造、被害規模などを確認できます。

CISA「Understanding Ransomware Threat Actors: LockBit」

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a

LockBit AffiliateのTTPと防御策を確認できます。

CISA「LockBit 3.0 Affiliates Exploit CVE-2023-4966」

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-325a

Citrix Bleedを利用したLockBit 3.0 Affiliateの攻撃について確認できます。

Trend Micro「New LockBit 5.0 Targets Windows, Linux, ESXi」

https://www.trendmicro.com/en_us/research/25/i/lockbit-5-targets-windows-linux-esxi.html

LockBit 5.0のWindows・Linux・ESXi向け実装と解析妨害機能について確認できます。