RaaSとは？ランサムウェア攻撃を「分業化」する犯罪ビジネスモデルを図解

ランサムウェア攻撃というと、

高度な技術を持ったハッカーが、自分でランサムウェアを開発して企業へ侵入する

というイメージがあるかもしれません。

しかし、現在のランサムウェア攻撃では、マルウェアを作る人と、実際に企業を攻撃する人が別という分業型の犯罪モデルが存在します。

それが、

RaaS（Ransomware as a Service：ランサムウェア・アズ・ア・サービス）

です。

警察庁は、ランサムウェアの開発・運営グループが攻撃実行者へランサムウェアやリークサイトなどの環境を提供し、その見返りとして身代金の一部を受け取るRaaSが多数確認されていると説明しています。

普通のサービスにたとえるなら、

【普通のSaaS】

サービス開発会社
      ↓
ソフトウェアを提供
      ↓
利用企業
      ↓
利用料金


【RaaS】

犯罪グループ
      ↓
攻撃ツール・犯罪インフラを提供
      ↓
攻撃実行者
      ↓
被害組織を攻撃
      ↓
身代金
      ↓
犯罪者側で分配

という構造です。

もちろん、RaaSは合法的なSaaSではありません。

犯罪を分業・サービス化した仕組みです。

結論・要点

この記事の要点

• RaaSはランサムウェアそのものではなく、ランサムウェア攻撃を分業する犯罪ビジネスモデルである。
• RaaSでは開発・インフラ運営を担当するOperatorと、実際の侵入・攻撃を行うAffiliateが分かれる場合がある。
• Initial Access Brokerが侵入済みネットワークへのアクセス権を販売し、RaaS攻撃者が利用する場合もある。
• RaaSによって、ランサムウェアを自力で開発できない攻撃者でも攻撃へ参加しやすくなる。
• RaaS攻撃の侵入経路は特別なものではなく、VPN等の脆弱性、盗難認証情報、設定不備、メールなどが利用される。
• RaaS対策ではマルウェア検知だけでなく、侵入・権限昇格・内部探索・情報窃取・暗号化まで攻撃ライフサイクル全体を見る必要がある。
• WAFだけではRaaS攻撃を防げず、MFA、パッチ管理、EDR、NDR、IPS、ネットワーク分離、バックアップなどの多層防御が必要である。
• RaaSグループを一つ摘発しても、Affiliateが別のRaaSへ移動する可能性があるため、特定グループ名だけを前提とした防御は不十分である。
• 身代金を支払っても復号や情報流出防止は保証されない。

この記事で分かること

この記事ではRaaSを、

RaaSとは何か
    ↓
誰が何を担当するのか
    ↓
なぜ危険なのか
    ↓
どのように攻撃されるのか
    ↓
どうやって見つけるのか
    ↓
被害時に何をするのか
    ↓
どう防御するのか

という順番で解説します。

単に「RaaS＝ランサムウェアのレンタルサービス」と暗記するのではなく、なぜランサムウェア攻撃を増やす仕組みになるのかまで理解することが目的です。

対象読者・前提環境

この記事は次の読者を対象にしています。

• 情報セキュリティマネジメント試験を勉強している人
• 基本情報技術者試験を勉強している人
• 情報処理安全確保支援士を勉強している人
• 社内SE・インフラ担当者
• SOC・CSIRT担当者
• ランサムウェア対策を担当している人
• RaaSという言葉だけ聞いたことがある人

2026年のIPA「情報セキュリティ10大脅威」では、組織向け脅威の第1位が**「ランサム攻撃による被害」**です。2016年から11年連続で選出されています。

RaaSとは

RaaSは、

Ransomware as a Service

の略です。

正式には、

ランサムウェア攻撃に必要なマルウェアや管理基盤などを他の犯罪者へ提供するサービス型の犯罪モデル

と考えると分かりやすくなります。

警察庁は、RaaSの開発・運営グループが攻撃実行者へランサムウェアやリークサイトなどを提供し、見返りとして身代金の一部を受け取る仕組みを説明しています。

「犯罪者向けフランチャイズ」と考えると分かりやすい

初心者向けには、犯罪版フランチャイズと考えると構造を理解しやすくなります。

例えば飲食店なら、

本部
 │
 ├─ 商品
 ├─ ブランド
 ├─ 運営システム
 └─ ノウハウ
      ↓
加盟店
      ↓
実際に店舗を運営
      ↓
売上の一部を本部へ

という仕組みがあります。

RaaSでは、

RaaS運営者
 │
 ├─ ランサムウェア
 ├─ 管理システム
 ├─ 攻撃インフラ
 └─ リークサイト等
      ↓
Affiliate
攻撃実行者
      ↓
企業へ侵入・攻撃
      ↓
身代金要求
      ↓
犯罪者側で収益を分配

となります。

ただし、これは理解するためのたとえです。

すべてのRaaSが同じ契約・報酬・役割分担で運営されているわけではありません。

RaaSで重要な「Operator」と「Affiliate」

RaaSを理解する上で最も重要なのが、この2つです。

Operator

RaaSの開発・運営側です。

イメージとしては、

RaaS Operator
      │
      ├─ ランサムウェア開発
      ├─ 攻撃用インフラ
      ├─ 管理パネル
      ├─ リークサイト
      └─ Affiliate向け環境

を担当します。

Affiliate

Operatorが提供する仕組みを利用して、実際の攻撃を行う側です。

Affiliate
   ↓
標的へ侵入
   ↓
内部探索
   ↓
情報窃取
   ↓
ランサムウェア展開
   ↓
恐喝

という役割を担う場合があります。

米司法省が公表したLockBitの捜査資料でも、開発者がマルウェアとインフラを開発・維持し、「Affiliate」と呼ばれる別のメンバーが実際の攻撃と恐喝を行い、得られた身代金を分配していたと説明されています。

実例：LockBit

RaaSを理解する代表的な事例の一つがLockBitです。

米司法省によると、LockBitでは、

Developer / Administrator
         │
         ├─ マルウェア開発
         ├─ Builder
         ├─ 管理パネル
         └─ インフラ運営
                 ↓
             Affiliate
                 ↓
            実際の攻撃
                 ↓
              被害者
                 ↓
              身代金
                 ↓
            犯罪者間で分配

という構造が確認されています。

米司法省は2025年3月時点で、LockBitが少なくとも120か国で2,500以上の被害者を攻撃し、少なくとも5億ドルの身代金を得たとしています。これはLockBitに関する米当局の捜査資料上の数字であり、RaaS全体の被害額ではありません。

また、LockBitのインフラは2024年2月に国際捜査で大きな打撃を受け、その後も関係者の訴追が続いています。

RaaSはLockBitだけではない

RaaSは特定グループの固有名称ではありません。

例えばCISA、FBI、MS-ISACによる2025年の共同アドバイザリでは、MedusaもRaaSとして説明されており、2025年2月時点で300を超える被害組織が確認されていました。

したがって、

RaaS = LockBit

ではなく、

RaaS
 ├─ 複数の犯罪グループ
 ├─ 複数のAffiliate
 └─ 時期によって参加者やブランドが変化

と理解する方が適切です。

Initial Access Brokerとは

RaaSを理解するときに、もう一つ知っておきたい存在があります。

**Initial Access Broker（IAB：初期アクセスブローカー）**です。

簡単にいうと、

侵入済みネットワークへの「入口」を犯罪者へ売る仲介業者

です。

例えば、

Initial Access Broker
        ↓
企業AのVPNアカウント
企業Bの侵入済み端末
企業Cへのリモートアクセス
        ↓
アクセス権を犯罪者へ販売
        ↓
RaaS Affiliate
        ↓
ランサム攻撃

という犯罪エコシステムが成立する場合があります。

重要なのは、IABが必ずRaaS運営組織そのものとは限らないことです。

RaaSの外側にいる別の犯罪者からアクセス権を買う場合もあります。

つまり現代のサイバー犯罪では、

侵入する人
マルウェアを作る人
インフラを運営する人
恐喝する人
資金を処理する人

まで分業される場合があります。

何が起きるのか

RaaS型ランサム攻撃を単純化すると、次の流れになります。

① 侵入口を確保
   │
   ├─ VPN等の脆弱性
   ├─ 盗難認証情報
   ├─ 設定不備
   └─ メール等
   ↓

② Affiliateが侵入
   ↓

③ 社内ネットワークを探索
   ↓

④ 権限を拡大
   ↓

⑤ 重要情報を探索・収集
   ↓

⑥ 情報を外部へ持ち出す場合がある
   ↓

⑦ ランサムウェアを展開
   ↓

⑧ ファイルやシステムを暗号化
   ↓

⑨ 身代金要求
   ↓

⑩ 情報公開などでも脅迫
   ↓

⑪ 得られた収益を犯罪者側で分配

すべての攻撃がこの順番になるわけではありません。

ノーウェアランサムのように、暗号化を行わず情報窃取だけで恐喝するケースも存在します。IPAも2026年の解説書で、暗号化、情報公開、DDoS等を組み合わせた複数の脅迫形態を説明しています。

なぜRaaSが危険なのか

最大の問題は、

攻撃に必要な能力を一人の犯罪者がすべて持つ必要がなくなる

ことです。

警察庁も、RaaSによる分業によって、高度な技術的専門知識を持たない者でもランサムウェア攻撃を実行可能になるなど、攻撃者の裾野が広がっているとしています。

昔なら、

攻撃者1人

侵入技術
＋
マルウェア開発
＋
暗号化技術
＋
インフラ構築
＋
恐喝

が必要だった攻撃を、

開発者
  ＋
インフラ担当
  ＋
アクセス販売者
  ＋
Affiliate

のように分担できるわけです。

ただし「初心者でもボタン一つで攻撃できる」は言い過ぎ

RaaSについて、

「誰でも簡単にクリックだけで企業を攻撃できる」

と説明されることがあります。

これは単純化しすぎです。

RaaSが技術的ハードルを下げることは警察庁も指摘していますが、実際の組織侵害では、

初期侵入
内部探索
権限取得
横展開
情報収集
防御回避
暗号化
恐喝

など多くの工程が存在します。

RaaS＝完全自動攻撃サービス

と理解するのは適切ではありません。

自分の組織にも関係するのか

企業規模に関係なく考える必要があります。

警察庁は現在のランサムウェア攻撃について、VPN機器などインターネットへ露出した箇所から、

• 未修正の脆弱性
• 漏えいした認証情報
• 弱いパスワード
• 設定不備

などを悪用してネットワーク内部へ侵入する手口が多くを占めるとしています。

つまり、

「うちは有名企業ではない」
       ↓
「狙われない」

とは限りません。

攻撃者から見れば、

侵入できる企業
       ↓
利益になる可能性がある標的

になり得ます。

RaaSだから特殊な侵入方法を使うわけではない

ここは重要です。

RaaSは犯罪ビジネスの構造です。

したがって、

RaaS専用の侵入方法

が存在するわけではありません。

一般的な攻撃技術が利用されます。

MITRE ATT&CKでは、外部公開されたVPNやリモートサービス等を利用する攻撃をT1133 External Remote Servicesとして整理しています。

盗まれた正規アカウントを悪用する攻撃はT1078 Valid Accountsです。

情報をWebサービス経由で持ち出す手法はT1567 Exfiltration Over Web Serviceとして整理されています。

データを暗号化して業務へ影響を与える行為はT1486 Data Encrypted for Impactです。

MITRE ATT&CKで見るRaaS攻撃

ATT&CKは攻撃を「製品名」ではなく「攻撃者の行動」で整理できるため、RaaSのようにAffiliateごとに手法が異なる攻撃を分析するときにも役立ちます。LockBitについてもCISAは、多数の独立したAffiliateが存在するため、観測されるTTPが大きく異なると説明しています。

確認方法

RaaSを検知するとき、

RaaS.exe

というファイルを探せばよいわけではありません。

見るべきなのは攻撃者の行動です。

1. VPN・リモートアクセスを確認する

確認するものは、

• 普段と異なる国・地域からのログイン
• 深夜の管理者ログイン
• 新しい端末からの接続
• 大量の認証失敗後の成功
• 通常利用しないアカウントでのVPN接続
• 接続直後の内部サーバー探索

などです。

MITRE ATT&CKでも、異常なVPN・RDP等への接続後に内部横展開や情報持ち出しが続く行動チェーンがT1133の検知観点として示されています。

2. Identityを確認する

特に確認したいのが、

普通の社員アカウント
      ↓
突然管理者操作

のような変化です。

確認対象は、

• IdP
• Active Directory
• VPN
• SaaS
• クラウドIAM
• MFA

などです。

MITRE ATT&CKでは、地理的異常、Impossible Travel、リスクの高いサインイン、MFA失敗などもValid Accounts悪用の検知観点として示されています。

3. 内部探索を確認する

攻撃者は侵入直後に暗号化を始めるとは限りません。

まず、

どんなPCがある？
どんなサーバーがある？
管理者は誰？
ファイルサーバーはどこ？
バックアップはどこ？

と調査する場合があります。

そのため、

侵入
 ↓
Discovery
 ↓
Privilege
 ↓
Lateral Movement

の段階で捕まえることが重要です。

4. 情報窃取を確認する

二重脅迫では暗号化前にデータを盗みます。

特に、

短時間の大量ファイルアクセス
        ＋
大量外向き通信

の組み合わせは調査対象です。

正規Webサービスが情報持ち出しに悪用されることもあり、MITRE ATT&CK T1567では、普段ネットワーク通信を行わないプロセスが突然HTTPS通信を開始したり、外向き通信量が大きく増えたりする挙動が検知観点として挙げられています。

5. 暗号化挙動を確認する

最後まで侵入を止められなかった場合、

大量ファイル読み込み
 ↓
大量ファイル書き換え
 ↓
短時間で多数のファイル変更
 ↓
ランサムノート生成

などが発生する可能性があります。

MITRE ATT&CKではデータ暗号化による可用性への影響をT1486として整理し、高頻度のファイル書き込みなどを検知観点として示しています。

対処方法

RaaS型攻撃だからといって、特殊な初動対応になるわけではありません。

1. 感染・侵害端末を隔離する

ランサムウェア感染が疑われる端末は、

LANケーブルを抜く

または

Wi-Fiを停止

してネットワークから隔離します。

警察庁も被害拡大防止のためネットワーク隔離を案内しています。一方、調査に必要なログ等が失われる可能性があるため、隔離できている場合は安易に電源を落とさないよう案内しています。

2. Identityも封じ込める

端末だけ止めても、

攻撃者
 ↓
盗んだVPNアカウント
 ↓
別端末から再侵入

されては意味がありません。

侵害の可能性がある、

• ユーザーアカウント
• 管理者アカウント
• VPNアカウント
• APIトークン
• セッション
• サービスアカウント

を調査し、必要に応じて停止・失効・変更します。

警察庁も、攻撃者からアクセスされた可能性がある機器のパスワードを変更するよう案内しています。

3. 証拠を保存する

最低限、

EDR
VPN
Firewall
IdP
Active Directory
DNS
Proxy
サーバー
クラウド

などのログを保全します。

警察庁も、侵入経路や侵害範囲の調査にはログが重要であり、平時から保存しておくことを推奨しています。

4. 侵害範囲を確認する

確認する順番は、

どこから侵入した？
       ↓
どのアカウントを盗まれた？
       ↓
どこまで移動した？
       ↓
何を閲覧した？
       ↓
何を持ち出した？
       ↓
どこを暗号化した？
       ↓
まだ攻撃者は残っている？

です。

暗号化された端末だけを見るのではなく、感染が確認されていないPCやサーバーについても侵害痕跡を調査することを警察庁は推奨しています。

身代金を支払えば解決するのか

保証されません。

警察庁は、

• 犯罪グループの活動資金になる懸念
• 支払ってもデータ復号が保証されない

という理由を説明しています。

IPAも2026年の解説書で、原則として身代金を支払わず復旧することを示し、支払ってもデータ復元や流出防止の保証はないとしています。

さらに二重脅迫なら、

身代金支払い
     ↓
復号された
     ↓
しかし
     ↓
盗まれた情報は攻撃者側に存在

という問題も残ります。

RaaS攻撃を防ぐ方法

最も重要なのは、

RaaSという名前を検知するのではなく、RaaS Affiliateが行う攻撃行動を止める

ことです。

1. VPN・公開機器を更新する

警察庁はVPN機器等の脆弱性悪用による侵入が多数確認されているとして、更新ファイルやセキュリティパッチを速やかに適用するよう推奨しています。

外部公開資産を把握
      ↓
脆弱性確認
      ↓
アップデート
      ↓
不要サービス停止
      ↓
継続監視

まで行います。

2. MFAを導入する

IDとパスワードだけではなく、

認証情報
  ＋
追加認証

を要求します。

警察庁も多要素認証とIPアドレス等によるアクセス制限を推奨しています。

MITRE ATT&CKもValid Accountsへの対策としてMFAを挙げています。

可能であれば、フィッシング耐性の高い認証方式も検討します。

3. 最小権限にする

例えば、

一般ユーザー
     ↓
全ファイルサーバー
     ↓
全バックアップ
     ↓
管理サーバー

までアクセスできる構成は、1アカウントの侵害を大きな被害につなげます。

ユーザー
 ↓
業務に必要な範囲だけ

へ限定します。

警察庁も管理者権限を含むアクセス権限を必要最小限にするよう推奨しています。

4. ネットワークを分離する

侵入された端末から、

社員PC
 ↓
重要サーバー
 ↓
バックアップ

へ自由に移動できないようにします。

MITRE ATT&CKも重要サーバーや機器を保護する対策としてネットワークセグメンテーションを挙げています。

5. EDRを使う

EDRは、

不審プロセス
 ↓
Credential Access
 ↓
Discovery
 ↓
Lateral Movement
 ↓
大量ファイル操作
 ↓
暗号化

といった端末上の行動を検知する役割があります。

警察庁もEDRやネットワーク監視製品をランサムウェア対策として挙げています。

ただし、

EDRをインストールしただけ

では不十分です。

アラートの監視と対応まで運用する必要があります。

6. IPS・NDRを使う

ネットワーク側では、

• 脆弱性攻撃
• 不審なC2通信
• 内部探索
• 横展開
• 異常な外向き通信
• 情報窃取

などを監視します。

特に、

Endpoint
   ＋
Network

の両方を見ることで、

PCで大量ファイルアクセス
        ＋
同じPCから大量外向き通信

といった相関を作れます。

7. バックアップを攻撃者から守る

バックアップは、

作成した
 ↓
安心

ではありません。

攻撃者がアクセスできれば、

本番
  ×
バックアップ
  ×

となる可能性があります。

警察庁はネットワークから切り離したオフライン保存などを推奨しています。

MITRE ATT&CKも、定期的なバックアップと復元テストをData Encrypted for Impactへの対策として挙げています。

WAF・IPS・EDR・NDRの役割

Internet
   │
   ▼
┌──────────────┐
│ WAF          │
│ Web攻撃対策  │
└──────┬───────┘
       │
       ▼
┌──────────────┐
│ IPS          │
│ 攻撃通信対策 │
└──────┬───────┘
       │
       ▼
┌──────────────┐
│ Network      │
│              │
│   NDR        │
└──────┬───────┘
       │
       ▼
 PC / Server
       │
      EDR

WAFだけではRaaSを防げない

ここは重要です。

WAFは、

Internet
 ↓
Web Application

への攻撃を守ります。

しかし、

VPN
盗難認証情報
フィッシング
端末侵害
SaaSアカウント

から侵入された場合は、WAFの守備範囲外です。

したがって、

Cloudflare等のWAFを導入しているからRaaS対策は完了

とは言えません。

RaaS対策の多層防御

最終的には次の形を目指します。

【侵入させない】

Patch
MFA
WAF
IPS
公開面の縮小
      ↓

【広げさせない】

最小権限
Network Segmentation
Identity監視
      ↓

【早く見つける】

EDR
NDR
SIEM
ログ監視
      ↓

【盗ませない】

DLP
通信監視
アクセス制御
      ↓

【壊されても戻す】

Immutable / Offline Backup
復旧訓練
BCP

どれか一つだけではなく、

「侵入前 → 侵入後 → 情報窃取 → 暗号化 → 復旧」

すべてへ防御を置くことが重要です。

動作確認

対策導入後は、製品が存在することではなく実際に検知・対応できるかを確認します。

本番環境へ実際のランサムウェアを投入してテストしてはいけません。

検証には安全なシミュレーションや隔離したテスト環境を使用します。

再発防止

インシデント後は、

ランサムウェアを削除した
        ↓
終了

ではありません。

次の順番で改善します。

侵入経路を特定
      ↓
脆弱性を修正
      ↓
認証情報を変更
      ↓
セッションを失効
      ↓
不要権限を削除
      ↓
ネットワーク分離
      ↓
外部公開範囲を再確認
      ↓
検知ルール追加
      ↓
バックアップ確認
      ↓
復旧訓練

RaaSについて注意したい3つの見方

1. 「RaaSがあるから誰でも簡単に攻撃できる」

言い過ぎです。

RaaSは技術的ハードルを下げますが、組織侵害には依然として侵入・探索・権限取得・横展開などの工程があります。

2. 「有名RaaSグループを摘発すれば問題は終わる」

楽観的すぎます。

LockBitのようにインフラが国際捜査で破壊されることは大きな成果ですが、RaaSはOperatorとAffiliateが分かれているため、攻撃者が別のサービスや別の手口へ移る可能性があります。LockBit自身も2024年の国際的な破壊作戦後、関係者への捜査・訴追が継続しました。

したがって、特定ブランド名だけをブロックする防御では不十分です。

3. 「高性能なEDRを導入すればRaaS対策は完成する」

不十分です。

EDRは重要ですが、

脆弱性
Identity
Network
Endpoint
Data
Backup

すべてを1製品だけで完全に守ることはできません。

警察庁もVPN等の脆弱性対策、認証強化、最小権限、EDR・ネットワーク監視、バックアップ、訓練を組み合わせて対策するよう示しています。

セキュリティ記事としての整理

RaaSは特定製品の脆弱性ではないため、単一CVEのようには整理できません。

個別のAffiliateが特定製品の脆弱性を利用している場合は、そのCVEに対するパッチや回避策を別途確認する必要があります。

試験でのポイント

試験では、まず次の一文を覚えると理解しやすくなります。

RaaSは、ランサムウェアや攻撃に必要な環境を犯罪者へ提供し、攻撃実行を分業する犯罪ビジネスモデルである。

次の関係も重要です。

Operator
  ↓
攻撃基盤を提供

Affiliate
  ↓
実際の攻撃を実行

被害組織
  ↓
身代金

Operator / Affiliate
  ↓
収益を分配

試験で迷いやすい選択肢

注意点・よくある誤解

誤解1：RaaSはランサムウェアの名前

違います。

RaaSは、

LockBit.exe

のような特定マルウェア名ではありません。

犯罪の提供・分業モデルです。

誤解2：RaaS運営者が毎回企業へ侵入する

必ずしもそうではありません。

Operatorが基盤を提供し、Affiliateが実際の攻撃を行うモデルがあります。LockBitでは米司法省がこの役割分担を確認しています。

誤解3：RaaSなら必ず暗号化する

必ずしもそうとは限りません。

現在のランサム攻撃には、暗号化と情報窃取を組み合わせる二重脅迫だけでなく、暗号化せず情報窃取だけで恐喝するノーウェアランサムも確認されています。

誤解4：バックアップだけで十分

バックアップは暗号化されたデータの復旧には重要です。

しかし、

情報窃取

を元に戻すことはできません。

そのため、情報持ち出しの検知も必要です。

誤解5：RaaSはダークウェブだけ見れば検知できる

不十分です。

IPAはダークウェブ等でRaaS、攻撃代行、認証情報、アクセス情報などの取引が行われていると説明していますが、防御側にとって重要なのは自組織内の認証・Endpoint・Network・Dataの異常を検知することです。

まとめ

RaaSは、

ランサムウェア攻撃をサービス化・分業化する犯罪ビジネスモデル

です。

最も簡単に表すと、

RaaS Operator
     ↓
攻撃ツール・犯罪インフラ
     ↓
Affiliate
     ↓
企業へ侵入
     ↓
探索
     ↓
情報窃取
     ↓
暗号化
     ↓
脅迫
     ↓
身代金
     ↓
犯罪者側で分配

という構造です。

RaaSの危険性は、単にランサムウェアを販売することではありません。

攻撃に必要な技術・インフラ・実行を分業できるようにしたことにあります。

そのため防御側も、

「どのRaaSなのか？」

だけを見るのではなく、

侵入されていないか
     ↓
認証情報を盗まれていないか
     ↓
内部探索されていないか
     ↓
横展開されていないか
     ↓
情報を盗まれていないか
     ↓
暗号化されていないか

という攻撃ライフサイクル全体を見る必要があります。

RaaS対策の基本は、

侵入させない、広げさせない、早く見つける、情報を持ち出させない、安全に復旧する

の5段階です。

FAQ

Q. RaaSとは何の略ですか？

Ransomware as a Serviceの略です。

ランサムウェアや攻撃に必要な環境を他の犯罪者へ提供する犯罪モデルです。

Q. RaaSはSaaSと同じですか？

仕組みの「サービス提供」という考え方を例えることはできますが、RaaSは犯罪活動です。

合法的なSaaSとは全く異なります。

Q. Affiliateとは何ですか？

RaaS Operatorが提供するツールやインフラを利用し、実際の攻撃を担当する攻撃者を指す場合があります。

LockBitについて米司法省もDeveloperとAffiliateの役割分担を確認しています。

Q. Initial Access BrokerもRaaSですか？

必ずしも同じ組織ではありません。

Initial Access Brokerは侵入済みネットワークへのアクセスなどを別の犯罪者へ提供する存在で、RaaS Affiliateがそのアクセスを利用する場合があります。

Q. RaaSは初心者でも使えますか？

RaaSによってマルウェア開発などの技術的ハードルが下がることは警察庁も指摘しています。

ただし、実際の企業侵害には認証、内部探索、権限取得、横展開などの知識が必要になる場合があり、「誰でもボタン一つで攻撃できる」と考えるのは単純化しすぎです。

Q. WAFだけで防げますか？

防げません。

WAFはWebアプリケーションへの攻撃には有効ですが、VPN、盗難認証情報、端末侵害など別の侵入経路には対応できません。

MFA、パッチ管理、IPS、EDR、NDR、ネットワーク分離などを組み合わせます。

Q. RaaSグループを摘発すればランサムウェアはなくなりますか？

一つのグループを破壊することには大きな効果があります。

しかしRaaSではAffiliateがOperatorと分離している場合があるため、別のRaaSや手法へ移る可能性があります。

そのため特定グループ名だけではなく攻撃行動そのものを検知する必要があります。

参考情報

警察庁「ランサムウェア被害防止対策」

https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html

RaaSの定義、ランサムウェアの侵入経路、MFA、EDR、ネットワーク監視、バックアップ、初動対応について確認できます。

IPA「情報セキュリティ10大脅威 2026」

https://www.ipa.go.jp/security/10threats/10threats2026.html

2026年の組織向け脅威第1位として「ランサム攻撃による被害」が選定されています。

IPA「情報セキュリティ10大脅威 2026 解説書［組織編］」

https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf

RaaS、ノーウェアランサム、二重脅迫、侵入経路や対策について確認できます。

U.S. Department of Justice「LockBit」

https://www.justice.gov/usao-nj/lockbit

LockBitに関する米司法省の捜査・被害者支援情報です。

U.S. Department of Justice「LockBit Developer Extradited」

https://www.justice.gov/usao-nj/pr/dual-russian-and-israeli-national-extradited-united-states-his-role-lockbit-ransomware

LockBitのDeveloper、Affiliate、管理基盤、収益分配などRaaSの具体的な構造を確認できます。

CISA「Understanding Ransomware Threat Actors: LockBit」

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a

LockBitのRaaSモデルとAffiliateによるTTPの違いについて説明されています。

CISA「#StopRansomware: Medusa Ransomware」

https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-071a

Medusa RaaSについて米政府機関が公開した共同アドバイザリです。

MITRE ATT&CK「External Remote Services T1133」

https://attack.mitre.org/techniques/T1133/

外部公開されたVPN・リモートサービス等を悪用する攻撃について確認できます。

MITRE ATT&CK「Valid Accounts T1078」

https://attack.mitre.org/techniques/T1078/

盗難・侵害された正規アカウントの悪用について確認できます。

MITRE ATT&CK「Exfiltration Over Web Service T1567」

https://attack.mitre.org/techniques/T1567/

正規Webサービス等を悪用した情報持ち出しについて確認できます。

MITRE ATT&CK「Data Encrypted for Impact T1486」

https://attack.mitre.org/techniques/T1486/

ランサムウェアなどによるデータ暗号化をImpactの観点から確認できます。