Silent Ransom Group、データ暗号化なしで2億ドル超の身代金を回収か

Silent Ransom Group、データ暗号化なしで2億ドル超の身代金を回収か

Security Affairs – October 10, 2026

サイバー犯罪専門報道サイトDataBreachesが、Silent Ransom Group（SRG）に関するレポートを公開した。このグループは電話とソーシャルエンジニアリングを駆使することで、暗号化やマルウェアを使わずに法律事務所を攻撃しているとのこと。

攻撃では電話で従業員を騙して文書のアップロードや認証情報の共有を行うよう仕向けている。ある事例では、被害組織の社内IT担当者を装ったSilentのメンバーが所属弁護士を騙して外部のGoogleドライブに機微情報を含むファイルをアップロードさせていた。この手法により、ファイルの暗号化やマルウェアの展開を行わなくとも巨額の利益を得ることができているという。

DataBreachesの調査の手がかりとなったのは、Silentのサーバー2台から流出した5,692件分のチャットデータで、2025年8月から2026年9月にかけて送られたメッセージでは、ランサム交渉、被害システムへのアクセス方法、今後の活動計画のみならず、銃やドローンに関する議論、果てにはあるメンバーのアパート購入といった私的なものも含まれていたという。記録によると、2026年4月から9月にかけて、法律事務所27社が身代金として約2億700万ドル（約328億円）を支払ったとされている。支払額の中央値は600万ドル（9億5,000万円）、平均額は766万ドル（12億円）となった。ただし、この平均額はある法律事務所が3,000万ドル（約47億円）を支払ったことで大きく跳ね上がっている模様。

暗号資産取引と資金洗浄活動の調査を行ったCrystal Intelligenceは、ブロックチェーンデータは攻撃の規模を裏付けているものの、正確な金額は把握できないと報告書で述べた。また、追跡を回避するための支払い手順が存在したものの、必ずしもそれが遵守されていたわけではなく、特に少額の支払いは本人確認済みの口座に紐付けられた規制対象の取引所に直接送金されていたとのこと。

DataBreachesはチャットで名前が挙がった被害組織27社と2026年に公開された情報漏洩の報告を照合し、うち9社は攻撃の時期が一致していることを明らかにした。

Silent Ransom GroupはDataBreachesとのインタビューに一度は応じたものの、自身のシステムへの不正アクセスがあったことは否定。一方、10月9日にはDataBreachesが不正アクセスの証拠を追加で公開した。