Halcyonによると、攻撃の初期段階が業務時間帯に集中する理由の1つは、フィッシングやソーシャルエンジニアリングといった侵入手法が、ユーザー側の端末操作を必要とするためだ。

　例えばフィッシングメールであれば、ユーザーがメールを開いてリンクをクリックすることで攻撃が進行する。PCが使われていない深夜よりも、従業員が働いている日中の方が攻撃を仕掛けやすい。

　侵入後の偵察活動も日中の方が攻撃者にとって都合がいいという。攻撃者は、OSに標準搭載されている正規ツールを悪用してネットワークや端末の情報を調べる「Living off the Land」と呼ばれる手法を利用することがある。

　こうした操作を深夜に実行すれば、通常とは異なる挙動として目立ちやすい。しかし日中であれば、管理者やユーザーによる通常の操作に紛れ込みやすい。攻撃者は業務時間帯を利用して、できるだけ目立たずに侵害範囲を広げているとHalcyonは分析する。

暗号化の89％は業務時間外　攻撃者が「人のいない時間」を狙う

　一方、攻撃の最終段階となる暗号化では傾向が逆転するという。2026年7月にHalcyonが観測した暗号化イベントの89％は業務時間外に発生していた。その大半は、ユーザーがログオフしていることが多い深夜0時～早朝6時だった。

　暗号化が始まれば、大量のファイルが短時間で書き換えられ、業務システムが利用できなくなる恐れがある。攻撃者にとっては、管理者や利用者が異変に気付きにくく、対応を開始しにくい時間帯を選ぶメリットがある。

　企業側から見ると、ここに「夜間の空白」が生じる。深夜に暗号化が始まっても担当者が気付かなければ、発覚するのは翌朝の出社時になる可能性がある。その間にも被害範囲が広がりかねない。

　特に、セキュリティ監視やインシデント対応の体制が日中を中心としている企業では注意が必要だ。単に日中のアラートを確認するだけでは、暗号化という最終段階の攻撃に即応できない可能性がある。

情シスが考えるべき「日中」と「夜間」の2段階対策

　今回の調査結果から見える対策のポイントは、「暗号化が始まってから止める」ことだけを考えないことだ。

　Halcyonによると、2026年7月に同社が観測した攻撃の99％は、初期アクセスや偵察など比較的早い段階で阻止した。データ窃取や暗号化に至る前に阻止できた割合は99.8％以上だったという。

　つまり、夜間の暗号化を防ぐ機会は、その前の日中にも存在する。フィッシングによる侵入、不審な認証、端末内での偵察、権限拡大などの兆候を早期に発見できれば、攻撃者が暗号化を実行する段階まで進むのを防げる可能性がある。

　同時に、夜間に人手による監視を十分に確保できない企業では、自動検知や自動遮断、24時間365日の監視・初動対応といった仕組みも検討材料になる。

　情シスにとって重要なのは、「担当者が勤務している時間に監視できているか」だけではない。日中は通常業務に紛れ込む侵入や偵察を見逃さず、担当者が不在になる夜間でも暗号化を止められる体制になっているかを確認する必要がある。

　今回のレポートが示すのは、ランサムウェア攻撃が一瞬の出来事ではなく、侵入、偵察、権限拡大などを経て暗号化に至る一連のプロセスだということだ。特に、日中には通常業務に紛れて行動し、最後の暗号化だけを人の少ない時間帯に実行する攻撃者の動きを前提に監視と対応体制を見直す必要がある。

本稿は、Halcyon Japanが2026年8月18日に公開したプレスリリースを基に作成しました。