ランサムウェア、暗号化の89％は深夜 情シスが備える「夜間の空白」対策：日中を選ぶのは偶然ではない

Halcyon Japanは、同年7月のランサムウェア攻撃動向をまとめた調査レポートを公開した。検知全体の69％は日中に発生する一方、データ暗号化の89％は業務時間外に集中していた。情シスが取るべき対策は。

[TechTargetジャパン]

　ランサムウェア攻撃では、攻撃者は侵入や偵察を日中に進める一方、データの暗号化は担当者が不在になりやすい深夜に実行する――。ランサムウェア対策を手掛けるHalcyon Japan（以下、Halcyon）は2026年8月18日、2026年7月の攻撃動向をまとめた「ROC STARレポート」を公開した。

　同社の観測によると、ランサムウェア関連の検知全体の69％は、各地域の現地時間で午前6時〜午後6時に発生していた。一方、実際にデータを暗号化するイベントの89％は業務時間外に発生し、その多くが深夜0時〜早朝6時に集中していた。

　なぜ、攻撃者は侵入と暗号化で時間帯を使い分けるのか。レポートから、ランサムウェア対策で情報システム（情シス）部門が注意すべきポイントを整理する。

なぜ侵入や偵察は「日中」に集中するのか

併せて読みたいお薦め記事

ランサムウェア攻撃の関連記事

• QRコード悪用の「クイッシング」急増 情シスが取るべき対策4選
• 多要素認証導入済みでもランサムウェア被害に 復旧費用は平均2億7000万円

　Halcyonによると、攻撃の初期段階が業務時間帯に集中する理由の1つは、フィッシングやソーシャルエンジニアリングといった侵入手法が、ユーザー側の端末操作を必要とするためだ。

　例えばフィッシングメールであれば、ユーザーがメールを開いてリンクをクリックすることで攻撃が進行する。PCが使われていない深夜よりも、従業員が働いている日中の方が攻撃を仕掛けやすい。

　侵入後の偵察活動も日中の方が攻撃者にとって都合がいいという。攻撃者は、OSに標準搭載されている正規ツールを悪用してネットワークや端末の情報を調べる「Living off the Land」と呼ばれる手法を利用することがある。

　こうした操作を深夜に実行すれば、通常とは異なる挙動として目立ちやすい。しかし日中であれば、管理者やユーザーによる通常の操作に紛れ込みやすい。攻撃者は業務時間帯を利用して、できるだけ目立たずに侵害範囲を広げているとHalcyonは分析する。

暗号化の89％は業務時間外　攻撃者が「人のいない時間」を狙う

　一方、攻撃の最終段階となる暗号化では傾向が逆転するという。2026年7月にHalcyonが観測した暗号化イベントの89％は業務時間外に発生していた。その大半は、ユーザーがログオフしていることが多い深夜0時〜早朝6時だった。

　暗号化が始まれば、大量のファイルが短時間で書き換えられ、業務システムが利用できなくなる恐れがある。攻撃者にとっては、管理者や利用者が異変に気付きにくく、対応を開始しにくい時間帯を選ぶメリットがある。

　企業側から見ると、ここに「夜間の空白」が生じる。深夜に暗号化が始まっても担当者が気付かなければ、発覚するのは翌朝の出社時になる可能性がある。その間にも被害範囲が広がりかねない。

　特に、セキュリティ監視やインシデント対応の体制が日中を中心としている企業では注意が必要だ。単に日中のアラートを確認するだけでは、暗号化という最終段階の攻撃に即応できない可能性がある。

情シスが考えるべき「日中」と「夜間」の2段階対策

　今回の調査結果から見える対策のポイントは、「暗号化が始まってから止める」ことだけを考えないことだ。

　Halcyonによると、2026年7月に同社が観測した攻撃の99％は、初期アクセスや偵察など比較的早い段階で阻止した。データ窃取や暗号化に至る前に阻止できた割合は99.8％以上だったという。

　つまり、夜間の暗号化を防ぐ機会は、その前の日中にも存在する。フィッシングによる侵入、不審な認証、端末内での偵察、権限拡大などの兆候を早期に発見できれば、攻撃者が暗号化を実行する段階まで進むのを防げる可能性がある。

　同時に、夜間に人手による監視を十分に確保できない企業では、自動検知や自動遮断、24時間365日の監視・初動対応といった仕組みも検討材料になる。

　情シスにとって重要なのは、「担当者が勤務している時間に監視できているか」だけではない。日中は通常業務に紛れ込む侵入や偵察を見逃さず、担当者が不在になる夜間でも暗号化を止められる体制になっているかを確認する必要がある。

　今回のレポートが示すのは、ランサムウェア攻撃が一瞬の出来事ではなく、侵入、偵察、権限拡大などを経て暗号化に至る一連のプロセスだということだ。特に、日中には通常業務に紛れて行動し、最後の暗号化だけを人の少ない時間帯に実行する攻撃者の動きを前提に監視と対応体制を見直す必要がある。

本稿は、Halcyon Japanが2026年8月18日に公開したプレスリリースを基に作成しました。