アサヒグループを止めたランサムウェア「Qilin」。Zensecの現場記録が示すのは、Windowsではなく管理プレーン（ESXi/vCenter・IAM）を握る手口だった。EDRが見張る層より一段上でなぜ暗号化が起きるのか、そして攻撃者の唯一の弱点――バックアップ――までを、アサヒの公表事実と重ねて読み解く。
2025年9月29日、アサヒグループホールディングスがランサムウェア攻撃を受け、受注・出荷システムが停止した。約27GBの社内データ窃取を主張したのが「Qilin(キリン)」であり、最終的に取引先・従業員など約11万5,000件の情報漏えいが確認された。ビール大手の出荷が電話とFAXに逆戻りした光景は、多くの日本人にとって「ランサムウェア被害」を初めて自分の生活の側で見た瞬間だったと思う。
そのQilinについて、英国のインシデント対応事業者Zensec(旧Solace Cyber)が、自社のDFIRチームが実際に対応した複数の案件から観測した手口を公開した。二次情報の寄せ集めではなく、フォレンジックの痕跡に基づく現場記録だ。本稿はその内容を、アサヒの公表事実と重ねながら読み解く。
Zensecの観測によると、Qilinの主要な侵入経路は境界のSSL-VPN(Fortinet、SonicWall、Cisco)と、インターネットに露出したRDPである。ここまでは国内報道の通りだが、重要なのはその先だ。
Zensecは、2025年から2026年の案件の大半について、侵入の原因は既知脆弱性のエクスプロイトではなかったと明言している。攻撃を受けた時点で機器はパッチ済みで、当時利用可能な公開エクスプロイトも存在しなかった。ではなぜ入られたのか——アカウントにMFAが無く、アカウントロックアウトも設定されていなかったからだ。
つまり技術で破られたのではなく、運用上の統制が欠けていたために入られた。パッチは当てていたのに、である。
これはアサヒの構図とそのまま重なる。同社の公表では、侵入は「拠点にあるネットワーク機器を経由」して起き、パスワードの脆弱性を突いた管理者権限の奪取が確認されている。勝木社長は会見で「防げた攻撃だった」と述べた。防げた、という言葉は、敗因が未知の技術ではなく既知の備えの不在にあったことを、当事者自身が認めた表現だと読める。
侵入後の動きも、Zensecの記録では驚くほど「ありふれた道具」で構成される。Advanced IP Scannerでネットワークを一掃し、SYSVOLに残ったパスワードやLSASS・NTDS.ditから認証情報を抜き、正規のRMMツール(AnyDesk、Splashtop、MeshCentralなど)で居座る。派手なマルウェアは要らない。防御側が日常的にブロックしていない正規ツールばかりだ。
多くの記事は、ランサムウェアの手口を「EDRを無効化した」と書く。
しかしZensecが現場で見た案件には、防御回避そのものが存在しないケースがあった。
理由は単純だ。Windowsではなく、その土台であるハイパーバイザーで暗号化したからだ。EDRを回避したのではない——回避する必要すら無かった、というのが正確なところだ。
なぜそうなるのか。オンプレの仮想化環境は、上から下へこう積み重なっている。
| 層 | 位置づけ |
|---|---|
| vCenter | 管理プレーン（ここを取られると全部が動く） |
| ESXi | ハイパーバイザー（仮想ディスクの実体がある） |
| Windows | ゲストOS |
| EDR | ここだけを見張っている |
EDRが見張っているのは一番下のWindowsの層だ。ところがZensecが対応した案件では、QilinはWindowsではなく、その上のvCenterやESXiの管理プレーンを狙って暗号化した例が確認されている。管理プレーンを握れば、Windowsを一台ずつ攻める必要はない。ESXiにSSHで入り、仮想ディスク(VMDK)ごと暗号化してしまえばいい。このときEDRには何も見えない。攻撃が起きている場所が、EDRの見ている場所より一段上だからだ。
同じことは、クラウドに置き換えるともっとはっきりする。
| 層 | 位置づけ |
|---|---|
| IAM | 管理プレーン |
| EC2 | インスタンス |
| EDR | ここだけを見張っている |
クラウドでは、オンプレのESXiのように仮想ディスクを直接暗号化するわけではない。だが、IAMのAdministratorを奪われれば話は終わる。攻撃者はEC2の中に入る必要すらなく、AWSの管理API経由で、インスタンスの停止・削除も、スナップショットやバックアップの削除もできる。EC2すべてにEDRを入れていても、EDRには何も見えない。見ている場所が違うからだ。
Qilinが教えているのは、この一点に尽きる。守るべきはOSではなく、その上にある管理プレーンだということだ。
なお、VMwareにはCVE-2024-37085のようにAD参加済みESXiでAD権限からハイパーバイザー管理権限へ昇格できる欠陥も確認されており、ESXiをうかつにドメイン参加させることにはとりわけ注意が必要だ。Hyper-Vの場合、親パーティションはWindows ServerなのでEDRを載せられるが、「ただのサーバー」として監視から外れがちな点に同じ問題がある。
ここまで読むと、管理プレーンを取られたら万事休すに聞こえる。だが攻撃者の側にも、逃れられない制約がある。
壊すだけなら簡単だ。だが、それでは金にならない。
Qilinの商売は二重恐喝であり、「暗号化」が脅しとして成り立つのは、「金を払えば元に戻る」という取引が信じられるからだ。だから攻撃者は、データを破壊せず、復号できる形で暗号化しなければならない。しかも被害者が復旧と交渉を進められる状態を保つ必要がある。壊しすぎると、脅す相手を失うのだ。
Zensecが復元したQilinの設定ファイルは、この制約をそのまま映している。
暗号化の対象に指定されているのは .mdf .ldf .bak .vmdk など——データベースとバックアップ、仮想ディスクの拡張子だ。一方で暗号化から除外されているのは .exe .dll .sys や windows boot 配下のファイル。つまりOSが起動しなくなるものには、あえて手を付けない。「壊しすぎない」ように作り込まれている。
そして停止対象サービスの筆頭に並ぶのが、Veeam、Acronis、VSS、バックアップ関連だ。暗号化より先にバックアップを潰す理由は明快で、バックアップが生きていれば「金を払えば戻す」という取引の価値が消えるからだ。
ここに、相手の弱点がある。
Qilinのビジネスモデルは、突き詰めれば「復元手段を人質に取ること」で成り立っている。裏を返せば、復元手段が相手の手の届かない場所にあれば、暗号化はただの破壊行為に落ちる——彼らにとって最も割に合わない結末だ。バックアップは単なる衛生項目ではない。相手の商売そのものを無力化する、数少ない攻めの一手だ。
なお、窃取データを公開するという恐喝の側は残る。だが操業を止めて身代金を迫る力は、ここで大きく削げる。
管理プレーンを守る——そもそも到達させない
execInstalledOnly ＋セキュアブートでランサム本体の実行を抑止し、ESXiは不用意にドメイン参加させない（前述のCVE-2024-37085対策）バックアップを相手の届かない場所へ——到達されても金にさせない
Cisco Talosの分析では、初期侵入からランサムウェア展開まで平均で約6日の猶予がある。この6日のあいだに検知できれば、暗号化の前で止められる余地がある。
Qilinが教えているのは、新しい攻撃手法ではない。
運用チームの境界線を攻撃している、ということだ。
サーバーチーム、仮想化チーム、SOC、ネットワークチーム、バックアップチーム——それぞれが「そこは自分の担当ではない」と思っている隙間がある。管理プレーンは、たいていその隙間に落ちている。誰のEDRのスコープにも入らず、監視の責任が曖昧になりがちだ。Qilinが滑り込むのは、まさにそこだ。
アサヒが被害後に踏み切った対策——VPNの全面廃止、ネットワークの分離、ゼロトラスト対応端末への移行——は、その隙間を組織として埋め直す作業でもあった。管理プレーンへの到達を防ぐこと、そして到達されても金にさせないバックアップを握り続けること。この二つが、Qilinに身代金を払わずに済む条件だ。
問われているのは、新しい製品ではない。管理プレーンを「誰が守るのか」を決めることだ。
Aikido Community Japan
公開日: 2026/7/22
最終更新: 2026/7/22
セキュリティの最新情報をお届けします。