RaaSとは

RaaS（Ransomware as a Service：読み方はラース）は、ランサムウェアを用いたサイバー攻撃をサービスとして提供する悪質なビジネスモデルのこと。開発者が攻撃ツールやインフラを提供し、それを別の犯罪者が利用する仕組みのため、専門知識がなくても攻撃が可能となり、被害の拡大を招いている。

RaaS（Ransomware as a Service）とは｜概要

RaaSは"Ransomware as a Service"の略称で、ランサムウェアの開発者が攻撃ツールや管理基盤を提供し、それを別の犯罪者が利用する仕組みです。従来のランサムウェアは、開発から攻撃までを1人の攻撃者が担うケースが一般的でした。しかしRaaSでは、開発者と実行者が分業化されており、高度な知識がなくてもランサムウェア攻撃を実行できるようになりました。その結果、サイバー攻撃の大規模化・組織化・標的化が進み、企業におけるセキュリティリスクが急速に高まっています。

＜従来のランサムウェアとRaaSの違い＞

	従来のランサムウェア	RaaS
攻撃者のスキル	高度なプログラミング知識が必要	専門知識がなくても攻撃可能
攻撃の規模	単独犯が多く、規模は限定的	分業制により、世界規模で大規模化
開発スピード	開発から実行まで時間がかかる	ツールがパッケージ化され、即座に実行可能
ターゲット	不特定多数へのばらまき型が多い	資金力のある特定企業を狙う標的型が増加

RaaSの仕組み

RaaSの最大の特徴は、サイバー犯罪が一種の「エコシステム」として成立している点です。この仕組みによって、攻撃効率が大幅に高まり、被害も深刻化しています。RaaSの代表的な関係者と役割は以下のとおりです。

開発者（オペレーター）：ランサムウェア本体や管理システムを開発・提供する
実行犯（アフィリエイト）：企業へ侵入し、データの暗号化、身代金の要求を行う
イニシャルアクセスブローカー：企業ネットワークの認証情報などを売買する

また、収益モデルも一般的なITサービスに近く、

利益配分：獲得した身代金の一部を開発者が受け取る、最も主流な形式
サブスクリプション：実行犯が毎月一定額を支払い、攻撃ツールを使い放題にする
買い切り：ランサムウェアのコードやツールを一度だけ購入し、自前で運用する

といった形で運用されています。

代表的な攻撃グループと被害事例

RaaSを利用している攻撃グループは世界中に多数存在し、深刻な被害をもたらしています。彼らの手口は、機密情報を窃取した上で「支払わないとデータを公開する」と脅す「二重恐喝」が主流です。攻撃グループは摘発や解散を経ても名称や体制を変えて活動を継続することが多く、継続的な対策が必要です。

グループ名	主な特徴と手口	過去の重大な被害事例
LockBit	高速な暗号化と高い報酬分配モデルを特徴とする代表的なRaaS	病院や港湾施設など重要インフラへの攻撃
DarkSide	二重恐喝の普及に大きく関与。企業規模で身代金を設定	米国の主要な石油パイプラインを停止
REvil	ソフトウェアのサプライチェーンの弱点を突く攻撃を得意とする	世界中の数千社に影響を与えたIT管理ツール経由の攻撃
Black Basta	二重恐喝を前提とした、大企業への組織的な攻撃と横展開が特徴	大企業・製造業を狙い、短期間で巨額の身代金を要求

RaaS対策とセキュリティ戦略

RaaSの脅威から企業を守るためには、「侵入前」と「侵入後」、そして「被害最小化」の観点で対策を講じることが重要です。

■侵入前の対策

脆弱性マネジメント：OSやソフトウェアを常に最新の状態に保ち、侵入経路を塞ぐ
多要素認証（MFA）：不正アクセスのリスクを低減し、認証を強化
セキュリティ教育：従業員に不審なメールを見分けるフィッシング対策教育などを実施し、人的ミスを減らす

■侵入後の対策

EDR/NDR：ネットワークや端末の不審な挙動をリアルタイムで検知し、即座に対応
ゼロトラスト：アクセス権限を最小限に制限して被害拡大を防ぐ

■被害最小化

オフラインバックアップ：ネットワークから切り離した安全な場所にデータを保管し、確実に復旧する
インシデント対応計画：被害発生時の連絡体制や対応手順を事前に定め、迅速な復旧を目指す

これらの対策を組み合わせることで、RaaSに対する企業の防御力は大幅に向上します。

（参考）その他のRaaS：Robotics as a Service

ちなみにRaaSには、ロボット分野における「Robotics as a Service」も存在します。これは、産業用ロボットやサービスロボットをサブスクリプション形式で利用できるサービスを指します。従来のように高額なロボットを購入・保有する必要がないため、初期投資を抑えつつ、必要な分だけ柔軟に利用できる点が特徴です。