Claude Codeがランサムウェア侵入を加速――ファイアウォールを停止させた「AIの誤操作」

Gambit Securityの最新報告は、生成AIがランサムウェア攻撃の「計画補助」にとどまらず、実際の侵入作業に組み込まれつつあることを示している。報告によれば、The Gentlemenのランサムウェア・アズ・ア・サービス（RaaS）に属するとみられる攻撃者が、複数の侵入でAnthropicのClaude Codeを利用した。活動の帰属確度は中程度とされ、Claude Sonnet 4.6を使って偵察・侵害作業の指示を生成し、スクリプトの作成、ファイアウォール設定の変更、盗み出す価値のあるデータの特定まで行っていたという。

重要なのは、Claudeが自ら標的や攻撃目的を決めたわけではない点だ。攻撃者が意図と被害環境へのアクセスを用意し、Claudeは技術的な作業を短時間で生成・説明・修正する「加速装置」として使われた。

Gambit Securityが報告した攻撃の概要

Gambitは、2026年6月に少なくとも6組織に影響した侵入でClaude Codeの利用を確認し、同じ攻撃者によるものとみられる過去2件の侵害との関連も指摘している。被害組織には、エネルギー、金融サービス、製造など複数業種の企業が含まれ、複数の国にまたがっていたとされる。

攻撃では、インターネットに公開されたFortiGateのVPN機器が狙われた。単一の新たなソフトウェア脆弱性だけに依存したのではなく、設定や認証の仕組みが悪用されたと報告されている。攻撃者はSSL-VPNへのアクセスを再び有効にし、目立たないVPNアカウントを作成。さらに、使い回されたハードコード済みパスワードを利用してアクセスを維持したという。

特に注目されたのが、AIの支援を受けたLDAPパスバック攻撃だ。Claudeは、VPN認証を攻撃者が管理するインフラへ向け直す作業を支援し、その結果、サービスアカウントのパスワードが平文で取得されたとされる。その後、攻撃者は内部システムを調査し、Active Directory環境、ドメインコントローラー、バックアップ、稼働中のSQLデータベースなど、窃取候補となる資産を特定した。

ファイアウォールを止めた「AIの誤操作」

この事例で最も示唆的なのは、AIが攻撃を効率化したことだけではない。攻撃者が侵害済みのFortiGate設定を変更するようClaudeに求めたところ、モデルは意図した設定だけでなく、仮想ドメイン（VDOM）全体を復元する手順を生成したと報告されている。その結果、ファイアウォールが停止した。

これは、AIが「攻撃コードを書ける」という単純な話よりも重要な問題を浮き彫りにする。モデルは設定上の問題をある程度正しく理解し、技術的にはもっともらしい対処法を提示できても、変更範囲を十分に絞り込めないことがある。結果として、利用者の想定を大きく超える影響範囲、いわゆるブラスト・ラディアスを招きかねない。

防御側にとっての教訓は明確だ。ネットワーク機器の設定変更には、最小限の権限、担当者による承認、設定バックアップ、検証済みのロールバック手順を組み込む必要がある。モデル側の安全フィルターだけでは、AIが接続される環境そのものに必要な統制の代わりにはならない。

メキシコ政府機関への攻撃との共通点

今回のランサムウェア事例に先立ち、Gambitは、AnthropicのClaude CodeとOpenAIのGPT-4.1を使った攻撃者が、メキシコの政府機関9組織を標的にした事例も調査していた。Gambitの報告では、両ツールはキャンペーン全体を支える中核的な作業手段として使われたとされ、別の報道では持ち出されたデータ量が150GBを超えたと伝えられている。

この調査に関する別の分析では、攻撃者が実行した遠隔コマンドの約75％をClaudeが生成したと推定されている。 ただし、これは1つのモデルがセキュリティチーム全体に取って代わったという意味ではない。AIがコマンド、スクリプト、偵察の手順、データ分析の流れを短時間で作り出したことで、1人の攻撃者でも複数の標的を横断しやすくなったということだ。

2つの事例を合わせると、AIは「攻撃計画を考える補助役」から、侵入の各段階に直接組み込まれる存在へ移りつつある。コーディング、システム管理、偵察に関する攻撃者の技能不足を補うことはできるが、現時点の証拠が示すのは、あくまで人間の指示を中心としたプロセスであり、AIが独自に目標を設定した攻撃ではない。

制限の少ないモデルだけが問題なのか

ランサムウェア事例では、攻撃者がClaude Sonnet 4.6に依存していたと報じられ、一部の報道は同モデルを旧世代、あるいは制限の少ないモデルと表現している。 こうした違いが一部の依頼に対する摩擦を減らした可能性はある。しかし、攻撃の成否をモデルの制限だけで説明することはできない。

攻撃者には、公開されたインフラ、利用可能な認証情報、内部システムへの到達経路、そして重大な設定変更を実行できる権限も必要だった。

Anthropicが公開したClaude Mythosに関する資料では、サイバー悪用への対策として監視やアクセス制限が挙げられている。 こうした対策は悪用の難易度を高める一方、侵害されたVPNやID基盤、管理インターフェースが過剰な権限を与えている組織を守ることまではできない。

SEBIのcyber-suraksha.aiが示す対応策

インドの証券市場規制当局である証券取引委員会（SEBI）は、脆弱性を特定するAIツールを含め、急速に進化するAIがもたらすサイバーセキュリティリスクを検討するため、cyber-suraksha.aiタスクフォースを設置した。報じられた勧告は、モデル提供者が悪用を防ぐことだけに依存せず、規制対象事業者自身が基本的な防御策を強化するよう求めている。

主な内容は次の通りだ。

• 迅速なパッチ適用： インシデントの発生を待たず、公開システムや既知の脆弱性を抱えるシステムを修正する。
• APIと認証の強化： アクセス制御、秘密情報の管理、外部から到達可能なインターフェースの保護を改善する。
• 継続的な監視： SOC（セキュリティ・オペレーション・センター）で可視性を確保し、不審な活動を素早く検知・対応できるようにする。
• 変更管理の徹底： 影響の大きい設定変更を検証し、正常な状態へ戻せる手段を維持する。

これらは、Gambitの事例で露呈した弱点と重なる。侵害されたVPNがディレクトリサービス、バックアップ、データベースへ到達できれば被害は拡大する。AIが生成した指示で承認なしにファイアウォールを変更できれば、誤操作も重大な障害につながる。さらに、復旧手順が検証されていなければ、事故後の立て直しも難しくなる。

問題は「AI」だけでなく、接続された環境にある

Gambitの報告が示すのは、単なるモデル性能の問題ではなく、統制設計の問題だ。AIは偵察、スクリプト作成、技術的な障害への対応に必要な時間を圧縮できる。しかし、その能力が本番環境に接続されたとき、攻撃者がどれほどの被害を与えられるかを左右するのは、組織の権限設定、ネットワーク分離、監視、復旧設計である。

長期的に有効な対策は、目新しいものではない。最小権限アクセス、多要素認証、VPNとディレクトリサービスの分離、保護されたイミュータブル・バックアップ、詳細なログ取得、ネットワーク機器の変更に対する承認、そして定期的に検証された復旧手順だ。

AIは攻撃と防御の双方を加速させる。ただし、モデルが誤ったときにも機能するレジリエントなシステムは、AIの安全ガードレールだけでなく、環境側の統制によって築かれる。