ランサムウェアグループが、アフィリエイトを呼び込み、活動を拡大する狙いから、身代金支払いの80%をハッカーに分配している。
Dark Projectとして知られるこのランサムウェア・アズ・ア・サービス（RaaS）事業は、2026年6月に初めて確認され、アフィリエイトに代わって被害者との交渉を担っていると報じられている。脅威インテリジェンス企業Guruculによると、同グループの公開リークサイトには、8カ国にまたがる38組織の被害が記載されている。
この仕組みにより、アフィリエイトは攻撃の実行に集中し、Dark Projectが交渉と支払い処理を担うことになる。組織にとってこのモデルは、ランサムウェア運営者が攻撃の調整と規模拡大を容易にしようとしていることを示している。
80対20のランサムウェア・ビジネスモデル
Dark Projectは二重恐喝戦略を採用している。アフィリエイトはローカルネットワークを暗号化する前に機密ファイルを窃取し、公開すると脅すことで金銭的な圧力をかける。
公表されているパートナープログラムでは、Dark Projectの運営者がインフラ、報告、被害者との交渉の対価として20%を取り、残りの80%をアフィリエイトに渡す。勧誘と運用は、次の4段階のワークフローに沿って行われる。
- 申請：犯罪行為を行うパートナー候補が、Toxメッセージングプロトコルを介して運営者に連絡する。
- オンボーディング：承認されたアフィリエイトには、固有のパートナーID、運用手順書、プラットフォームへのアクセス権が付与される。
- 展開：ハッカーは、提供されたWindows向け評価エージェント（EXEおよびBIN形式）とソーシャルエンジニアリング用スイートを使ってペイロードを展開する。
- 精算：中核グループが身代金交渉を管理し、精算から24時間以内にアフィリエイトへBitcoin（BTC）建ての報酬を支払うと約束している。
標的の内訳 | 主なデータポイント | 注目される業種・地域 |
| 最多の国 | 米国（30件／79%） | 英国、ドイツ、ブラジル、フィリピン |
| 最多の業種 | 製造業（12件／32%） | 医療（7件）、建設（4件） |
| 情報公開のピーク | 2026年8月（20件の被害を掲載） | 最近の被害：Custom Bakehouse、Simplehuman |
RaaSへの転換：攻撃の摩擦を減らすことが武器に
Dark Projectが提示する攻撃的な80%還元は、サイバー犯罪経済の変化を反映している。国際的な法執行機関による取り締まりによって従来型のランサムウェア運営者が追い込まれるなか、新たな犯罪シンジケートはアフィリエイトの負担を減らし、熟練した侵入人材の獲得をめぐって激しく競争している。
被害者との通信、リークサイトのホスティング、交渉を一元化することで、Dark Projectは技術に詳しいアフィリエイトが初期アクセスとラテラルムーブメントだけに集中できるようにしている。
ただし、防御側は運用上の空白に注意すべきだ。同グループのプラットフォームに関する主張や公表された支払いスケジュールは、第三者による取引追跡で検証されていない。また、公開リークサイトへの投稿は、完全な侵害が行われた証拠というより、自己宣伝のマーケティング手段として機能していることが多い。
組織とエンドユーザーにとっての意味
がRaaS運営者アフィリエイトの参入障壁を下げることで、日常的な事業運営は連鎖的なリスクの高まりにさらされる。
- 重要業務の中断：製造業や医療が集中的に狙われることで、物理的な組立ラインが停止し、患者向けの医療サービスが中断するリスクがある。
- 二重の恐喝リスク：脅威アクターは展開前にデータを窃取するため、信頼できるバックアップがあればシステムを復旧できるが、顧客の専有記録、企業の知的財産、従業員のファイルがオンラインで競売にかけられるのを防ぐことはできない。
- 認証情報の拡散：Dark Projectの攻撃者は、初期アクセスに情報窃取マルウェアのログ、公開されたリモートデスクトッププロトコル（RDP）インターフェース、未パッチのVPNゲートウェイを頻繁に悪用しており、社内の企業認証情報が直ちに危険にさらされる。
組織は、リモートアクセスサービス全体でフィッシング耐性のある多要素認証を徹底し、インターネットに公開されたシステムに迅速にパッチを適用し、分離された変更不能なバックアップを維持し、通常と異なるデータ転送やランサムウェア準備の兆候を監視することで、リスクを抑えられる。
バックアップは依然として復旧に不可欠だが、攻撃者が盗んだ情報の公開を脅迫するのを防ぐことはできない。そのため、不正アクセスやデータ窃取を早期に検知することは、暗号化を防ぐことと同じくらい重要になる。
Dark Projectが公表するビジネスモデルは、ランサムウェアグループが攻撃をアフィリエイトに外注することで活動範囲を広げようとする仕組みを示している。防御側にとっては、アフィリエイトが企業ネットワークを侵害するために必要とするアクセスと機会を制限することが引き続き優先課題となる。
ホリデーショッピングシーズンを前に、サイバーセキュリティ専門家が小売業者と消費者に警告している。偽の返金要求やギフトカード詐欺に関わる不正行為のリスクが高まっており、金銭的損失や顧客情報の窃取につながる可能性がある。