NI+Cセキュリティアリーナを体験してみた！RaaS時代に持つべき「ハッカーの視点」とは？
投稿者：セキュリティ＆ネットワーク事業本部 セキュリティ担当 馬庭
皆さんこんにちは！セキュリティチームの馬庭です。
「RaaS」の台頭により、攻撃手法が高度化していると言われています。
NI+Cセキュリティアリーナでは、攻撃者視点での体験をご用意しています。
今回はNI+Cセキュリティアリーナについて、実際の体験談も含めてご紹介したいと思います。
セキュリティ対策について知りたい方は、ぜひチェックしてみてください！
1.ランサムウェアについて
ランサムウェアとは、PCやサーバ内のデータを暗号化・窃取し、その復旧と引き換えに身代金を要求するマルウェアの一種です。
近年では、攻撃基盤をサービスとして提供する「RaaS (Ransomware as a Service)」の台頭により、攻撃の構造が変化しました。ランサムウェアの「開発」と「実行」の分業化が進んだことで、高度なIT知識を持たない攻撃者でも、ツールを購入するだけで容易に攻撃を仕掛けられるようになっています。
こうした攻撃用ツールなどは、ダークウェブ上で取引されていることがあります。
ダークウェブとは、専用ブラウザ(Tor)等を使用しないとアクセスできない匿名性の高いウェブサイトです。匿名性が高く、インターネット上での自由な行動・表現が保障されている一方、サイバー攻撃のような犯罪に使用されることもあります。
ランサムウェアで窃取された情報がダークウェブ上に掲載された事例もありました。
参考：
情報セキュリティ10大脅威 2026 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
NI+Cセキュリティアリーナは、ランサムウェアなどの攻撃やセキュリティ被害を、攻撃者の目線でも体験できる模擬環境です。サイバー攻撃の裏側を体験しつつ、敵の手口を知ることができます。
2.実際に体験してみた
※NI+Cセキュリティアリーナでは、サイバー攻撃を推奨している意図はありません。攻撃側のプロセスを理解し、自社の防御体制を客観的に見直すことを目的としています。
今回、一定のセキュリティ対策が講じられている環境に対し、攻撃者としてランサムウェアを仕掛ける一連の流れを検証しました。
■体験前
2年目社員の目線から見たサイバー攻撃のイメージは以下の通りです。
- ダークウェブは不気味で怖いサイト群。
- 攻撃を成立させるには、ターゲットの脆弱性を突き、複雑なコードを組み上げる、専門的なスキルや知識が必要になる。
- セキュリティ対策がされていれば、攻撃が序盤でブロックされそう。
体験できるとはいっても、セキュリティ対策ができている会社に簡単に攻撃はできないと思います。
■ 意外にも「ビジネスライク」なダークウェブの裏側
攻撃の足がかりとなるダークウェブの探索から始まります。不気味で暗い場所を想像していましたが、よくある掲示板のようでした。しかし実際には、犯罪を請け負うサービスについて淡々と書かれているページもありました。この「普通さ」が、かえってサイバー犯罪の日常化を感じさせました。
■ 攻撃のハードルの低さ：スキルより「手順」
最も驚いたのは、攻撃の実行に高度な技術を必要としなかった点です。
一連のステップはガイドに従ってコマンドをコピー＆ペーストするだけで完結し、マルウェア自体も高度にキット化されているため、難しいインストール作業は一切ありませんでした。
専門知識がなくても容易に深刻な攻撃の実行犯になり得るという事実は、まさに「ハッキングには高度な技術が必要」という体験前のイメージを覆すものでした。これほど容易に攻撃が成立してしまう事実に、改めて脅威の質が変わっていることを実感しました。
■ リアルタイムで変わる「被害者PC」
攻撃が成功した際、被害者PCの画面が一瞬で暗号化され、脅迫文が表示される様子を観察できました。
※イメージ画像です
ファイルがロックされると、自力でのロック解除は極めて困難です。自分の操作一つでファイルがロックされる瞬間を目の当たりにすると、「自力での復旧は不可能」という言葉の重みが変わりました。
3.体験を終えて
正直なところ、サイバー攻撃を体験といっても、苦戦を強いられて「企業の防御体制を再確認する」という結果になるだろうと予想していました。しかし、シンプルな手法であっさりと攻撃が成功してしまいました。従来のセキュリティ対策だけでは、現在のサイバー攻撃を防ぐには限界があるのだと感じました。
「対策はしているはず」という慢心が、恐ろしい隙になります。ちょっとした油断が、会社の信用を失墜させる可能性があることを身をもって知りました。
そのため、今までの対策だけでなく、「侵入されることを前提」としたEDRの導入や、複数の壁で守る「多層防御」を組み合わせた対策の必要性を改めて感じました。
今回、攻撃者の視点に立ってその手法を学んだことで、今後のセキュリティ対策を「守りの義務」ではなく、より「自発的で切実な課題」として捉え直す貴重な機会となりました。
4.おわりに
今回はNI+Cセキュリティアリーナについて紹介しました。
セキュリティ対策の方法に不安がある、サイバー攻撃について視覚的に学びたい方におすすめです。過去の被害事例についてもお話を聞くことができます。
また、複数企業合同のセミナー形式ではなく、1社ごとの個別形式で実施するため、他社を気にすることなく、自社の状況に踏み込んだ質問や相談が可能です。
敵の手口を内側から理解することで、自社のセキュリティ対策を見直すきっかけになるのではないでしょうか。
ご興味をお持ちいただいた方は、ぜひお気軽にお問い合わせください！
ここまで読んでいただきありがとうございました！
