現代のランサムウェアはどう侵入するのか — そしてBromureはどう扉を閉ざすのか
ほとんどのランサムウェアはゼロデイから始まりません。始まりは一つのブラウザタブです。2026年における攻撃チェーンが実際にどう動くのか、そして最初から打撃を吸収するために作られたブラウザに着地すると何が起きるのかをお話しします。
あなたの全ファイルを失う最も手早い方法は、パーカー姿のハッカーではありません。ごく普通の午後、一つのタブの中での、たった一度のクリックです。ランサムウェアは謎ではなく、パイプラインであり、そのパイプラインのほとんどはブラウザを通って流れていきます。
あなたもすでに何度か目にしたことがあるはずです。患者を受け入れられなくなった病院。ただの1件の顧客ファイルにもアクセスできなくなった小さな法律事務所。3週間ものあいだ紙とペンに逆戻りした自治体。退職したご夫婦が、写真も、確定申告の書類も、過去20年分のスキャン文書も一夜にして失い、代わりに英語の丁寧な文言とウォレットアドレスが残されていた、という話。
ランサムウェアはどこにでもあり、いまも増え続けています。そして — ここが肝心なのですが — 侵入地点においては、ほぼ完全に防ぐことができるのです。そして2026年のいま、その侵入地点はほぼ常に同じ場所、すなわちごく普通の一日に、ごく普通のブラウザで読み込まれた一枚のウェブページなのです。
ランサムウェアは悪ふざけではなく、産業です。
多くの人が今なお抱いているイメージ — ノートPCに向かう単独の攻撃者 — は、40年前に時代遅れになりました。現代のランサムウェアはビジネスとして運営されており、部署、予算、給与、人事トラブル、カスタマーサポートの営業時間、場合によっては四半期報告書まで備えています。
典型的なオペレーションには、少なくとも次のような要素が含まれます。
- 初期アクセスブローカー。「扉の足がかり」を他のギャングに売ることを本業とします。資格情報、侵害済みのサーバー、ひそかにバックドアを仕掛けられた利用者のマシンなど。
- アフィリエイトプログラム（しばしば「ランサムウェア・アズ・ア・サービス」としてブランド化されます）。暗号化ツールを書くグループが取り分を得て、緩やかにつながった「アフィリエイト」のネットワークが実際の侵入を担当します。
- 交渉チーム。チャット窓口に人員を張り付け、公開書類からあなたの会社の売上を測り、それに応じて身代金を決めます。
- データ窃取チーム。何かが暗号化される前にファイルを盗み出すことだけを仕事とします。バックアップから復元されたとしても、公開するぞと脅せるようにするためです。
- マネーロンダリング・換金チーム。暗号資産周りを担当します。
要点は単純です。相手にしているのはプロフェッショナルであり、フルタイムで働き、運営予算を持っているということ。「もっと気をつけましょう」という助言は、プロの産業に対する防御計画ではありません。ただの肩すくめです。
実際にはどう侵入してくるのか。
現代のランサムウェアチェーンのほぼすべては、同じように始まります。誰かがウェブページを開くのです。
ざっとですが、主要な6つは次のとおりです。
フィッシングメールのリンク
最も古い経路でありながら、いまなお最も実り豊かです。もっともらしいメール — 配送追跡、共有文書、請求書 — がリンク先のページへ誘導し、そのページで直接ペイロードを落とすか、あるいは後に被害者のネットワークへアクセスするための資格情報を盗み取ります。
不正広告（マルバタイジング）
正規の広告ネットワークが悪意のあるクリエイティブを配信してしまうパターンです。本物のニュースサイト、本物の天気サイト、本物のレシピサイト — そのどれもが、ブラウザをひそかにエクスプロイトキットへリダイレクトする広告を表示します。サイト運営者に悪意はなく、広告ネットワークが騙されているのです。
SEOポイズニング
利用者はツールを検索します。PDF変換ツール、VPNインストーラー、無料フォントなど。検索結果の上位に来るのは偽ページで、攻撃者が何か月もかけて順位を上げたものです。ダウンロードは見た目も正しく、署名もついており、インストールも動きますが、同時に第二段階のローダーも運び込まれます。
水飲み場型攻撃
ニッチなサイト — 業界団体、専門家のフォーラム、サプライヤーのポータル — がひそかに侵害され、訪問者全員に狙いを定めたペイロードが配られます。攻撃者は広く網を張る必要はなく、ちょうど合う網を仕掛ければよいのです。
ClickFixページ
最近のお気に入りです。CAPTCHA、エラーメッセージ、あるいは「続行するにはこれを修正してください」といった体裁のページが、ひそかにPowerShellやターミナルのコマンドをクリップボードに書き込み、利用者にキーの組み合わせを押して貼り付けるよう指示します。コマンドはブラウザの外、ホスト上で実行され、攻撃者の思うがままに振る舞います。
偽のアップデート画面
「お使いのブラウザは最新版ではありません。ここをクリックして更新してください」。ページはChromeやFirefox、Safariのように見えます。ダウンロードされるのはローダーです。どのステップもごく普通に感じられるのは、そう感じられるように設計されているからなのです。
他にも、規模は小さいものの無視できない経路がいくつかリストを埋めます。公式ストア外からインストールされる悪意のあるブラウザ拡張機能、侵害されたサプライチェーンパッケージ、そしてごく稀にではあるものの壊滅的な真正のブラウザゼロデイ、などです。共通の筋書きは地味で、かつ重要です。すなわち一枚のウェブページが読み込まれるということ。そしてその後に起きるすべての悪い出来事は、この一つの出来事の下流にあるのです。
段階を追った攻撃チェーン。
初期アクセスが成功してしまえば、残りのチェーンは機械的に進みます。
タブが読み込まれた瞬間から身代金要求文がデスクトップに現れる瞬間までのチェーン全体は、たった一つのことに依存した長い連鎖です。すなわちステップ2の成否です。ステップ2のペイロードが利用者のファイル、キーチェーン、タスク、サービス、ネットワーク共有のいずれにも届かなければ、チェーンはそこで止まります。ステップ2以降のすべては、攻撃者がマシンに手をかけていることを前提にしています。もし攻撃者がマシンに手をかけられなかったのなら、他のことは一切起こりません。
ブラウザは扉です。私たちはそれを壁にしました。
従来のブラウザは、20年にわたってパッチが当てられ、堅牢化され、サンドボックス化され、ファジングされ、ストレステストを重ねられてきました。それでもなお、どのコンピュータにおいても、その上で動くOSに次ぐ二番目に大きな攻撃面を大きく引き離して有しているのです。エンジニアが悪いわけではありません。ブラウザはインターネット全体の一バイト一バイトを解析し、なおかつ安全な画素を出力しなければならないからです。それは、そもそも勝てない問題なのです。
Bromureは、この問題をブラウザ側のルールで勝とうとはしません。幾何学そのものを変えてしまいます。
Bromureでは、すべてのタブが密閉された仮想マシンの中で動きます。ブラウザ、レンダラー、JavaScriptエンジン、PDFパーサー、動画コーデック — そのすべてが、あなたのファイル、キーチェーン、ウェブカメラ、写真、ローカルネットワークに一切アクセスできない使い捨てのゲストVMの中に挟み込まれています。ブラウザのバグを突いたエクスプロイトは、あなたの生活が一切含まれていない世界の中に着地するのです。
永続化なしのセッションでウィンドウを閉じると、VM全体 — ブラウザの状態も、クッキーも、ダウンロードされたものも、自らを植え付けようとしたものも、外へ届こうとしたものも — すべてが消去されます。それが存在していたことを知る必要はありません。あとで掃除する必要もありません。
隔離は最初の壁です。
あなたのユーザーアカウントで動く従来のブラウザは、あなたとファイル権限を共有しています。それは不具合ではなく設計であり、ステップ2以降の攻撃チェーン全体がそれに依存しています。Bromureはその前提を根こそぎ壊します。ブラウザプロセスはあなたのユーザーアカウントでは動かず、完全に別のマシンの中で動きます。そしてそのマシンから見えるものは、あなたが明示的に与えたものに限られるのです。
ダウンロード、ウェブカメラ、クリップボード、ローカルネットワーク — 既定ではオフです。
Bromureでは、あらゆる機能は拒否された状態から始まります。従来のブラウザでは「ただ動いてしまう」ドライブバイダウンロードも、Bromureでは、このプロファイルはファイル保存を許可している、と事前に指定していなければファイルを書き込むことはできません。ウェブカメラ、マイク、クリップボードアクセス、ローカルネットワークへのリクエストについても同じです。ほとんどのプロファイルは、これらの大半を必要としません。ほとんどのプロファイルは、これらの大半を手に入れることもありません。
プロファイルはフォルダではありません。別個のマシンです。
銀行。仕事のメール。グループチャットから送られてくるリンク用の「何でもクリック」プロファイル。Bromureでは、それぞれが独自のストレージ、独自のクッキー、独自の権限、独自の視認可能な境界色を持つ、それ自体のVMなのです。「ランダムリンク」プロファイルが侵害されたとしても — Bromureではそれ自体すでに困難ですが — 「銀行」プロファイルのクッキーには届きません。両者はそもそも同じコンピュータにはいないのです。
セッションは終わる。世界もそれとともに終わる。
あらゆるランサムウェアチェーンの第3ステップ — 永続化 — は、攻撃者にとって最も価値の高い動きです。スケジュールタスク、システムサービス、ログイン項目、ローンチデーモン。いちど自らを植え付ければ、彼らは何度でも戻ってきます。永続的なホストを相手にすれば、攻撃者は粘り強さだけで勝ちます。しかし使い捨てのBromureセッションに対しては、戻ってくる先そのものがありません。攻撃者が生きていた世界は、もう消えているのです。
隔離で解けない問題と、その対処について。
隔離は魔法ではありません。それ単体では解決できないことが二つあります。
利用者を狙ったソーシャルエンジニアリング
本物のターミナルウィンドウでコマンドをコピーして実行するよう利用者を説得するページは、ブラウザをまるごとバイパスしています。そのコマンドはサンドボックスの中ではなく、ホスト上で実行されてしまうのです。ClickFixが機能する仕組みがまさにこれです。これへの対処は別レイヤーの仕事で、ブラウザが、ページがクリップボードに書き込んだペイロードを検出し、フラグを立て、貼り付ける前に利用者に警告する必要があります。この機能はいずれ提供されますが、それまではウェブページに言われたコマンドを絶対に実行しないでください。そしてご家族にも同じことを教えてあげてください。
本物の資格情報が本物の攻撃者に渡ってしまうケース
巧妙なフィッシングページに誘導されて、利用者が本物のパスワードを本物のフォームに打ち込んでしまった場合、隔離モデルは助けになりません。資格情報は、あなたのキーボードを通じて既にサンドボックスの外へ出てしまっているからです。これへの対処はフィッシング固有の工夫が必要です。新しいドメインでパスワードが打ち込まれる直前に警告する、ブランドのなりすましを検出する、ドメインをまたいだパスワード送信を捕捉するなどです。この作業は進行中で、近々のリリースで提供される予定です。
これらのレイヤーが加わるまでの間にも、隔離だけで、最も安定的に動く産業規模のランサムウェアチェーン — 「タブ → ディスク上のファイル → 永続化 → 暗号化」と進むあのチェーン — は無効化されます。これこそが攻撃産業が収益化しているチェーンであり、Bromureが断ち切るチェーンなのです。
攻撃産業は歩みを緩めません。私たちも緩めません。
ランサムウェアは、より良い助言では止まりません。親戚にもっと注意してと頼むことでも止まりません。相手がいつか疲れて家に帰ってくれると願うことでも止まりません。彼らは疲れません。彼らには四半期目標があるのです。
彼らを1台ずつ止めていくのは、ウェブページは敵意に満ちていると最初のコード1行から想定し、敵意あるウェブページがあなたにとって大切なものに何一つ届かないようにすることを徹底して設計されたブラウザです。間違ったリンクを、間違った日に、間違った気分のときにクリックしてしまっても、最悪の結末はウィンドウを一つ閉じることで済む、そういうブラウザです。
Bromureは、そのためにあります。インストールして、既定のブラウザにして、あとは誰か他の人の悩みに変えてしまいましょう。