killsec3

KillSec3は、2024年10月28日にRansomLookの記録へ初出した攻撃グループである[s1]。Triskele Labsは、金銭目的の脅威アクターで、2024-25会計年度（FY25）に豪州・ニュージーランドの企業を積極的に狙っていた20のランサムウェアグループの一つとして把握したと説明している[s2]。

暗号化を行わない点が最大の特徴で、Triskele Labsによれば同業の多くと異なり、一般に被害者環境を暗号化しない[s2]。データの窃取（持ち出し）に注力し、ダークウェブのリークサイトで公開すると脅すことを主な恐喝手段とする[s2]。この方式はデータ窃取型、つまり単一恐喝モデルと呼ばれ、DragonForceやQilinのようにデータ窃取と暗号化を併用する二重恐喝型とは対照的だとされる[s2]。RaaSかどうかや、名称の由来、運営体制に関する記述は出典にない。

手口は、VPNの脆弱性の悪用、RDPのブルートフォース、フィッシングによる認証情報の窃取といった一般的な侵入工程を省く点に特徴がある[s2]。第一に、Amazon S3やMicrosoft Azure Blob Storageなどの設定不備でインターネットに公開されたクラウドストレージを探索し、公開状態のデータをそのままダウンロードしている[s2]。第二に、認証が不十分なままインターネットから到達できるFTPサーバーを狙う[s2]。大規模なIPアドレス帯を走査して開放ポートやサービスを探すため、技術的な高度さは要さず、効率よく多数の被害候補を見つけられる[s2]。第三に、FY25にはCrushFTPの重大な脆弱性の大量悪用キャンペーンにも関与し、ランサムウェアを展開せずに世界中の脆弱な組織からデータを持ち出した[s2]。CrushFTPの欠陥は2024年と2025年に開示された認証回避の問題で、KillSec3は公開から数日以内に悪用した攻撃者の一つとされる[s2]。個別のCVE番号は出典に示されていない。

侵入を伴わないため、マルウェアの展開、認証情報の侵害、内部での横展開がなく、フォレンジック上の痕跡が少ない[s2]。多くの被害組織は、自組織の名前がリークサイトに載って初めて被害に気づいたという[s2]。恐喝の圧力手段はリークサイトでの公開の予告である[s2]。連絡手段としてRansomLookはtox、telegram、sessionを記録している。Toxは9453686EAB63923D1C35C92DDE5E61A6534DD067B5448C1C8D996A460B92CA5055C1AB0FCD22、Telegramはhxxps://t[.]me/killsecc、Sessionは05cb94c52170c8119f7ebc2d8afc94b9746bc7c361d91c49e7d18e96e266582a07である[s1]。リークサイトのドメインは出典にない。

標的と被害について、Triskele LabsはKillSec3がFY25に少なくとも7つの豪州組織を狙ったことを把握しており、同社が複数回のインシデント対応を行った脅威アクターの一覧にも名前が載ったとしている[s2]。業種別の内訳や日本の組織名・時期は出典にない。

動向として、Triskele Labsは2026年5月22日付の記事でKillSec3の状態を「ACTIVE」と評価した[s2]。Red Piranhaの2025年12月23〜29日の週次レポートでも、ランサムウェア被害の投稿件数が少ない活動グループの一つとして、全体の0.55%を占める形でKillSec3が挙げられている[s4]。