Orova

Orova（オロヴァ）は、RansomLook の記録で初出が 2026-08-04 とされるランサムウェア／恐喝グループです。

Orova について、alvaka.net は公開情報が限られた新興のランサムウェア兼サイバー恐喝の活動体だと説明している[s5]。確認済みの公開ツールを持つ十分に文書化されたマルウェアファミリーというより、新興の脅威として捉えるのが適切だとも述べている[s5]。公開情報が乏しいことを理由にリスクが低いと見なすべきではない、というのが同社の見解である[s5]。

一般論として、ランサムウェアの運営には、攻撃者自身が開発から攻撃までを担う垂直統合型と、RaaS（Ransomware as a Service）による分業型がある[s4]。RaaS では、開発・運営側が攻撃実行者にランサムウェアやリークサイトなどの環境を提供し、見返りに身代金の一部を受け取る[s2]。ただし、Orova がどちらの形態で運営されているかを示す出典はない。

侵入から恐喝までの流れについて、alvaka.net は、Orova 関連の事案では不正アクセス、偵察、権限昇格、横展開、機微データへのアクセス、バックアップへの攻撃を経て、最終的に恐喝圧力に至る可能性があると説明している[s5]。初期侵入の経路としては、フィッシング、窃取された認証情報、露出したリモートアクセスサービス、脆弱なエッジ機器、保護の弱い管理ツールといった一般的な入口が挙げられている[s5]。同社はこれらを Orova 固有の確認済み手口ではなく、可能性の高い侵入カテゴリとして扱うよう求めている[s5]。使用ツールや暗号化の挙動、リークサイトの所在、連絡手段は、出典では特定されていない。

攻撃者は、環境の把握、特権アカウントの特定、ファイル共有やバックアップ経路の確認を行い、業務への圧力が最も大きくなる系統を見極めるとされる[s5]。暗号化、データ窃取、恐喝メッセージは、十分な交渉材料を得たと攻撃者が判断した後に出てくる場合がある[s5]。同社は、暗号化が見えなくても、機微ファイル、管理者アカウント、クラウド資源、バックアップが侵害されている可能性があるため、二重脅迫型の事案として扱うよう勧めている[s5]。

二重脅迫の一般的な仕組みとして、攻撃者は事前に窃取した情報の項目や一部を自らのサイトに公開して交渉に持ち込み、交渉の成り行き次第で公開内容を増やすことがある[s4]。国内の被害例では、ソフトウェア開発企業で従業員の個人情報や業務計画などが窃取され、攻撃者のサイトに公開されたという[s4]。

警察庁は、データを暗号化せずに窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると述べている[s2]。

日本の組織に対する Orova の被害は、出典に記載がない。被害組織の名称や時期、地域・業種の傾向を示す出典もない。

防御面では、alvaka.net は次の兆候への注意を挙げている。

- 不審な VPN・RDP・リモート管理・管理者ログイン[s5] - 通常サーバを管理しないアカウントによるシステム間の移動[s5] - 業務パターンから外れた大容量転送やアーカイブ作成[s5] - バックアップ、エンドポイント保護、ログ、復旧ツールへの改ざん[s5]

疑いが生じた場合は、証拠を保全しながら疑わしいシステムをネットワークから隔離し、ランサムノートやログ、認証データを保存し、バックアップの検証を経てから復旧に進むべきだとしている[s5]。法務、保険、経営層、インシデント対応の関係者と調整することも勧めている[s5]。侵入経路を把握しないまま復元すると、攻撃者のアクセスが残り再感染のリスクが高まるとも指摘している[s5]。

Orova の動向としては、RansomLook に初出 2026-08-04 の記録があり、alvaka.net が新興グループとして復旧支援ページを設けている[s5]。摘発、改名、提携といった動きを示す出典はない。なお Trend Micro は、2022 年以降に登場した新興グループが 2024 年下半期から急拡大し、同年 10 月時点で上位 10 グループがリーク数の 90％ を占めたと報告している[s4]。