space bears

Space Bears（スペース・ベアーズ）は2024年初頭に確認されたランサムウェア攻撃者グループです。RansomLookの記録では初出は2024年4月29日です。[s4][s5] 出典はいずれも、2024年初頭に現れた比較的新しいグループと位置付けています。[s4][s5] 名称の由来や運営形態（RaaSかどうか）に関する記述は出典にありません。出自は定かでなく、長く活動してきたサイバー犯罪ネットワークとの間でツール、ソフトウェア、手口に共通点があるとの分析が複数あり、経験豊富な犯罪者ネットワークとのつながりを示唆するとされています。[s4][s5] 組織的で統制の取れたグループで、大企業、重要インフラ、政府部門を主な標的にしているとされます。[s4][s5]

手口は二重脅迫型です。ファイルを暗号化し、機密データを窃取したうえで、復旧のための支払いと、データの公開・ダークネット上のリークサイトへの掲載や販売の阻止という二つの目的で金銭を要求します。[s4][s5] 身代金は暗号資産での支払いを求めることが多いとされています。[s4][s5] 攻撃対象はWindowsとLinuxの両環境です。[s4][s5] 初期侵入の経路として、RDPの脆弱性、フィッシングメール、サプライチェーン（ソフトウェアサプライチェーン）の脆弱性が挙げられており、悪意あるダウンロードを挙げる出典もあります。[s4][s5] 侵入後はセキュリティ機能を無効化し、SQLデータベースを破壊し、重要データを暗号化するとされます。[s4][s5] 窃取したデータは第三者のインフラ経由で送り出し、追跡を難しくしているとされます。[s4] 支払いに応じない被害者にはDDoS攻撃を仕掛けた例も報告されており、圧力を重ねる手段になっています。[s4][s5] 脅迫の圧力手段としては、同業のリークサイトが被害組織を「無責任」「怠慢」と非難し、個人や取引先に訴訟や賠償請求を促す手法も他グループで広がっていると報告されています。ただしSophosの記事はSpace Bearsを名指ししていません。[s3] 初期侵入の経路や使用ツールについて、MITRE ATT&CKのIDやCVE番号を挙げた出典はありません。

標的は特定の業種に限られず、製造、小売・Eコマース、専門サービス、ヘルスケア、テクノロジー、エネルギー・公益、運輸、金融、政府・防衛など広範にわたります。[s4] 国別でも米国、イタリア、ドイツ、ブラジル、スペイン、英国などに被害が分布しています。[s4] 日本の被害として、ホスピタリティ業の組織が2026年3月19日に掲載された例のほか、製造業の組織が2025年1月9日に、テクノロジー業の組織が2025年5月28日に掲載された例があります。[s4] いずれも組織名は出典に記載がありません。また、豪州の被害者としてITプロバイダの大手が挙げられ、Atosの専有データが露出したと伝えられています。[s4] 被害の対象には、財務文書、顧客データ、税務サービス、会計記録が含まれる例があります。[s4] 累計の被害件数について、ある出典は「74件」と記しています。[s5] 一方で、別の出典の被害一覧は2024年6月から2026年9月まで多数の掲載を並べており、掲載件数は大きく増えています。[s4] 出典間の数字は集計時点の違いによるものとみられます。身代金要求額は50万〜300万ポンドの範囲とする見方があります。[s5] 侵害から発覚まで通常2〜4週間かかるため、暗号化された時点ですでにデータは持ち出されている可能性が高いと指摘されています。[s5]

動向として、グループは初出から2年以上たった2026年9月時点でも被害掲載が続いており、活動は継続中とみられます。[s4] 同じ出典は、速度と手口の複雑さから「深刻で進化する脅威」と評しています。[s4] 摘発、逮捕、改名、内紛、提携に関する記述は出典にありません。リークサイトの所在や連絡手段のハンドルも出典には示されていません。