CyberSecurityAction

サイバー攻撃トレンド

Akiraランサムウェアが「セーフモード起動」でEDRを無効化—データ窃取は成功も暗号化は失敗

Akira関連アクターがWindowsセーフモードを悪用してエンドポイント保護を回避する新戦術が確認。EDR万能論に警鐘を鳴らす事例であり、多層防御の重要性を再確認する機会となっている。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
Akiraランサムウェアが「セーフモード起動」でEDRを無効化—データ窃取は成功も暗号化は失敗

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）7.5
EXPLOIT（悪用の容易さ）7.0

“EDR回避の実戦的新戦術。日本国内でのAkira被害も増加傾向にあり要注意。”

01 · Overview

ニュースの概要

2026年8月13日、BleepingComputerはAkiraランサムウェアの関連アクターが侵害したシステムをセーフモードで再起動させることでエンドポイント検知・対応（EDR）ソリューションを無効化し、データを窃取することに成功した事例を報告した。今回の攻撃ではデータ窃取は成功したが暗号化には失敗したとされる。

Akiraランサムウェアは2023年に登場し、国内外で医療機関・教育機関・製造業などを標的とした侵入型ランサムウェア攻撃で知られるグループである。近年では高度なEDR回避技術の採用が確認されており、今回の「セーフモード起動によるEDR無効化」はその最新事例となる。

Windows セーフモードはOSの最小限の構成で起動するトラブルシューティングモードであり、多くのサードパーティ製セキュリティソフトウェア（EDR含む）がセーフモード起動時にはロードされない仕様になっている。攻撃者はこの仕様を悪用し、EDRが機能しない状態でデータ窃取ツールを実行した。

今回の事案では暗号化には失敗しているが、窃取されたデータは二重脅迫（データ公開脅迫）に使用される可能性がある。また同様の手法がデータ暗号化にも成功するよう改良されることも十分考えられる。国内のAkira被害報告も増加傾向にあり、この戦術を把握することは防衛上重要である。

攻撃グループ
Akiraランサムウェア関連
EDR回避手法
Windowsセーフモードでの再起動
被害状況
データ窃取成功・暗号化失敗
報告日
2026年8月13日
対象OS
Windows
脅迫手法
二重脅迫（データ公開脅迫）

BleepingComputer報道に基づく。被害組織名や具体的な侵入経路は非公開。手法はAkiraアフィリエイトの一つによるものとみられる。

02 · Analysis

詳細な原因解説

今回の攻撃の核心は「Windowsのセーフモードを悪用したEDR無効化」である。Windowsがセーフモードで起動する際、スタートアップに登録されたドライバやサービスの多くが読み込まれない。多くのEDR製品はカーネルレベルのドライバとして動作するが、セーフモードでは必須ドライバとして登録されていない限りロードされないため、実質的に機能停止状態となる。

攻撃者は侵害後に管理者権限を取得し、Windowsのスタートアップ設定（BCDedit）を変更してセーフモードでの再起動を仕掛ける。再起動後、EDRが動作していない状態で自分たちのツール（データ窃取ツール・ランサムウェア等）を実行するという手順をとる。このアプローチは特別な脆弱性を必要とせず、Windowsの正規機能を悪用するため「Living off the Land」の一形態といえる。

今回の事例では暗号化に失敗したが、これはAkiraが使用した暗号化モジュールがセーフモード環境で動作しなかった可能性、または防衛側が途中で気づいて対応した可能性が考えられる。いずれにせよデータは既に窃取されており被害は発生している。

このEDR回避手法はAkira固有のものではなく、BlackMatter、Avoslocker、REvil等の他のランサムウェアグループでも過去に類似の手法が観測されている。今後他のグループへの手法拡散が懸念される。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER: EDR回避手法の進化予測

Q. 攻撃者はEDR回避手法をどう「組み合わせ・発展」させるか？

【組み合わせ（Combine）】セーフモード起動とBYOVD（Bring Your Own Vulnerable Driver）を組み合わせると、セーフモード時に脆弱なドライバを通じたカーネルレベルのEDR無効化が可能になる。この手法は実証済みのものが存在する。【発展（Modify）】セーフモード起動ではなく、EDRプロセスの一時停止や設定ファイルの改ざんによる無効化など、再起動を必要としないよりステルスな手法へのシフトが予想される。【転用（Put to other uses）】同手法をネットワーク監視（NDR）や次世代ファイアウォール（NGFW）の設定変更に転用し、ネットワーク側の防衛も無効化する拡大版攻撃への発展が懸念される。

システム思考: 「EDR万能」という防御の落とし穴

Q. なぜ単一のセキュリティソリューションへの依存がリスクを高めるのか？

EDRは強力なセキュリティツールだが「EDRを入れれば安全」という過信が防衛の盲点を生む。今回の事例はその典型であり、「EDRが動いているから大丈夫」という前提が崩れたとき代替の検知・対応手段がない組織は完全に無防備になる。システム的に見ると「単一防衛策への依存→その回避手法の出現→防衛失敗→信頼の崩壊→代替策の緊急探索」というサイクルが繰り返される。多層防御（Defence in Depth）は冗長に見えるが、この脆弱なサイクルを断ち切る唯一の設計原則である。EDR＋NDR＋SIEM＋人的分析の組み合わせが現実解である。

EDR無効化シナリオに備えた多層防御の実装

EDRが無効化されても検知・対応できる「次の防衛ライン」を準備することが鍵である。ネットワーク検知・対応（NDR）ツールによる通信異常の検知、SIEMによるWindowsイベントログの相関分析（bcdedit実行・セーフモード起動イベントの監視）、マネージドSOCサービスによる24時間監視の組み合わせが有効である。

また管理者権限の厳格な管理（PAM導入、Just-in-Time特権アクセス）により、攻撃者がbcdeditを実行するために必要な管理者権限を取得する段階での検知・阻止に力を入れることが根本的な対策となる。権限管理の強化はあらゆるEDR回避手法に対して横断的に有効な防衛策である。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]のSOCアナリストです。[組織名]は[業種]で、[EDR製品名]を利用しています。 Akiraランサムウェアのセーフモードを使ったEDR回避手法が確認されたことを受け、以下を支援してください： 1. [EDR製品名]のセーフモード保護機能の設定確認方法と有効化手順 2. bcdedit実行を検知するSIEMクエリ（利用SIEM：[SIEMツール名]） 3. Windowsセーフモード起動イベントの検知ルール設定例 4. 「EDRが無効化された状態」を前提としたインシデント対応フローのドラフト 5. 経営層への多層防御投資の必要性を説明するための資料（エグゼクティブサマリー形式） [特記事項]があれば考慮してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

あなたの組織名

業種・業態

導入しているEDR製品名

利用しているSIEM製品名

環境の特記事項（仮想化基盤、OT/IT統合環境等）

キーワード

  • Akira
  • ランサムウェア
  • EDR回避
  • セーフモード
  • 多層防御

SOURCES · 参考情報源