3AMが英国の学校環境で約37台を暗号化―AIによる反復操作の可能性を分析

Bitdefenderは2026年11月3日、英国の学校環境を侵害したランサムウェア「3AM」の調査結果を公表しました。攻撃者は監視エージェントのない端末から約50台へ到達し、9月19日朝に約37台を暗号化しました。分析対象は個別の侵害事例です。

9月10〜11日には、Veeamのバックアップサーバー3台から認証情報が取得されました。攻撃者はデータベースとWindowsの暗号化機構DPAPIを扱う公開ツールを利用し、別のサーバーではChromeのログイン情報も収集。その後、Windows標準のnetdomなどでドメインの信頼関係やアカウントを操作し、侵害範囲を広げました。最初の侵入経路は判明していません。

AI利用の根拠となったのは、LLMが生成したと考えられる命令内容と、40〜100秒間隔で繰り返された修正・再試行です。ただし、攻撃者側の端末を確認できておらず、人がAIの回答をコピーして実行した可能性も排除できません。AIエージェントの反復処理という説明は研究者の仮説です。

監視エージェントを無効化する試みは阻止された一方、暗号化被害は発生しました。担当者が見直す対象は、監視対象外の端末、バックアップ用認証情報の権限、通常はまれなドメイン信頼関係の変更です。今回の報告だけで、Veeam製品の脆弱性が入口だった、または攻撃全体が自律実行されたとは判断できません。