ShinySp1d3rとは？ShinyHuntersの新RaaSの技術と2026年時点の実態

ShinySp1d3r（シャイニースパイダー）は、データ窃盗集団ShinyHuntersが2025年後半に公開した新しいランサムウェア・アズ・ア・サービス（RaaS）です。既存コードの流用ではなく新規開発とされる点、ChaCha20とRSA-2048を組み合わせた暗号化やEtwフックによるログ回避を備える点が報じられ、大きく取り上げられました。一方で2026年時点でも実運用による被害は確認されておらず、多くは開発段階のサンプル解析にもとづく報道です。本記事では、確認されている技術仕様、開発元のScattered LAPSUS$ Hunters（SLSH）と関連事件、そして現時点で何がわかっていないのかを一次情報から整理します。ランサムウェアそのものの仕組みはランサムウェアの定義と基本概念の解説を先に押さえると理解が速くなります。

まとめ：ShinySp1d3rの要点

• 正体：ShinyHuntersが自組織用に開発した二重脅迫型ランサムウェア（RaaS）。開発者はHellcatのリークサイト運営に関与した「Rey」とされる。
• 暗号化：ChaCha20＋RSA-2048。ファイルヘッダに「SPDR」開始・「ENDS」終了のマーカーを付与し、拡張子はファイルごとに異なる。
• 回避技術：EtwEventWriteフックでイベントログを無効化、シャドウコピー削除、空き領域への乱数書き込み（wipe-*.tmp）。
• 拡散：SCMサービス生成・WMI（Win32_Process.Create）・GPOスタートアップスクリプトの3経路。当初はWindows専用で、Linux/ESXi版とアセンブラ実装の「Lightning版」を開発中。
• 2026年の実態：Unit 42の解析では開発段階の検体のみで、ShinySp1d3rによる実被害は未確認。開発元SLSHはSalesforce関連のデータ窃取で活動を続けている。

ShinySp1d3rの定義と開発主体

ShinySp1d3rは、他組織のプラットフォーム（ALPHV/BlackCat、DragonForceなど）を借りて活動してきたShinyHuntersが、収益を自組織内で完結させるために独自開発した暗号化ツールです。「Sp1d3r」はLeet表記の「Spider」で、ShinyHuntersとScattered Spiderの連携を名称で強調しています。BleepingComputerの取材では、開発を主導するのはHellcatのリークサイト運営に関与した経歴を持つ「Rey」とされ、既存の流出コードを使わずゼロから書き起こしていると報じられています。ただしKrebsOnSecurityでは、Rey自身がHellcatのソースをAIで改変したものだと述べたとも報じられており、コードの由来には見解の相違があります。運用形態は一般的なRaaSと同じく、運営者が暗号化ツールを提供し、アフィリエイトが標的選定と攻撃実行を担い、身代金の70〜80%をアフィリエイトが受け取るという一般的なRaaSの相場に準じるとみられます。

ShinySp1d3rの技術的特徴

暗号化方式（ChaCha20＋RSA-2048）

ファイル暗号化には対称鍵のChaCha20と公開鍵のRSA-2048が併用され、各ファイルは異なるチャンクサイズとオフセットで分割暗号化されます。復号に必要な情報はファイルヘッダに埋め込まれ、ヘッダは固定マーカー「SPDR」で始まり「ENDS」で終わります。拡張子は数式にもとづきファイルごとに異なる文字列が付与されるため、単純なパターンでは判別しづらい設計です。暗号化完了後はランサムノートを配置し、デスクトップ背景を身代金要求画面へ切り替えます。

ログ回避とフォレンジック妨害

WindowsイベントログのAPIであるEtwEventWrite関数をフックし、暗号化処理の痕跡をイベントビューアに残さないようにします。加えてボリュームシャドウコピー（VSS）を削除してバックアップからの復旧を封じ、暗号化後は自身のメモリ領域をクリアして解析を妨害します。ドライブの空き領域には「wipe-[ランダム].tmp」というファイルで乱数を書き込み、削除済みファイルの復元を困難にします。

プロセス停止と自己拡散

ファイルをロックしているプロセスを列挙して強制終了し（Restart Manager APIの利用も計画）、アンチウイルスやバックアップソフトを無効化してから暗号化を進めます。ネットワーク内の拡散は、SCM（サービス制御マネージャ）によるサービス生成、WMIのWin32_Process.Create、GPOスタートアップスクリプトの3経路が確認されており、一度侵入を許すとドメイン全体へ感染が波及します。初期侵入自体は脆弱性悪用よりもソーシャルエンジニアリング（ヴィッシング等）に依存する傾向がある点が、この系統の攻撃者の特徴です。

対応OSとマルチプラットフォーム化

公開当初のビルドはWindows専用です。ShinyHuntersはランタイム設定機能を組み込んだCLIビルドを完成させ、LinuxおよびVMware ESXi向けのビルドも「完成間近」と主張しています。さらに、完全にアセンブリ言語で記述し処理速度を高めた別実装「Lightning版」も開発中とされます。ESXi版が実現すれば1台のホスト上の複数の仮想マシンを一括で暗号化でき、被害規模が跳ね上がるため、仮想化環境の管理者も監視対象に含める必要があります。

開発元SLSHとSalesforce関連事件

Scattered LAPSUS$ Hunters（SLSH）の構成

ShinySp1d3rを掲げる組織は自称「Scattered LAPSUS$ Hunters（SLSH）」で、Scattered Spider（UNC3944）、LAPSUS$、ShinyHuntersの3集団が2025年8月に共同チャンネルを開設して結成した連合体です。役割分担は、Scattered Spiderが初期侵入（ソーシャルエンジニアリング）、ShinyHuntersがデータ窃取と公開、LAPSUS$関係者が脅迫の拡散を担う形と報じられています。いずれも英語圏の若年層が中心で、大規模なサイバー犯罪ネットワーク「The Com」の一部とみなされています。

Gainsight／Salesforceのサプライチェーン侵害

SLSHの活動で最も規模が大きいのが、2025年のSalesforce関連の一連のデータ窃取です。Salesforceと連携するGainsightがOAuthトークンを悪用され、ShinyHunters（Bling Libra）はこの経路でさらに285社分のSalesforceインスタンスにアクセスしたと主張しました。流出対象には氏名・業務用メール・電話番号・所在地・製品ライセンス情報・サポートケース内容などが含まれ、Jaguar Land Roverなども標的に挙がっています。これはサードパーティ製アプリの侵害が接続先企業全体へ波及するサプライチェーン攻撃の典型で、対策として認証情報の無効化と多要素認証の適用が推奨されました。国内でも二重脅迫の被害が続いており、暗号化を伴うアスクルのランサムウェア被害（約74万件流出）と、暗号化せずデータ窃取に絞った村田製作所の攻撃が、手口の違いを示す対照的な事例として参考になります。

2026年時点の実態：報道と現実のギャップ

ここが最も誤解されやすい点です。ShinySp1d3rは「三大脅威集団が開発する最先端RaaS」として大きく報じられましたが、Palo Alto Networks Unit 42の解析によれば、2026年前半の段階で確認されているのは開発段階の検体のみで、身代金要求サイトのアドレスもプレースホルダー、ShinySp1d3rによる実際の被害展開は確認されていません。つまり暗号化ツールそのものはまだ本格運用に至っていない、という理解が正確です。

一方で、開発元のShinyHuntersは暗号化を伴わないデータ窃取・恐喝では2026年も世界有数の活動量を維持しています。SaaSの認証情報悪用やヴィッシング（音声フィッシング）を軸に、Salesforce Experience Cloudの設定不備を突いて多数の組織を標的にしたと報じられ、被害はエンドポイントの脆弱性悪用ではなく人とクラウド設定を突く形が中心です。したがって企業が現実に警戒すべきは「ShinySp1d3rの暗号化」よりも、まず初期侵入に使われるソーシャルエンジニアリングとSaaS連携アプリの管理です。RaaSが本格稼働した場合に備える意味で技術仕様を把握しておく価値はありますが、脅威の宣伝と実運用の被害は切り分けて評価すべきです。

組織が取るべきShinySp1d3r対策

初期侵入の遮断（最優先）

この系統の攻撃は脆弱性より人を狙います。ヘルプデスクへのなりすまし電話やMFA疲労攻撃を想定し、パスワードリセット時の本人確認手順を厳格化します。全アカウントでフィッシング耐性のあるMFA（FIDO2など）を必須化し、SaaSの外部連携アプリ（OAuthトークン）の棚卸しと権限最小化を定期実施します。

暗号化・拡散への備え

侵入後の横展開を止めるため、ネットワークセグメンテーションと最小権限のアクセス制御を徹底します。ShinySp1d3rはシャドウコピーを削除するため、バックアップはオフラインまたは別ネットワークに隔離した3-2-1構成とし、復旧手順を演習で検証しておきます。ESXi/Linux版の登場に備え、仮想化基盤の管理ネットワークも分離します。

EDR検知と情報共有・IR体制

シグネチャに依存しないEDRや挙動分析を導入し、EtwEventWriteフックやサービス・GPOの不審な変更を監視します。CERTやISAC/ISAOでの脅威情報共有に参加し、インシデントレスポンス計画とフォレンジック・法執行機関との連携手順を平時から整えておきます。

よくある質問

ShinySp1d3rはもう実際に被害を出していますか？

2026年前半時点では、Unit 42の解析で開発段階の検体が確認されているのみで、ShinySp1d3rの暗号化による実被害は公表されていません。ただし開発元のShinyHuntersはデータ窃取・恐喝で活発に活動しています。

ShinySp1d3rはどの暗号化方式を使いますか？

ChaCha20（対称鍵）とRSA-2048（公開鍵）の組み合わせです。ファイルヘッダに「SPDR」〜「ENDS」のマーカーが付与され、拡張子はファイルごとに異なります。

ShinyHuntersとScattered Spiderの違いは何ですか？

ShinyHuntersはデータ窃取と公開・恐喝を得意とし、Scattered Spiderはソーシャルエンジニアリングによる初期侵入を得意とします。両者はLAPSUS$とともにSLSHとして連携し、役割を分担しています。

Windows以外も標的になりますか？

公開当初はWindows専用ですが、開発元はLinuxおよびVMware ESXi向けのビルドを準備中と主張しています。ESXi版が実現すると仮想マシンの一括暗号化が可能になり、被害が拡大します。

最も効果的な対策は何ですか？

初期侵入を断つことです。フィッシング耐性のあるMFA、ヘルプデスクの本人確認強化、SaaS連携アプリの権限管理、そして隔離バックアップの3点が費用対効果の高い基本対策です。

関連記事

• ランサムウェアとは？定義と基本的な概念を理解する
• ソーシャルエンジニアリングとは？手口の分類と実装者向けの技術的対策を解説
• 2025年に発生したアスクルへのランサムウェア攻撃：約74万件の個人情報流出事件の概要と影響を解説
• 村田製作所が2026年3月に公表した不正アクセス被害の全容と発覚までの経緯