ラテラルムーブメントとは？手口・検知・対策をわかりやすく解説

ラテラルムーブメントとは？侵入後にネットワーク内で被害を広げる攻撃

ラテラルムーブメント（日本語では水平移動・横展開などと呼ばれる）とは、侵入に成功した攻撃者が、認証情報の窃取や権限の昇格を重ねながら、ネットワーク内の別の端末やサーバーへ移動して被害を広げる行為である。最初の侵入口は一台の端末やVPN機器にすぎない。そこから数分から数十分のうちに内部を横断し、最終的に重要サーバーやActive Directory（AD）の管理者権限を掌握するのがランサムウェア攻撃の典型的な流れだ。

防御の要点は、入口の管理・ログとバックアップ・特権アカウントの最小化といった土台を固めたうえで、EDR/XDR・UEBA・ITDRといった仕組みが「いつもと違う認証や管理ツールの使い方」を検知し、自動隔離で拡大を止めることだ。AIはその検知と自動化の中核を担うが、攻撃側もAIを使う現在、人手の運用だけでは追いつかない。AIセキュリティの3つの意味（AIを守る・AIで守る・AIに攻められる）でいえば、このページが扱うのは「AIで守る」と「AIに攻められる」の二つにまたがる部分だ。

このページは、意味、攻撃の流れ、代表的な手口とツール、実際の事例、見つけ方、防ぎ方、疑われたときの初動の順に進む。企業の情報システム担当・セキュリティ担当が確認すべき論点を、MITRE ATT&CKと国内の一次情報に基づいて整理する。

盗まれた認証情報で社内に入り込まれたときは、多要素認証の突破の手口とAIで防ぐ方法で解説しています。

関連記事サプライチェーン攻撃の手口と対策は？

ラテラルムーブメントと水平展開・横展開・ピボット・権限昇格の違い

ラテラルムーブメントは、解説によって「水平移動」「水平展開」「横展開」など呼び方が分かれる。意味は同じで、英語のlateral movement（lateralは「横方向の」の意味）を日本語にしたものだ。一方で、権限昇格やブレイクアウトタイムのように、似ていて指す範囲が違う言葉もある。検索結果やセキュリティ製品の資料を読むときに迷わないよう、先に言葉の違いを整理する。

要するに、「入る」のが初期侵入、「高い権限を得る」のが権限昇格、「別の端末やサーバーへ広がる」のがラテラルムーブメントである。後の節では、この三つを区別して手口と対策を説明する。

攻撃者はなぜ横展開をするのか：最初の端末では目的を果たせないから

侵入の入口になる端末やVPN機器には、攻撃者が欲しいものが置かれているとは限らない。MITRE ATT&CKはTA0008の説明で、攻撃者が目的に到達するには複数のシステムとアカウントを経由する（pivoting）必要があることが多いとしている。つまり横展開は、入口から「価値のある場所」へ近づくための移動である。

価値のある場所とは、たとえば次のようなものだ。

• ADの管理者権限：ADを握ると、組織内の多くの端末とアカウントを一括で操作できる。
• 重要なサーバー：業務システムや個人データが保存されたサーバーは、データの窃取と暗号化の両方の標的になる。
• バックアップや管理用の機器：復旧の手段を先に押さえれば、暗号化された後の選択肢が減る。

アサヒグループホールディングスが公表した事案でも、拠点のネットワーク機器から入り、データセンターで管理者権限を奪い、複数のサーバーを探索したうえで、ランサムウェアが一斉に実行されている（出典：アサヒグループホールディングス、2026年2月18日。詳細は後の事例の節で扱う）。入口の端末だけを見ていては、この「移動」の段階を見逃す。だから、ラテラルムーブメントは侵入の完了ではなく、被害が大きくなる分かれ目として扱う必要がある。

事業への影響も、この移動の範囲で決まる。同じ公表資料によれば、アサヒグループホールディングスでは複数のサーバーと一部PCのデータが暗号化され、被害の拡大を抑えるためにデータセンターのネットワークを切り離す対応が取られた。従業員に貸与したPCの一部のデータが外部に出たほか、データセンターのサーバーに保存されていた個人情報が漏れた可能性も示されている。横展開が広がるほど、業務の停止、個人データの漏えい、法令上の報告（後の節で説明する）が同時に起きやすくなる。

ラテラルムーブメントはどう進む？攻撃の流れと9つの手口（MITRE ATT&CK TA0008）

MITRE ATT&CKはラテラルムーブメントをTA0008として定義し、「The adversary is trying to move through your environment.（攻撃者は環境内を移動しようとしている）」と説明する。ネットワーク上のリモートシステムに入り込んで制御するための技術群であり、複数のシステムやアカウントを経由（ピボット）しながら最終目的に到達することが多い（出典：MITRE ATT&CK TA0008、2026年10月時点）。

攻撃の流れを図示する。

MITRE ATT&CKのTA0008には9種の技術が分類されている。主なものを以下にまとめる。

ラテラルムーブメント（TA0008）の主な技術（MITRE ATT&CK、2026年10月時点）

技術ID	技術名	概要
T1021	Remote Services	RDP・SMB・SSH・VNCなど正規のリモートサービスを悪用して別システムへ移動する
T1550	Use Alternate Authentication Material	Pass the Hash（T1550.002）・Pass the Ticket（T1550.003）などパスワード本体を使わずに認証を突破する
T1563	Remote Service Session Hijacking	確立済みのSSH・RDPセッションを乗っ取る
T1210	Exploitation of Remote Services	リモートサービスの脆弱性を直接突いて別システムに侵入する
T1072	Software Deployment Tools	ソフトウェア配布ツールを悪用してマルウェアを横展開する
T1080	Taint Shared Content	共有フォルダ・リポジトリにマルウェアを仕込み他端末に感染させる
T1534	Internal Spearphishing	侵害済みアカウントから組織内に向けたフィッシングを送る
T1570	Lateral Tool Transfer	攻撃ツールを組織内の別システムへ転送して使用する
T1091	Replication Through Removable Media	USBメモリ等を経由してエアギャップ環境にも感染を広げる

これらの手口に共通するのは「正規の認証情報や正規のツールを使う」点だ。攻撃者は外から異物を持ち込むのではなく、組織の内部にある仕組みをそのまま使う。それが検知を難しくする根本的な理由である。

権限昇格（TA0004）はラテラルムーブメントの前段に置かれることが多い。TA0004の定義は「より高い権限を得ようとしている」であり、Valid Accounts（T1078）やProcess Injection（T1055）など13種の技術が含まれる（出典：MITRE ATT&CK TA0004、2026年10月時点）。権限を昇格させることで、横断の移動先でより多くのリソースにアクセスできるようになる。

ラテラルムーブメントの手口の仕組み：Pass the Hash・RDP・認証情報の窃取

上の表の9種のうち、国内の解説でもよく名前が挙がる2つを、攻撃者が何をしているのか、どこに手がかりが出るのかに絞って説明する。

どちらも、攻撃者は「正規の認証情報」で入ってくる。マルウェアの検知だけでは気づきにくく、認証の記録と、その後の操作を結び付けて見ることが手がかりになる。Pass the Hashには、ハッシュ値からKerberosのチケットを作り、別の手口（Pass the Ticket）につなげる派生もある（MITRE ATT&CK、2026年10月時点）。

横展開の燃料：認証情報の窃取・代表的なツール・社内からのフィッシング

横展開を可能にするのは、移動先で使える認証情報だ。MITRE ATT&CKが挙げる、その入手と悪用の手口を2つ取り上げる。

どちらも、ここまでの手口と同様に、正規のアカウントとWindowsの正規の機能を使う。ネットワークの入口だけを守っても止まらず、端末側の保護と、アカウントごとの異常の検知を重ねる必要がある。

こうした手口には、よく名前が挙がるツールがある。ツールの名前を知っておくと、ログやアラートの文言と結び付けやすい。

クラウド環境のラテラルムーブメント：社内の認証がクラウドへの入口になる

ラテラルムーブメントは社内のネットワークだけで起きるわけではない。社内のADと同期・連携しているクラウドのアカウントを足がかりに、クラウド側へ移る手口がある。MITRE ATT&CKは、Cloud Services（T1021.007）として、同期・連携された有効なアカウントでクラウドのサービスにログインし、そのユーザーとして管理操作や資源へのアクセスを行う手口を挙げている。APT29が、同期された特権アカウントでMicrosoft 365へ到達した例が示されている。^{MITRE ATT&CK T1021.007}

社内のADの特権アカウントがクラウドと同期されていると、社内で奪われた認証情報がクラウドの管理者の権限に直結しうる。社内とクラウドを分けて点検することが重要だ。^{MITRE ATT&CK M1030}

横展開の前後で攻撃者がすること：偵察・正規ツールの悪用・遠隔操作・居座り

横展開は単独で起きるのではなく、前後の動きとつながっている。MITRE ATT&CKでは、環境を調べる段階（偵察）、正規の機能で命令を実行する段階、侵害した端末を遠隔から操作する段階、そして居座る段階が別々の戦術として整理されている。横展開を見つけるには、これらの動きが「どこに手がかりを残すか」を知っておくとよい。

ここで挙げた命令の多くは、管理者が日常的に使う正規の機能だ。そのため、命令の名前だけで悪意を判断することはできない。誰が、どの端末から、どの順で実行したのかという前後のつながりを見る必要がある。この考え方は、検知の節で説明するログの突き合わせにつながる。

ラテラルムーブメントの実際の事例

アサヒグループホールディングス（2025年9月〜2026年2月）

国内の事例として詳細が公表されている事案として、アサヒグループホールディングスのランサムウェア被害がある。攻撃の流れは次の通りだ（出典：アサヒグループホールディングス、2026年2月18日公表）。

1. 障害発生の約10日前、拠点のネットワーク機器を経由して内部に侵入
2. 主要データセンターで「パスワードの脆弱性をついて管理者権限を奪取」
3. 奪取したアカウントで内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返す
4. 2025年9月29日、ランサムウェアが一斉に実行され複数のサーバーと一部PCのデータが暗号化。従業員貸与PCの一部データも流出

「権限奪取→内部探索（横展開）→一斉暗号化」というラテラルムーブメントの教科書的な流れが、国内の大手企業で実際に起きた事例である。注目すべきは「業務時間外に繰り返した」という点だ。

警察庁が同時期に指摘するように、ランサムウェアグループは金曜の営業終了後に侵入して月曜朝までに暗号化を実行し、再侵入のためにバックドアを設置し、痕跡を消すためにログとバックアップを消去する戦術を取る（出典：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」、2025年9月）。人手の監視が手薄になる時間帯を突くのは、組織的な判断である。

国内の被害規模（2025年）

警察庁の統計によれば、令和7年（2025年）の国内ランサムウェア被害は226件が認知された（出典：警察庁 Cyber Police Agency Letter 2025 Vol.15、2026年3月）。令和7年上半期だけで116件と半期として過去最多タイとなり、中小企業が77件で全体の約3分の2を占めた。調査・復旧費用が1,000万円以上の組織は50%から59%に増加している（出典：警察庁、2025年9月）。

侵入経路は令和7年上半期においてVPN・リモートデスクトップ用機器からの侵入が感染経路の8割以上を占め、原因としてID・パスワードが非常に安易だったこと、不必要なアカウントが適切に管理されず存在していたことが挙げられている（同出典）。ラテラルムーブメントの入口となる認証の弱さが、多くの事案の背景にある。

AIを使った侵入の自動化（海外・2025年）

Anthropicは2025年11月13日、中国政府が支援すると高い確度で評価される攻撃者がClaude Codeを悪用した侵入作戦を検知・遮断したと公表した。大手テック企業・金融機関・化学メーカー・政府機関などを含む約30の標的を狙い、フレームワークは「ユーザー名とパスワードを収集しさらなるアクセスを得た」「最高権限のアカウントを特定しバックドアを作成した」と報告された。作戦の80〜90%をAIが実行し、人の介入は1作戦あたり4〜6回程度と推定されている（出典：Anthropic、2025年11月13日）。AIを使った攻撃の被害事案は、AIハッキングと情報漏洩の被害一覧に事案ごとにまとまっている。

CrowdStrikeの「2026 Global Threat Report」（2026年2月24日）によれば、2025年のeCrimeにおけるブレイクアウトタイム（初期侵入から最初の横展開までの時間）の平均は29分で、前年比で速度が65%上昇した。最速は27秒だ。侵入は「信頼されたID、SaaSアプリケーション、クラウド基盤」を通って進むとされる（出典：CrowdStrike）。

攻撃が自動化・高速化している以上、検知と対応もそれに対応した速度が必要になる。

ラテラルムーブメントはどう見つける？ログ・通信・おとりによる検知

横展開は、正規の認証情報と正規のツールで行われるため、1つのログだけでは見分けにくい。複数の記録をつなげて見る仕組みが要る。

SIEMでログを集めて突き合わせる

SIEM（セキュリティ情報イベント管理）は、複数の機器のログを集めて相関を取る仕組みだ。米国CISA、オーストラリアASD、FBI、NSAなどが共同で公表した「イベントログ取得と脅威検知のベストプラクティス」（2024年8月21日）は、ログの方針、ログの集約と相関、安全な保管と完全性、脅威に応じた検知手法を柱に挙げている。また、正規のツールを悪用する攻撃（Living off the Land）が増えており、ログの整備の重要性が高まっていると述べている。^{CISA 他「Best Practices for Event Logging and Threat Detection」}

横展開の検知は、1つのイベントではなく、イベントのつながりを見る。例えばMITRE ATT&CKは、SMBでの遠隔の共有フォルダへのアクセスの後に、遠隔でのサービス作成、タスクのスケジュール、不審なプロセスの実行が続くかを相関させるよう示している。^{MITRE ATT&CK T1021.002}

NTAで通信の振る舞いを見る

NTA（ネットワークトラフィック分析）は、端末やサーバーの間の通信を観測し、普段と違う動きを拾う。社内の東西方向の通信（社内の端末間・サーバー間）は、外へ出る通信と違い、境界の機器では見えにくい。そのため、普段の通信相手・量・時間帯を基準として持ち、そこから外れる通信（普段つながらないサーバーへのRDPやSMBなど）を調べる、というのが一般的な考え方だ。基準値の置き方は製品や環境で異なるため、まず管理用プロトコル（RDP・SMB・WinRM）に絞って基準を作ると運用しやすい。

おとり（ディセプション）で触れた動きを拾う

おとり（ディセプション）は、攻撃者をだますために作って配置する偽の資源を使う方法だ。MITRE D3FENDは、Decoy Object（おとりの対象）を「攻撃者をだますために作り、配置するもの」と定義している。おとりには正規の業務での用途がないため、触れた通信は、侵害の兆候として分析できる。偽の認証情報（Decoy User Credential）や偽のセッショントークンもその種類に含まれる。^{MITRE D3FEND} 盗まれた認証情報の悪用に気づく手段として使える（D3FENDの記述からの整理）。

AIを使ったラテラルムーブメントの検知：段階別の仕組み

AIを活用したセキュリティ製品群は、ラテラルムーブメントの各段階に対して異なる役割を担う。以下の表で整理する。

攻撃の段階×AIを使った防御の仕組み

攻撃の段階	MITRE ATT&CK	防御の仕組み	働き方
侵入直後・権限昇格	TA0004	EDR/XDR	端末上のプロセス・認証の振る舞いを監視し、不審な権限昇格や認証情報の取得を検知。端末を自動でネットワークから切り離す
認証情報の悪用	T1550（Pass the Hash等）	UEBA・ITDR	普段のログオン時間・場所・端末と異なる認証を異常として検知する。ITDR（IDへの脅威の検知と対応）は、ADなどのID基盤への攻撃を検知・調査・対応する仕組みだ
横展開（内部移動）	T1021（RDP・SMB等）	UEBA・ネットワーク分析	通常使わない管理ツールの使用パターンを検知。端末間の通信の異常を可視化する
AD周辺の攻撃	T1078・T1550他	ログ分析・ITDR	ADのイベントログからKerberos認証の異常や特権アカウントの不正利用を検知する（JPCERT/CC、CISA等の共同ガイド）
被害の局所化・封じ込め	（横断後）	自動隔離・ネットワーク分離	検知と連動した自動的なセグメント遮断により、感染の拡大を人手なしで止める

アサヒグループホールディングスの再発防止策は、全PCへのEDR設定強化・クラウド環境のEDR監視強化・ログ分析システム導入と監視および遮断の自動化を明記している（出典：アサヒグループホールディングス、2026年2月18日）。EDRと自動遮断の組み合わせが、夜間・休日の攻撃に対して人手に代わる防御線となる。

ADのログ整備については、JPCERT/CCが「高度サイバー攻撃においてActive Directoryへの攻撃の検知は、深く侵害されるか否かの分岐点となります」と述べており（出典：JPCERT/CC、2017年3月14日）、その指摘は現在も有効だ。ASDやCISAなど日米英加豪ニュージーランドの機関が共同作成した「Detecting and Mitigating Active Directory Compromises」（改訂2026年9月15日）もADへの攻撃の緩和策を示している（出典：CISA）。

AIの限界と注意点

AIを使った防御には、明確な限界が三つある。

攻撃側もAIを使う。Anthropicが公表した事例では、AIが作戦の80〜90%を実行し、リクエストは毎秒複数に及んだ。従来の人手の速度を前提とした監視運用では、検知から対応までの間に横断が完了してしまう可能性がある。

正規の認証情報と正規ツールは見分けにくい。CrowdStrikeが指摘するように、侵入は「信頼されたID」を通って進む。UEBA・ITDRは行動の「ずれ」を見つける仕組みだが、攻撃者が正規ユーザーの行動パターンをゆっくりと模倣すれば検知が難しくなる。誤検知と見落としの双方が起こり得る。

入口が開いたままでは再侵入される。警察庁はランサムウェアグループがバックドアの設置・ログとバックアップの消去を常套手段としていると指摘する（出典：警察庁、2025年9月）。EDRが端末を隔離しても、VPN機器の認証情報が変わっていなければ翌日に再侵入される。検知・隔離と並行して、入口の封鎖が不可欠だ。

なお、攻撃側のAIも万能ではない。Anthropicの報告では、AIが認証情報を「ときに幻覚で捏造した」ことが完全自律化の障害として挙げられている（出典：Anthropic、2025年11月13日）。ただしこれは防御側が安心できる根拠にはならない。不完全な攻撃でも被害は起きるからだ。

横展開の対策に使われる製品の例：公式資料で確認できる範囲

横展開の検知や封じ込めには、端末を見る製品、IDの動きを見る製品、通信を区画に分ける製品など、役割の違うものを組み合わせる。ここでは、提供元が公式に公開している資料の記述を読める製品を例に挙げる。特定の製品をすすめるものではなく、価格や導入条件は各社の資料で確認してほしい（確認日：2026年11月2日）。

どちらも、導入しただけで横展開が止まるわけではない。IDの検知は、ADの特権アカウントが整理されていて初めて「いつもと違う動き」を見分けやすくなる。端末の保護とEDRは、対象の端末にエージェントが入っていなければ見えない。前の節で示したAIの限界は、製品を選ぶときも同じように当てはまる。

ラテラルムーブメントを防ぐには？対策の導入の順番とネットワーク分離

EDR・UEBA・ITDR等のAI検知を機能させるには、その前提となる基盤整備が必要だ。以下の順番は、警察庁・JPCERT/CC・CISA等の推奨項目と国内事例の再発防止策をもとに整理したものである（各機関が導入順序を定めたものではない）。

1. 入口の管理：VPN・リモートデスクトップ機器の棚卸し。ID・パスワードを強化し、不要アカウントを削除する。管理できていない海外拠点機器を把握する。警察庁によれば令和7年上半期、感染経路の8割以上がVPN・RDP機器であり、原因は安易な認証情報と不要アカウントの放置だ（出典：警察庁、2025年9月）。
2. ログの取得・保管とオフラインバックアップ：攻撃者はログとバックアップを消去する。取れていない・保管されていないログは事後調査を不可能にする。JPCERT/CCはログ保存が不十分だと調査が困難になった事例に言及している（出典：JPCERT/CC、2017年3月14日）。
3. ADの点検と特権アカウントの最小化：不要な特権アカウントを削除し、アカウントの作成・変更・削除を管理する。アサヒの再発防止策にも明記されており、CISA等の共同ガイドもAD攻撃の緩和を重点項目とする（出典：アサヒグループホールディングス、CISA）。
4. ネットワーク分離と接続制限：重要サーバーへの不要な横断経路を物理的に閉じる。アサヒは全システムでのネットワーク分離と接続制限を再発防止策として明記した（出典：同上）。
5. EDR/XDR・UEBA/ITDR・監視の自動化：上記が整った上で、AIを使った検知と自動隔離を重ねる。ペネトレーションテストとスレットハンティングで想定外の経路を継続的に検証する（アサヒが再発防止策で明記）。

管理者権限は日常のIDと分け、必要なときだけ使えるようにする（特権ID管理、PAM）。リモートアクセスや管理者のログインには多要素認証を必須にし、社内からの接続でも端末と利用者を確かめてから許可するゼロトラストの考え方を取り入れると、盗まれた認証情報だけでは横に広がりにくくなる。

順番を逆にすると、EDRを入れても検知の前提となるログが無い、隔離しても入口から再侵入される、という状態が生じる。AIの導入は補強であって、土台の代替にはならない。

ネットワーク分離とパッチ適用：手口ごとに何を遮断するか

「ネットワーク分離」や「マイクロセグメンテーション」は、ラテラルムーブメント対策の中心だが、何をどこで遮断するのかが分かりにくい。MITRE ATT&CKの緩和策（Network Segmentation）が手口ごとに示す内容を整理する。

T1210の緩和策では、サンドボックスや仮想化、マイクロセグメンテーションで悪用の広がる範囲を限定することも挙げられているが、MITRE ATT&CKは、それでも別の弱点が残りうる点に注意を促している。分離は万能の対策ではなく、パッチ適用、権限の絞り込み、検知と組み合わせて使う。

マイクロセグメンテーションとゼロトラストの進め方

マイクロセグメンテーションは、ネットワークを大きな区画で分けるだけでなく、サーバーなどの資源（ワークロード）の単位で通信を絞る考え方だ。MITRE ATT&CKの緩和策は、ソフトウェア定義ネットワーク（SDN）のツールで、ワークロードの単位の分離を実装し、横展開を防ぐことを挙げている。^{MITRE ATT&CK M1030} ゼロトラストの基本文書であるNIST SP 800-207は、保護の対象を、ネットワークの区画ではなく資源に置き、ネットワーク上の場所や資産の所有だけでは、信頼を与えないとしている。^{NIST SP 800-207}

どちらも、一度に全体を作り替える必要はない。公的な文書が手順を定めているわけではないが、次の順で進める例が考えられる（整理）。

1. 守る資源を決める：ADのドメインコントローラー、基幹のサーバー、バックアップなど、広がると被害が大きいものから選ぶ。
2. 通信の実態を知る：誰が、どの端末から、どの資源へ、どのプロトコルで通信しているかを、ログで確かめる。
3. 管理用の通信から絞る：RDP・SMB・WinRMなど横展開に使われる管理用の通信を、必要な管理端末だけに限定する。区画間のRDPの遮断はMITRE ATT&CKが示す緩和策だ。
4. 多要素認証と端末の確認を重ねる：社内からの接続でも、利用者と端末を確かめてから許可する。
5. 遮断した結果を見ながら広げる：止めた通信で業務に影響が出ていないかを確認しながら、対象の資源を増やす。

従業員教育とパスワード管理：横展開の燃料を減らす

横展開に使われる認証情報の多くは、人が選んだパスワードや、人が引っかかるフィッシングから漏れる。技術的な対策に加えて、教育とパスワードの運用を見直す。

教育は、年に1回の講習で終わらせず、パスワードの運用の変更（長さと漏えいの確認の重視）とセットで進める。パスワードを定期的に変えさせる運用は、現在のNISTの指針では求められていない点に注意したい。

自社の守りを点検する：ラテラルムーブメント対策のチェックリスト

ここまでの手口と対策を、点検に使える形にまとめる。すべてを一度に満たす必要はなく、上の行から順に「できている・一部だけ・できていない」を確かめるとよい。順番は前の節の「導入の順番」に沿っている。各項目の根拠は、それぞれの節に挙げた公的機関の文書である。

点検の結果、「できていない」が上の方の行に集中している場合は、検知製品を足す前に入口とアカウントの管理を先に直す。前の節で述べたとおり、検知は土台の上に重ねるものだからだ。

棚卸しした機器の製品名と版が分かっていて、新しい脆弱性の情報が出たときに「自社が対象か」の判断がつかない場合は、公開情報から対象かどうかを確認してお知らせする脆弱性の監視サービスがある。侵入を試す診断や、お客様のシステムの操作は行っていない。

横展開が疑われたときに最初に決めておくこと

横展開は、気づいた時点ですでに複数の端末やサーバーに及んでいることが多い。そのため、疑いが出てから考えるのでは遅く、次の四つは平時のうちに担当と手順を決めておく。以下は、このページで挙げた公的機関の指摘や国内の事例から整理したもので、各機関が定めた手順そのものではない。具体的な対応は、契約している専門の事業者や警察の指示に従う。

四つのうち、記録を守ることは、あとから他の三つを実行できるかどうかを左右する。ログが残っていなければ、隔離の範囲も、奪われた認証情報も、報告に必要な事実も示せないためだ。

被害を受けたときの法令対応：個人情報保護委員会への報告

横展開が進んで個人データが漏れた、または漏れたおそれがあるときは、技術的な対応と並行して、法令上の報告が必要になる。個人情報保護委員会は、不正の目的をもって行われたおそれがある個人データの漏えい等について、報告を求めている。外部からの不正アクセスでサーバーなどからデータが窃取された場合や、ランサムウェアでデータが暗号化されて復元できなくなった場合が例に挙がっている。^{個人情報保護委員会}

期限が短いため、被害の範囲を調べるためのログが残っているかが重要になる。ログを取っていないと、どのサーバーに横展開されたのかが分からず、報告に必要な事実を示せない。導入の順番でログの取得を2番目に置いているのは、このためでもある。

ほかの侵入の手口と対策

ラテラルムーブメントは、ほかの手口と組み合わせて使われることが多い。関係する手口の仕組みと対策は、それぞれの解説ページにまとめている。

よくある質問

Q. ラテラルムーブメントとは具体的に何か。

MITRE ATT&CKでは「攻撃者が環境内を移動しようとしている」段階（TA0008）として定義され、RDPやSMBなどのリモートサービスの悪用、Pass the Hash・Pass the Ticketなどの認証情報の使い回しが含まれる。侵入後に別の端末やサーバーへ移動して被害を広げる行為全体を指す（出典：MITRE ATT&CK TA0008、2026年10月時点）。

Q. 侵入からどれくらいで横展開が始まるのか。

CrowdStrikeの「2026 Global Threat Report」によれば、2025年のeCrimeにおける初期侵入から最初の横展開までの時間（ブレイクアウトタイム）の平均は29分、最速は27秒だ（出典：CrowdStrike、2026年2月24日）。従来の人手による監視では対応しきれない速度である。

Q. 権限昇格とラテラルムーブメントの違いは何か。

権限昇格（TA0004）は「より高い権限を得る」行為、ラテラルムーブメント（TA0008）は「環境内を移動する」行為だ。アサヒグループの事案では、管理者権限の奪取（TA0004）の後に複数サーバーへの侵入と偵察（TA0008）が繰り返された（出典：MITRE ATT&CK、アサヒグループホールディングス）。

Q. 国内の被害の入口として多いのは何か。

警察庁によれば令和7年上半期（2025年）はVPN・リモートデスクトップ用機器からの侵入が感染経路の8割以上を占め、原因は安易な認証情報と不要アカウントの管理不備だ（出典：警察庁、2025年9月）。

Q. AIは攻撃にも使われているのか。

Anthropicが2025年11月に公表した事例では、中国政府系と評価される攻撃者がAIを使い侵入作戦の80〜90%を自動実行した。約30の標的を狙い、最高権限アカウントの特定とバックドア作成を自動で行ったとされる（出典：Anthropic、2025年11月13日）。

Q. ラテラルムーブメントは、どうやって見つけるのか。

認証の記録と、その後の操作を結び付けて見る。MITRE ATT&CKは、Pass the Hashではドメインへのログオンを伴わないNTLM認証（ログオンタイプ3）を、RDPの悪用ではログインの後に続く普段と違うプロセスの実行を、検知の手がかりとして示している（出典：MITRE ATT&CK T1550.002・T1021.001、2026年10月時点）。AIを使ったUEBA・ITDRは、こうした「いつもとの違い」を大量のログから拾う役割を担う。

Q. 最初に何から手を付ければよいか。

入口の管理（VPN・リモートデスクトップ機器の棚卸しとID・パスワードの強化）、ログの取得・保管とオフラインバックアップ、ADの点検と特権アカウントの最小化の順に進める。AIの検知（EDR/XDR・UEBA/ITDR）は、この土台の上に重ねる（警察庁、JPCERT/CC、CISAの推奨と国内事例の再発防止策による整理）。

Q. クラウド環境でもラテラルムーブメントは起きるのか。

起きる。MITRE ATT&CKは、社内のADと同期・連携したクラウドのアカウントでクラウドのサービスにログインする手口（T1021.007）や、アクセストークンの悪用（T1550.001）を挙げている（出典：MITRE ATT&CK、2026年10月時点）。

Q. 水平展開・横展開・水平移動は、ラテラルムーブメントと同じ意味か。

同じ意味で使われる。いずれもlateral movementの日本語訳で、侵入した攻撃者が内部の別の端末やサーバーへ移る行為を指す。権限を上げる行為（権限昇格、TA0004）とは別の段階として整理される（出典：MITRE ATT&CK TA0008・TA0004、2026年10月29日確認）。

Q. ピボットとは何か。

ある端末を足場にして別のシステムやアカウントへ移ることをいう。MITRE ATT&CKはTA0008の説明で、目的の達成には「複数のシステムとアカウントを経由する（pivoting）」ことが必要になるとしている（出典：MITRE ATT&CK TA0008、2026年10月29日確認）。

Q. 中小企業でも横展開への備えは必要か。

必要である。警察庁によれば令和7年上半期のランサムウェア被害116件のうち中小企業が77件で、全体の約3分の2を占めた。入口になるVPN・リモートデスクトップ機器の管理とID・パスワードの強化は、規模にかかわらず最初に取り組む項目だ（出典：警察庁 Cyber Police Agency Letter 2025 Vol.15、2026年3月）。

Q. 個人データが漏れたときの報告期限は。

個人情報保護委員会によれば、不正アクセスなどによる漏えい等は、発覚から3〜5日以内に速報、30日以内（不正の目的のおそれがある場合は60日以内）に確報を出す（出典：個人情報保護委員会）。

参考文献

• MITRE ATT&CK TA0008 Lateral Movement（2026年10月時点）
  https://attack.mitre.org/tactics/TA0008/
• MITRE ATT&CK TA0004 Privilege Escalation（2026年10月時点）
  https://attack.mitre.org/tactics/TA0004/
• MITRE ATT&CK T1550.002 Pass the Hash（2026年10月時点）
  https://attack.mitre.org/techniques/T1550/002/
• MITRE ATT&CK T1021.001 Remote Desktop Protocol（2026年10月時点）
  https://attack.mitre.org/techniques/T1021/001/
• MITRE ATT&CK T1003.001 LSASS Memory（2026年10月時点）
  https://attack.mitre.org/techniques/T1003/001/
• MITRE ATT&CK T1534 Internal Spearphishing（2026年10月時点）
  https://attack.mitre.org/techniques/T1534/
• MITRE ATT&CK T1210 Exploitation of Remote Services（2026年10月時点）
  https://attack.mitre.org/techniques/T1210/
• MITRE ATT&CK M1030 Network Segmentation（2026年10月時点）
  https://attack.mitre.org/mitigations/M1030/
• MITRE ATT&CK S0002 Mimikatz（2026年10月時点）
  https://attack.mitre.org/software/S0002/
• MITRE ATT&CK T1021.002 SMB/Windows Admin Shares（2026年10月時点）
  https://attack.mitre.org/techniques/T1021/002/
• MITRE ATT&CK T1021.007 Cloud Services（2026年10月時点）
  https://attack.mitre.org/techniques/T1021/007/
• MITRE ATT&CK T1550.001 Application Access Token（2026年10月時点）
  https://attack.mitre.org/techniques/T1550/001/
• MITRE ATT&CK T1566 Phishing（2026年10月時点）
  https://attack.mitre.org/techniques/T1566/
• MITRE D3FEND Decoy Object（2026年10月時点）
  https://d3fend.mitre.org/technique/d3f:DecoyObject/
• NIST SP 800-207 Zero Trust Architecture
  https://csrc.nist.gov/pubs/sp/800/207/final
• NIST SP 800-63B-4 Digital Identity Guidelines（Authentication）
  https://pages.nist.gov/800-63-4/sp800-63b.html
• CISA他「Best Practices for Event Logging and Threat Detection」（2024年8月21日）
  https://www.cisa.gov/resources-tools/resources/best-practices-event-logging-and-threat-detection
• 個人情報保護委員会「漏えい等の対応」
  https://www.ppc.go.jp/personalinfo/legal/leakAction/
• アサヒグループホールディングス「不正アクセスによる障害の発生について（第2報・調査結果と再発防止策）」（2026年2月18日）
  https://www.asahigroup-holdings.com/newsroom/detail/20260218-0101.html
• 警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月）
  https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
• 警察庁 Cyber Police Agency Letter 2025 Vol.15（2026年3月）
  https://www.npa.go.jp/bureau/cyber/pdf/R7_Vol.15cpal.pdf
• Anthropic「Disrupting AI espionage」（2025年11月13日）
  https://www.anthropic.com/news/disrupting-AI-espionage
• CrowdStrike「2026 Global Threat Report」プレスリリース（2026年2月24日）
  https://crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report
• CISA「Detecting and Mitigating Active Directory Compromises」（改訂2026年9月15日）
  https://cisa.gov/resources-tools/resources/detecting-and-mitigating-active-directory-compromises
• JPCERT/CC「ログを活用したActive Directoryに対する攻撃の検知と対策」（2017年3月14日）
  https://www.jpcert.or.jp/research/AD.html