Arctic Wolfの報告書は攻撃者がよく使う侵入手法についても詳しく説明しており、自社のどのシステムが特に攻撃を受けやすいのかについて警告している。

　他の企業からも報告がなされているように（注2）、データ窃取のみのランサムウェア攻撃の増加は、攻撃者の動機の変化を示している。Arctic Wolfは「現在、一部の攻撃者は暗号化を完全に停止し、データ窃取と恐喝のみに注力している。より大きな利益を得ようとしているからだ」と述べた。

　報告書で分析された期間において、Arctic Wolfが対応したインシデントの44％をランサムウェアが占めた。攻撃の影響を最も大きく受けたのは製造業で（注3）、法律事務所や学校、金融機関、医療機関が続く。

　ランサムウェアグループはこれまで以上にアフィリエイトモデルを採用している（注4）。これは、より大きな利益を生み出し、コストを削減して、より多くのサイバー犯罪者を引き付けて維持するためだ。Arctic Wolfは「攻撃者が複数のグループ間をシームレスに移動するようになった。個々のランサムウェアグループのブランド名の重要性が低下したことで競争が激しくなり、相互につながったエコシステムが形成されている」と述べた。

　一方、報告書には、法執行機関による摘発によって「LockBit」や「ALPHV/BlackCat」（注5）（注6）、「BlackSuit」など（注7）、かつて広く活動していたランサムウェアグループの勢力が大きく弱体化した事実も示された。

　攻撃者はビジネスメール詐欺（BEC）でも引き続き成果を上げている（注8）。Arctic Wolfが対応したインシデントの26％を占め、主に金融機関や法律関連組織を標的としている。同社は「1年を通じて、BECによるインシデントが安定したペースで発生していた」と報告している。ただし、2025年5月には一時的な減少が見られ、同年6月および同年7月には急増が観察された。研究者たちは「これらの変動は、攻撃者が組織の財務サイクル、世界的または文化的なイベント、祝日などの取引量が増える時期に合わせて攻撃キャンペーンのタイミングを戦略的に調整していることを示唆している。こうした時期は監視体制が弱まりやすいためだ」と述べている。

　電子メールによるフィッシングは、BECによるインシデントの初期侵入手段として依然として最も多く利用されており、Arctic Wolfが調査したケースの85％を占めた。これらのインシデントの多くでは認証情報が新たに盗まれる形で被害が発生していたが、およそ10件に1件の割合で、すでに侵害されていた認証情報が悪用されるケースもあった。

　BECを除くインシデントでは、Remote Desktop Protocol（RDP）やリモート監視および管理ソフトウェア（RMM）、VPNなどのリモートアクセス手段が侵入経路として多く使われていた（注9）。Arctic Wolfによると、BECを除いたケースの約3分の2に、リモートアクセスツールへの侵害が関与していた。この割合は3年前には24％だったが、その後は着実に増加している。

　報告書で分析された期間において、既知の脆弱（ぜいじゃく）性の悪用が関与していたケースは11％にとどまった。これは2024年の29％から減少している。

　「広く行われている認証情報の使い回しや、極めて深刻な影響を及ぼしかねない脆弱性の悪用などを通じて、攻撃者は高度な自動化と成熟した運用能力を示している。ケースによっては、アクセスを獲得してからわずか数分でドメイン全体を完全に侵害しているのだ」（Arctic Wolf）