デジタル時代の新たな脅威として急速に台頭しているランサムウェアは、今や個人、企業、さらには政府機関にまで影響を及ぼす全世界的な問題となっています。ランサムウェアとは、感染したコンピュータやネットワーク上のファイルを暗号化し、解除のための「身代金」を要求するマルウェアの一種です。
被害者が支払いを拒否すると、重要なデータが永久に失われる恐れがあるため、対処が非常に困難です。このような攻撃が急増している背景、感染の仕組み、具体的な被害例、そして最も重要な予防策について、本記事では詳細に探求します。
ランサムウェア感染は誰にでも起こり得る問題であるため、正しい知識と対策が不可欠です。
ランサムウェアとは？
ランサムウェアとは、一種のマルウェア（悪意のあるソフトウェア）で、その目的は、ユーザーのデバイスを「人質」に取り、身代金を要求することです。具体的には、このマルウェアは感染したデバイスをロックしたり、重要なファイルを暗号化したりします。それにより、デバイスは使用不能になります。そして、その状態から元に戻すためには、身代金の支払いが必要となる、というのがその特徴です。
しかし、ここで注意が必要なのは、身代金を支払ったとしても、必ずしもデータが復旧するわけではないという点です。むしろ、復旧しなかった例も多く報告されています。
近年急増中？ランサムウェアの被害状況
そんなランサムウェアは、近年、その被害が急増しています。中でも、記憶に新しいのは、2017年に全世界的に大流行した「WannaCry」です。
この一種のランサムウェアにより、150カ国、23万台以上のパソコンが感染しました。このような背景から、情報処理推進機構（IPA）が2022年度に発表した情報セキュリティ10大脅威では、「ランサムウェアによる被害」が1位に挙げられています。
ランサムウェアの攻撃タイプ3選
ランサムウェアには、さまざまな攻撃タイプが存在します。その中でも、主な攻撃タイプとその特性について見ていくことは、私たちがこれから向き合うセキュリティの課題を理解する上で重要です。
ここではランサムウェアの攻撃タイプについて徹底解説いたしますのでじっくり見ていきましょう。
ばらまき型ランサムウェア
ばらまき型ランサムウェアとは、特定ではなく、多数の組織や企業を対象にランサムウェア攻撃を行う方法を指します。このタイプのランサムウェアは、その範囲の広さからもわかるように、かつてはランサムウェア攻撃の主流でした。
具体的な攻撃手法としては、フィッシングメールを大量に送り、開封したユーザーのデバイスにランサムウェアを感染させます。その後、被害者のデータを暗号化し、その解除キーと引き換えに身代金を要求します。身代金を支払っても必ずしもデータが復元されるとは限らず、二重三重の問題を引き起こす可能性があります。
標的型ランサムウェア
標的型ランサムウェアとは、その名前が示す通り、特定の企業や組織を標的にしたランサムウェア攻撃のことを指します。これは、「ばらまき型ランサムウェア」から一歩進んだ攻撃手法と言えます。ばらまき型では広範に攻撃を仕掛けますが、標的型ではあらかじめリサーチを行い、具体的な企業や組織をピンポイントで狙います。
このタイプのランサムウェアは近年増えている傾向にあります。その理由の一つとして、身代金を払う能力があると見込まれる大企業や公共組織を狙うことで、より大きな利益を見込むことができるからです。
具体的な攻撃手法は、社内のシステムに侵入し、重要なデータを暗号化、あるいは利用不能にして、その解除を条件に高額な身代金を要求します。そして、こちらもばらまき型と同様に、身代金を支払ったとしても必ずしもデータが元通りになるとは限りません。
二重脅迫型（暴露型）ランサムウェア
二重脅迫型ランサムウェア、別名暴露型ランサムウェアとは、比較的新しい形のランサムウェアの一種で、その名前が示す通り、二段階の脅迫を特徴とします。まず最初に、従来型のランサムウェアと同様にユーザーのデータを暗号化し、その復号化のための身代金を要求します。
しかし、この暴露型ランサムウェアが従来型と異なるのは、ここからです。仮にユーザーが身代金を払わないと決めた場合、このタイプのランサムウェアは二段階目の脅迫に移ります。それは、「支払いに応じなければ、既に窃取している情報をインターネット上の暴露サイトに公開する」というものです。
このような二段階の脅迫は、被害者にとって非常に深刻な結果をもたらします。情報漏洩のリスクは、企業の評判や信頼性を損なうだけでなく、法的な問題や金銭的な損失につながる可能性があるからです。
ランサムウェアの感染経路・手口
ランサムウェアとは、悪意のあるソフトウェアの一種で、重要なデータを暗号化し、その解除を行う「鍵」の提供と引き換えに「身代金」を要求します。
しかし、身代金の支払いがデータの回復を保証するわけではありません。その感染経路と手口は多岐にわたり、ここでは主な感染経路と手口についてご紹介します。
Webサイト
インターネットを通じた情報収集やショッピングが日常的に行われている中で、ウェブサイトはランサムウェアの感染源の一つとなります。
不正なウェブサイトや感染してしまった広告からランサムウェアが配布されるケースが一部ではありますが、見た目は正規のウェブサイトや広告と変わらず、知らぬ間にクリックすることで感染の危険にさらされます。加えて「ドライブバイダウンロード」と呼ばれる攻撃手法も存在し、ウェブサイトの閲覧だけでランサムウェアに感染する可能性があります。
これらの感染リスクを回避するためには、不明なソースからのソフトウェアダウンロードを避け、怪しいリンクのクリックを控えることが基本となります。そして何より、ウェブサイトの閲覧は最新のセキュリティソフトウェアにより保護することが大切です。
不審なメールや添付ファイル
不審なメールや添付ファイルを通じたランサムウェアの感染もおモン感染経路の一つです。これらは「フィッシング」や「スピアフィッシング」などと称され、メールの受信者を騙すことでマルウェアへと導きます。
不審なメールには、正規のサービス提供者やビジネスパートナー、知人などから送信されたように見せかけた内容やリンクが含まれることがあります。これらのリンクをクリックすると感染したウェブサイトへ誘導されるか、あるいはメールに添付されたファイル（ドキュメントやPDFなど）を開くことでランサムウェアに感染します。
また、スピアフィッシングは特定の個人や組織を狙った攻撃で、高度にパーソナライズされたメールを通じて行われます。受信者が信頼していると思われる人物からのメールに偽装し、身代金要求型マルウェアを配布するケースもあります。
VPN機器
VPN（Virtual Private Network）機器を経由したランサムウェアの感染が、驚くべきことに全体の約68%を占めていると内閣サイバーセキュリティセンター（NISC）は報告しています。VPNは企業のリモートワーキングや在宅勤務の増加と共に、私たちの日常生活にとってますます重要な役割を果たしています。しかし、その一方で、VPN機器はサイバー犯罪者にとっても新たな攻撃経路となっています。
VPNを用いることで、ユーザーは安全にインターネットを利用でき、個人情報や企業情報を保護することが可能です。しかし、これらのVPN機器が適切に設定や管理されていない場合、またはセキュリティパッチが適用されていない場合、ランサムウェアに感染する危険性を増加させます。
これを防ぐためには、VPN機器のセキュリティ設定を適切に行い、利用しているソフトウェアが最新の状態であることを常に確認することが必要です。また、定期的なセキュリティチェックとパッチの適用が、ランサムウェアの脅威からネットワークを守るためには欠かせません。
NAS（ネットワークHDD）
ネットワークに直接接続されたストレージデバイスであるNAS（ネットワークアタッチトストレージ）もランサムウェアの感染源となります。個人や企業では、大量のデータを保存するためや、複数のユーザーが同時にアクセスするためにNASが使用されます。しかし、この特性こそがランサムウェアの攻撃の的となっているのです。
サイバー犯罪者は、不適切に設定されたNASデバイスを探し、その脆弱性を利用して侵入します。そして、ユーザーの重要なデータを暗号化し、その解除と引き換えに身代金を要求するランサムウェアを仕掛けます。大量の重要なデータが集約されるNASが、攻撃者にとって魅力的な標的だと言えます。
対策としては、まずはNASのセキュリティ設定を適切に行うことが重要です。特に、外部からの不正なアクセスを防ぐために、強固なパスワードを設定し、不必要なポートは閉じるようにしましょう。また、NASのファームウェアを最新のものに更新し、定期的にセキュリティチェックを行うことも重要です。これらの対策により、ランサムウェアからの保護を高めることができます。
USB（外部記録媒体）
USBメモリや外部ハードディスクなどの外部記録媒体も、ランサムウェアの感染経路の一つです。これはUSBに感染したファイルが含まれていた場合や、感染したPCに接続されたときに、USBを経由して感染が広がる可能性があるからです。
具体的には、USBメモリなどに感染したファイルが保存されていると、そのUSBメモリをパソコンに接続した瞬間にランサムウェアがパソコンに感染します。また、既に感染しているPCに接続すると、ランサムウェアはUSBメモリなどに自動的にコピーされ、そのUSBメモリを他のパソコンに接続することで感染が広がるリスクがあります。
これを防ぐためには、まずは自分のパソコンが感染していないかを定期的に確認し、必要なセキュリティアップデートは常に適用しておくことが重要です。また、不明な出所のUSBメモリなどは決して接続しないようにしましょう。そして、自分のUSBメモリが感染の媒体にならないよう、接続するPCも信頼できるものだけに限定することが必要です
ランサムウェアに感染したら？企業が受ける損害について
ランサムウェアの脅威は、企業が感染した際の損害の深刻さにあります。このデジタルハイジャックは、企業が運営するシステムを停止させ、通常のビジネス活動を妨げるだけでなく、経済的なダメージももたらします。さらに、顧客情報などの機密情報が漏洩する可能性もあります。それにより、企業の信頼性を大きく損なうことにつながります。
それぞれの観点から、これらの問題にどう対処すべきかを詳しく見ていきましょう。
個人情報や機密データの漏洩
ランサムウェア攻撃が最も危険な点の一つは、重要な個人情報や企業の機密データが攻撃者の手に渡り、最悪の場合公に漏洩する可能性があるということです。たとえ身代金を支払ったとしても、漏洩したデータが完全に消去される保証はありません。実際、攻撃者がデータをコピーして他の犯罪者に売りつけるケースもあります。
また、身代金の支払い期限が過ぎてしまうと、攻撃者は情報を公に漏洩させると脅迫することがあります。これは、個人のプライバシーの侵害はもちろん、企業にとっては顧客やビジネスパートナーへの信頼失墜、法的な問題、さらには市場における競争力の喪失をもたらします。
社会的信用の低下
ランサムウェア攻撃の危険な点の一つに、重要な個人情報や企業の機密データが攻撃者の手に渡り、最悪の場合、公に漏洩する可能性があるということが挙げられます。たとえ身代金を支払ったとしても、漏洩したデータが完全に消去される保証はありません。実際、攻撃者がデータをコピーして他の犯罪者に売りつけるケースもあります。
また、身代金の支払い期限が過ぎてしまうと、攻撃者は情報を公に漏洩させると脅迫することがあります。これは、個人のプライバシーの侵害はもちろん、企業にとっては顧客やビジネスパートナーへの信頼失墜、法的な問題、さらには市場における競争力の喪失をもたらします。
事業停止による損害
ランサムウェアの脅威の一つに事業停止も挙げられます。ここでは、特に医療機関における影響を考えてみましょう。
医療機関では、電子カルテなどの重要な情報がデジタルで管理されています。これらの情報がランサムウェアによって暗号化され、アクセスできなくなった場合、医療機関は患者の治療を適切に行うことができません。これは患者の安全を直接的に危険にさらす可能性があります。
さらに、医療機関の院内には生命維持装置や画像診断装置など、高度なテクノロジーを利用した医療機器が数多く存在します。ランサムウェアによってこれらの機器が正常に動作しなくなった場合、患者の治療は大きく妨げられ、医療機関は事業の運営自体が難しくなるかもしれません。
このように、ランサムウェアは企業の業務停止だけでなく、患者の生命をも危険にさらす可能性を秘めています。そのため、防御策の整備は非常に重要な課題となります。
金銭の損失
ランサムウェアに感染した場合、個々のファイルだけでなく、企業の財政にも深刻な影響を及ぼします。どれだけ厳重な防御策を講じていても、一度感染してしまうと、企業は多額の出費を強いられる可能性があります。
まず、ランサムウェアの感染原因を究明し、感染経路を特定するためには、セキュリティ専門家を雇うか、外部の専門機関に依頼する必要があります。これらのサービスは専門的な知識とスキルを必要とし、結果として高額な費用が発生します。
さらに、情報が漏洩した場合、企業は取引先や顧客から損害賠償を請求される可能性もあります。顧客の信頼を失ったり、企業の評判が下落したりすれば、その後の業績にも影響を及ぼすことは間違いありません。
ランサムウェアの感染を確認する方法
ここまでランサムウェアの危険性や具体的な感染経路について解説してきました。
しかし感染経路や危険性を理解していても自分の端末がランサムウェアに感染しているのか確認できなければ被害は拡大してしまう可能性があります。
ここでは自分の端末がランサムウェアに感染しているのか確認する方法解説していきます。
システムログの分析・調査
ランサムウェアがあなたのシステムに浸透した痕跡は、システムログの中に隠されていることが多いです。システムログとは、コンピューターシステムが行う操作の記録であり、これを分析することで、ランサムウェアの感染経路や感染した端末を特定することが可能となります。
例えば、ログに記録されたネットワークの通信記録を分析することで、ランサムウェアが侵入したルートを辿ることができます。これは感染源の特定や、再感染を防ぐ上で重要な手がかりとなります。また、異常な動作やエラーが記録されている場合、それがランサムウェアによるものである可能性があります。
ただし、システムログの分析は専門的な知識を要するため、IT部門や外部のセキュリティ専門家に依頼することが一般的です。それでも、これらのログがシステムの健康状態を理解するための貴重な情報源であることを理解しておくことは重要です。
メールの送受信履歴の調査
ランサムウェア感染の確認方法として、メールの送受信履歴を調査することは非常に重要です。
不審な差出人からのメールや、怪しい添付ファイルがついたメールは、ランサムウェアの一般的な感染経路です。開封された瞬間、邪悪なプログラムはあなたのデータを解読不能に変え、身代金を要求してきます。
そのため、メールの送受信履歴を見直し、疑わしいメールや未知の差出人からのメール、または理由もなく受け取った添付ファイルがあったかを探すことが、ランサムウェア感染の手がかりをつかむ重要な手段となります。
ファイルやディレクトリの変更履歴の調査
ランサムウェア感染の可能性を探る方法の一つに、ファイルやディレクトリの変更履歴を調査するというものがあります。
私たちが日々作業する各ファイルやディレクトリには、その変更履歴が存在します。それらが予期せず、または理由もなく変化していた場合、それはランサムウェアによる影響を示しているかもしれません。
この変更履歴には、ファイル名の変更やディレクトリの移動、更には突然のファイル削除など、通常の業務運用では発生しないような行動が記録されています。これらの異常な動きが見られた場合、ランサムウェアがすでにシステムに侵入し、データの中を徘徊している可能性が考えられます。
ランサムウェアに感染したら、絶対にやってはいけないこと
ランサムウェアの脅威が高まる中、対策はもちろん大切ですが、もしも感染してしまった時にどうすべきか、またどうすべきでないかを知っておくことも重要です。ここでは、「ランサムウェアに感染したら絶対にやってはいけないこと」について詳しく説明していきます。
被害を最小限に抑えるためには、感染したときの迅速で正確な対応が求められます。それでは、感染が疑われる場合にはどのような行動を避けるべきかについて考えていきましょう。
感染したデバイスの再起動
ランサムウェアに感染した可能性がある場合、一般的にはデバイスの再起動やシャットダウンが初めの対応策となりがちです。しかし、これは絶対に避けなければなりません。再起動を行うと、感染したマルウェアが再度活動を開始する可能性があります。
特にランサムウェアの場合、感染したデバイスを再起動すると、一時的に停止していたデータの暗号化が再開され、それまで閲覧可能だったファイルが完全に閲覧不可能となる恐れがあります。これは、閲覧可能なファイルを別の安全な場所に保存する機会を逸してしまうというリスクも伴います。
また、デバイスの再起動は、マルウェアの検出や対策が難しくなることを意味します。マルウェアは通常、デバイスのメモリに存在しますが、再起動すると、メモリからマルウェアの一部または全部が消えてしまい、調査するための重要な証拠が失われてしまうのです。これらの理由から、ランサムウェアに感染した疑いがある場合は、デバイスの再起動を絶対に避けるべきだと言えます。
身代金の支払い
ランサムウェアの恐怖は、貴重なデータが暗号化され、その解除キーと引き換えに身代金を要求される点にあります。自己のデータを取り戻すためには、要求された金額を支払うしかないと思われがちですが、これもまた避けるべき行為です。
なぜなら、支払いを行ったとしてもデータが元通りに復旧される保証はどこにもないからです。実際、身代金を支払ったにも関わらず、データを取り戻せなかったというケースは少なくありません。さらに、攻撃者は支払いをしたことを「信頼性の証」とみなし、更なる身代金要求や個人情報の暴露を脅迫する「二重脅迫型」のランサムウェアに発展する危険性もあります。
したがって、ランサムウェアに感染した場合には、まず専門家に相談することが肝心です。
バックアップを取る
ランサムウェアに感染した際、直感的にはすぐにデータをバックアップしたくなるかもしれませんが、これもまた絶対に避けるべき行動の一つです。その理由とは、感染したデータを保存することで、後でそのバックアップデータを使った際に、再度ランサムウェアに感染するリスクが非常に高くなるからです。
ランサムウェアは、デバイス内のファイルを暗号化し、解除のための「身代金」を要求します。つまり、感染した状態でバックアップを取ると、そのバックアップデータ自体も暗号化された状態、つまりランサムウェアに感染した状態のものになります。この状態のバックアップデータを用いてシステムを復旧しようとすれば、そのシステムは再度ランサムウェアに感染する恐れがあります。
ランサムウェアに感染したら？企業がとるべき4つの対策
では、もしもあなたの企業がランサムウェアに感染してしまったら、どうすべきでしょうか？パニックにならず、冷静に対策を練ることが求められます。ここでは、そのような状況において企業がとるべき4つの対策を具体的かつ分かりやすく解説していきます。これらの対策は、危機的な状況に直面したときだけでなく、普段からのセキュリティ対策の一環としても役立つため、ぜひ参考にしてみてください。
感染したデバイスをネットワークから切断する
ランサムウェアへの対策として非常に重要な一環となるのが、「感染疑いのデバイスをネットワークから切断する」行為です。この行為が何故重要なのかというと、その答えはランサムウェアの特性にあります。
ランサムウェアは一度侵入すると、ネットワークを介して他の端末にも感染を広げる可能性があります。それは、一つのデバイスが感染するだけで、全体のネットワークが危険に晒されるという事態を意味します。このような事態を防ぐために、感染が疑われるデバイスは速やかにネットワークから切断すべきなのです。
デバイスをネットワークから切断することで、感染の拡大を防ぎ、被害の最小化に繋がります。ランサムウェアだけでなく、様々なマルウェアに対しても有効な対策となります。したがって、不審な動きを見つけた場合は、すぐにネットワークから切断することが推奨されます。
感染状況の調査・確認
ランサムウェアに感染した疑いが出た場合、刻一刻と対策を練ることが求められます。その一環として重要なのが「感染状況の調査・確認」です。ここでの対応が、組織全体の被害規模を大きく左右する可能性があるのです。
具体的には、感染したと疑われる端末だけでなく、ネットワークに接続されている他の端末も含めて広範囲にわたる調査が必要となります。ランサムウェアは一つの端末から他の端末へと迅速に感染を拡大する特性を持つため、限定的な視野では対応しきれない可能性があります。
感染経路の調査を行うことが適切な打ち手を考案する第一歩なのです。
ランサムウェアの駆除
ランサムウェア感染の危機に直面した場合、ランサムウェアの駆除も重要な対策となります。
駆除とは、端末内のランサムウェアを検出し、安全に削除することを指します。これはランサムウェアの影響を最小限に抑えるための重要な行動であり、そのためには専門のソフトウェアの利用が必要となります。
具体的には、セキュリティ対策ソフトウェアの導入が一般的です。多くのセキュリティ対策ソフトウェアには、最新のランサムウェアを自動的に検出し、駆除する機能が含まれています。これにより、人間が個々の端末を手動で検査するよりも効率的に、また正確に問題を解決することができます。
データやファイルの復旧
ランサムウェアに感染した際に行うべき対策の一つに感染したランサムウェアの種類の特定も挙げられます。これには、「ID Ransomware」といった専門的なデータベース化されたウェブサイトが役立ちます。特定されたランサムウェアの種類によっては、解除ツールが公開されている場合があり、そのツールを使用することでデータやファイルを復旧できる可能性があります。
もし解除ツールが存在しない場合や、解除に失敗した場合は、Windowsオペレーティングシステムに組み込まれている「システムの復元」機能を利用するという選択肢があります。これにより、感染前の正常に動作していた状態にシステムを戻すことが可能となります。しかし、すべてのランサムウェアに対して完全に復元できるわけではないので、注意が必要です。
まとめ
ランサムウェア感染時の対策は、綿密な計画と実行が求められます。まず、感染が疑われるデバイスは直ちにネットワークから切断し、二次被害の防止に努めます。次に、専門家の協力を得て、感染状況の調査を行い、具体的な感染端末とランサムウェアの種類を特定します。
その後、適切なセキュリティ対策ソフトを用いてランサムウェアの駆除に取り組みます。駆除完了後は、暗号化されたデータやファイルの復旧を試みます。しかし、全てを元通りにすることは必ずしも可能ではなく、定期的なデータバックアップが不可欠であることを肝に銘じてください。
これらの対策は組織全体での意識改革と継続的な取り組みを必要とし、最新の脅威に対応するための知識と技術の更新が欠かせません。組織全体でセキュリティ意識を高めることが重要です。
