IT時事ネタキーワード「これが気になる！」（第80回）ランサムウエア最近の潮流。手口の変化

　2021年4月、大和ハウス工業の子会社でフィットネスクラブ事業を手掛けるスポーツクラブNASは、店舗で運用していた会員管理システムが使用不能となった。確認したところ、サーバー内のデータの暗号化が判明した。暗号化されたデータを復旧する復号ツールの購入が必要とのメッセージも送られてきた。

　サーバーに保管されていた個人情報は15万人あまりに上る。ただし、攻撃者のメッセージには情報を窃取した記載がなく、その後も身代金要求などの脅迫行為はなかった。サーバー上の情報が公開された事実もなく、二重の脅迫はされずに済んだ。

　6月に被害を受けた富士フイルム、日本空港給油も、サーバーの暗号化と復号ツールの購入を促すメッセージの受領のみで、データ窃取による脅迫行為は受けていないという。

　クラウドストライクによる2020年度版「CrowdStrikeグローバルセキュリティ意識調査」によれば、日本でランサムウエアの被害にあった組織のうち、32%が身代金の支払いを選び、組織が支払った身代金の平均額は117万ドル（約1億2300万円）に上る。また、回答者の42%は攻撃者との交渉を試みている。

　国内で人手・二重脅迫の攻撃に遭い、話題になったのはカプコンだ。2020年11月に社内システムの障害を確認。障害の原因がランサムウエアによるファイルの暗号化であることが判明した。被害を受けた端末に「Ragnar Locker」を名乗る脅迫メッセージが残されていた。Ragnar Lockerはロシアを拠点とする技術力の高い犯罪集団で、マルウエア対策ツールなどの防御システムをかいくぐり、大企業に攻撃を仕掛けることで有名だ。社内ネットワークへの不正侵入の入り口は、北米現地法人所有の予備の旧型VPN装置だったという。

　その後、流出が確認された情報に加え、流出した可能性のある情報の範囲について調査、11月16日に「不正アクセスによる情報流出に関するお知らせとお詫び」を公表した。なお、Ragnar Lockerが示した回答期限（11月8日）以降も、カプコンから窃取したらしき情報が公開されている。カプコンは身代金の要求に応じなかったと思われる。

身代金支払いは避けるのが原則

　標的型のランサムウエア攻撃は世界中で相次ぎ、中には身代金を支払って、被害拡大を防いだ事例もある。ただし、身代金は攻撃者の資金源となる。攻撃者が犯罪を続けるモチベーションにもつながり、その後も金銭を要求されない保証もないため「支払うべきではない」のが原則だ。

　ネットワークへの侵入対策には、インターネットからアクセス可能なサーバーや機器、プロトコルやサービス、組織外からアクセスできる対象や範囲を最小限にとどめる。より強固な認証方式の採用やアクセスログの監視も有効だ。脆弱性対策として、OSやソフトウエア、ネットワーク機器のファームウエアを最新に保つのは基本。標的型メール対策として、従業員の啓発・訓練およびセキュリティ装置の導入も行うとよい。

　機器に置かれた重要なデータは、定期的にバックアップを行う。バックアップ時のみ媒体を接続、媒体はオフラインで保存するのが基本。なお、バックアップが正しく取れているか、確実に元に戻せるかもチェック。トラブルの際の対応手順をマニュアル化、テストも行っておく。

　情報窃取対策としては、IRM（業務で使用する文書ファイルなどを暗号化、閲覧や編集などを管理・制限、操作履歴を記録する）の導入、ネットワークのセグメント化（ネットワークを分割し、重要なデータやシステムを分散させる）などがある。

　万一攻撃を受けた場合の対応手順を整理して、備えておくのもよい。状況の把握、通報、侵入経路や影響範囲の特定、ウイルスやバックドアの根絶、業務の縮小や停止、顧客・取引先への対応など手順は多岐にわたる。組織内にCSIRT（コンピューターセキュリティインシデントに関する報告を受け取り、調査・対応を行うチーム）を構築する、難しい場合はアウトソーシングもお勧めだ。

　サイバー攻撃から企業・組織を守る基礎知識は経済産業省の「サイバーセキュリティ経営ガイドライン」で押さえておきたい。ランサムウエア対策の基本はJPCERT/CCの「ランサムウエア対策特設サイト」、新タイプのランサムウエア対策は、IPAの「事業継続を脅かす新たなランサムウェア攻撃について」が参考になる。

　どんな企業・組織でもパソコン、サーバーなどのIT機器およびネットワークを利用している限りサイバー攻撃の対象となり得る。万一インシデントが起きてしまったときには、落ち着いて速やかに対応する。そのためには普段から「何が起きたらどうする」をまとめ、打ち合わせやマニュアル化、対応チームの組織、相談先の確保などで対策しておこう。