IT時事ネタキーワード「これが気になる！」（第153回）世界最大の国際ハッカー集団「ロックビット」に包囲網、共同捜査で日本も貢献

　ロックビットは、いわばビジネスに特化した「サービスとしてのランサムウエア」（RaaS：ランサムウエア・アズ・ア・サービス）の一種だ。これは、開発者チームが開発したランサムウエアを攻撃者に提供し、身代金を山分けするシステムでできている。そのため自力で開発できなくてもサイバー攻撃を仕掛けられるため、拡散されやすい、という特徴がある。

　攻撃者はあらゆる手口を用いてランサムウエアを使い、重要なデータを暗号化する、機器をロックする、などでターゲット企業などに解除のための身代金を要求する。さらには、盗んだデータを暴露すると脅す「二重脅迫」も大きな特徴で、期限内に身代金が支払われないときにはダークウェブ上にデータを公開するなど悪質な攻撃手法を取る場合が多い。

　ロックビットを使った攻撃が初めて行われたのは2019年9月。先述のように自力で開発しなくても使える特徴に加え、手動指示がなくても組織内で自律的に拡散する仕組みや、手当たり次第に拡散するそれまでのマルウエアに比べて標的を絞りやすく利益を得やすい、などの点で大きく広がった。

　ロックビット製のランサムウエアは2022年に世界で最もまん延し、2023年初頭には世界中のランサムウエアインシデントの44%と推定されるほど広がったという。2024年2月のロックダウン後もさらなる攻撃が報告され、開発グループの再燃のもくろみを懸念する声も多く上がっていた。また、2.0から3.0へとバージョンアップを重ね、さらには亜種も発見されるなど、なかなか手に負えない状態でもあった。ロックビット製のランサムウエアは開発チームにより多くのツールや機能が追加され、中でもロケーションチェックの機能を基本オプション化することで、標的とする地域を世界中に広げた。特に3.0では暗号化した際のパスフレーズ保護などによりさらなる暗号の難読化が施されているという。日本らが行っている解読ツールの開発も「いたちごっこ」状態な困難さが容易に想像できる。

日本の警察庁がロックビット被害を回復させる「ツール」を開発して国内外で成果

　警察庁から出された「ランサムウェア被疑者の検挙等に関するユーロポールのプレスリリースについて」という発表資料には、「本年2月以降、我が国を含む関係各国による国際共同捜査により、ランサムウェア攻撃グループ・ロックビットに係る被疑者を外国捜査機関が逮捕・起訴するとともに、関連犯罪インフラを押収するなどしたところ、この度、これらに続く措置として、フランス、イギリス、スペイン当局が、同グループの開発者や、同グループが利用していた防弾ホスティングサービスの管理者等を逮捕するなどした旨を、ユーロポールがプレスリリースした」とある（ちなみに「ユーロポールのリリース」は前出の記事のこと）。

　続いて「同プレスリリースにおいては、前回と同様、関係各国で関連するランサムウェア事案の捜査を行っており、当該捜査について、日本警察を含む外国捜査機関等の国際協力が言及されるとともに、日本警察において開発したロックビットによって暗号化された被害データを復号するツールについても言及されている」とある。さらには「関東管区警察局サイバー特別捜査部と各都道府県警察は、我が国で発生したランサムウェア事案について、外国捜査機関等とも連携して捜査を推進しており、捜査で得られた情報を外国捜査機関等に提供している」とし、「我が国を含め、世界的な規模で攻撃が行われているランサムウェア事案をはじめとするサイバー事案の捜査に当たっては、こうした外国捜査機関等との連携が不可欠であるところ、引き続き、サイバー空間における一層の安全・安心の確保を図るため、サイバー事案の厳正な取締りや実態解明、外国捜査機関等との連携を推進する」とある。

　つまり、日本の警察は「ロックビットによって暗号化された被害データを復号するツール」を提供するとともに、今後国内で発生したランサムウエア事案についても外国の捜査機関と連携し情報提供を行い、さらに世界規模の攻撃に対しても連携して推進する方針を示している。

今後どうなる？　傾向と対策

　ロックビットをはじめとするランサムウエア脅威についての対策は、警察庁の「ランサムウェア被害防止対策」や、日本サイバー犯罪対策センター「ランサムウェア対策について」、IPA「ランサムウェア対策特設ページ」、「ここからセキュリティ」などが参考になる。

　先述した「No More Ransom」ポータルには、ツールの提供とともに「被害防止のアドバイス」があり、個人／企業向けに有効なアドバイスが示されている。企業には「企業のための被害緩和ステップ」が最近の状況に基づく具体的な情報として、大きな参考になる。これらを精読し、すべての対策を行うのがおすすめだ。

　ただし、企業が自社内で行えるセキュリティ対策には限りがある。最近では、社内の対策状況を「スコアリング」（データや状況を分析し、統計的手法を用いてスコア付けを行う）して可視化、それを参考に専門家・専門機関と話し合いつつ対策を講じる体制が推奨される流れもある。これらは総合セキュリティソリューションなどで行えるが、詳しくは最寄りのベンダーに相談するとよい。場合によっては公共の相談窓口、Webでのソリューションや相談窓口の検索なども有用だ。

　ロックビットなどのランサムウエアによる攻撃は、ターゲットを絞って行われる、と先に述べた。これについては「うちは（有名企業ではないから）大丈夫」ということはない。有名企業はもちろん、中小企業や地方病院なども実際に被害に遭っており、すべての企業や機関が被害に遭う可能性はいつでもあるゆえ、今すぐ対策を行うのがよい。なお、ランサムウエアで被害に遭った場合はすみやかに警察庁の受付窓口に通報・相談しよう。

　ユーロポールはじめ、12カ国が連携した「クロノス作戦」は頼もしい。だが、いつの世も悪者はほろびることなく、手を替え品を替え、悪の手を差し伸べてくる。日本の警察も世界規模での作戦に参加している昨今、先述「企業のための被害緩和ステップ」などを参考に、脅威からできるかぎりの自衛をしつつ、情報共有・協力して、皆で安全な未来を築いていこう。

※掲載している情報は、記事執筆時点のものです