事例で学ぶセキュリティインシデント（第11回）感染被害が後を絶たないランサムウエアの脅威

　K社では、ランサムウエア感染被害を受けたサーバーをネットワークから切り離すとともに、同社の情報システムの構築・運用・サポートを行っているITベンダーの手を借りてランサムウエア感染被害について調査を開始した。感染経路は本社に設置したVPN機器が疑われた。K社では、建設業の2024年問題に対応するため、数年前からITを活用した働き方改革を進めてきた。例えば、建設現場事務所のIT化を進め、紙の作業指示書や図面の代わりにタブレット端末による情報の把握・確認や報告書の作成などを可能にしてきた。

　また、工事の進捗管理や図面・工程管理、見積もり・予算管理などが行える工事管理システムのサーバーを本社内に設置し、建設現場からアクセスして最新情報を確認可能にしている。さらに建設現場事務所の責任者が本社に集まり、定期的に実施していた会議も、リアルからオンラインに変更。本社と拠点間の接続にインターネットVPNを活用してきたが、本社に設置したVPN機器が攻撃者に狙われた。従業員数が約50名のK社では専任のシステム担当者を配置できず、管理部門の社員が兼務している。IT活用とともにパソコンやサーバーのウイルス対策やOS(基本ソフト)のパッチ適用などのセキュリティ対策は行ってきたものの、ファイアウォール機能を併せ持つVPN機器そのものがセキュリティツールのため、特に対策を講じてこなかった。

　攻撃者は、このVPN機器のぜい弱性を突いて本社LANに不正侵入。工事管理システムのサーバーがランサムウエアに感染した。幸いにも、データは災害対策などBCP(事業継続計画)の観点から社内のストレージにバックアップしており、攻撃者に「身代金」を支払うことなく、攻撃の前日までのデータを復元できた。

　そして、ITベンダーの支援を受けながら、工事管理サーバーのウイルス駆除やVPN機器のぜい弱性に対応するソフトウエア更新を行った。さらに本社・営業所、現場事務所のネットワークやパソコン、サーバーがウイルス感染していないかを確認した。この間、ストレージからのデータ復元作業が終了するまでの数日間はシステムが使えず、建設現場では工事の遅れが余儀なくされるなど、大きな影響があった。

オンプレミスからクラウドサービスの利用も検討

　システム担当者は役員や従業に対してインシデントを報告するとともに、工事管理システムには受発注や見積もりなどのデータが含まれていたため、関係する取引先・顧客にも報告した。そして、今回のインシデント発生を受け、社内にあるサーバーやパソコン、ネットワークの更新プログラム適用を行った。さらに、メールの添付ファイルやWebサイトを悪用して感染させる手口もあることから、「不用意に添付ファイルを開かない」「不審なURLはクリックしない」ことを改めて徹底するように従業員に伝えた。

　また、今回は現場事務所の責任者からの電話でインシデントを発見できたが、もしパソコンなどIT活用で不審なことがあれば、直ちに上司やシステム担当者に連絡するなど、セキュリティリスクに対する社内体制の整備に取り組む方針を打ち出した。

　クラウドサービスの活用も今後の検討課題だ。オンプレミスで構築・運用している工事管理システムなどはクラウドを利用することで、そのセキュリティ対策をクラウド事業者に任せられる。また、社内はファイルサーバー、取引先はメールや手渡しでやり取りしている受発注書や設計図面などもクラウドストレージを活用し、より安全にデータを保管、共有できると見ている。建設業のIT活用は大手企業を中心に広がっているが、中小企業も対応していかなければ取り残されてしまう。K社ではITを安心して活用していくためにも、ランサムウエア感染のインシデントを教訓にセキュリティ対策を強化していく。