ランサムウェアとは、デバイス上のファイルを暗号化してアクセス不能にする悪意のあるソフトウェア、つまりマルウェアの一種です。攻撃者は、ファイルの復号化と引き換えに身代金を要求します。ランサムウェアは1989年から存在していますが、近年、より蔓延し、高度化しています。
ランサムウェアの初期の形態は比較的単純で、コンピュータシステムへのアクセスをロックするだけでした。現代のランサムウェアは、非対称暗号化アルゴリズムを使用してシステムのハードドライブ上の特定のファイルを暗号化します。このアルゴリズムは、ファイルを暗号化するための公開鍵と、ファイルを復号化するための秘密鍵という2つの鍵を生成します。ファイルを復号化して再びアクセスするには、攻撃者が保有する秘密鍵を使用するしかありません。
ランサムウェアは、悪意のある添付ファイルやリンクを含むフィッシングメールを通じて拡散されることが多い。被害者のシステム上で実行されると、ファイルを暗号化し、アクセスを回復するための支払い方法を指示する身代金要求メッセージを表示する。追跡を避けるため、身代金は通常、ビットコインなどの仮想通貨で要求される。
ランサムウェアには主に2つの種類があります。
- ロッカー型ランサムウェアは、ユーザーのコンピュータやファイルへのアクセスを遮断します。システム全体をロックし、あらゆるアクセスを阻止します。
- 暗号化型ランサムウェアは、システム上のファイルを暗号化し、アクセス不能にします。文書、画像、動画など、特定のファイル拡張子を標的にします。
ランサムウェアは、儲かる犯罪ビジネスモデルとなっています。被害者から搾取する金額を最大化するために、新しい亜種が絶えず開発・リリースされています。データのバックアップや従業員教育といったサイバーセキュリティのベストプラクティスによる予防こそが、ランサムウェアに対する最善の防御策です。
ランサムウェアの仕組み
ランサムウェアとは、ファイルを暗号化したりデバイスへのアクセスをロックしたりして、アクセスを復元するために身代金の支払いを要求するマルウェアの一種です。ランサムウェア感染は、通常、次の3つの方法のいずれかで発生します。
トロイの木馬のダウンロード
正規のソフトウェアを装ったトロイの木馬は、何も知らないユーザーによってダウンロードされ、システムにランサムウェアをインストールします。これらは多くの場合、電子メールの添付ファイル、ソフトウェアのクラック、または海賊版メディアに埋め込まれた悪意のあるコードを通じて拡散されます。
フィッシングメール
フィッシングメールには、クリックまたは開封するとランサムウェアをインストールする悪意のあるリンクや添付ファイルが含まれています。これらのメールは、受信者を騙してマルウェアをダウンロードさせるために、正規の企業からのメールであるかのように見せかけるように設計されています。
脆弱性の悪用
ランサムウェアの中には、ネットワークシステムやソフトウェアの脆弱性を悪用して、接続されているデバイスに拡散するものがあります。デバイスが感染すると、ランサムウェアはそのシステム上のファイルと、アクセス権のあるネットワーク共有を暗号化します。
ランサムウェアのペイロードは通常、画面上に身代金（通常はビットコインなどの暗号通貨）の支払いを要求するメッセージを表示し、ファイルやシステムへのアクセスを回復させようとします。身代金の額は様々ですが、多くの場合、数百ドルから数千ドルに及びます。しかし、身代金を支払っても、必ずしもアクセスが回復されるとは限りません。
ランサムウェアはサイバー犯罪者にとって儲かるビジネスとなっている。マルウェアキットやアフィリエイトプログラムを利用すれば、高度な技術スキルを持たない者でも容易にランサムウェア攻撃を展開できる。
ランサムウェアが利益を生む限り、個人と組織の両方にとって脅威であり続ける可能性が高い。信頼性の高いバックアップの維持、ソフトウェアの最新状態の維持、そしてサイバー脅威に関するユーザー教育は、ランサムウェアに対する最善の防御策の一部である。
ランサムウェアの種類
サイバーセキュリティ専門家が認識しておくべきランサムウェアには、主に3つの種類があります。それは、スケアウェア、スクリーンロッカー、そして暗号化型ランサムウェアです。
Scareware
スケアウェア（偽装ランサムウェアとも呼ばれる）は、被害者のシステムがロックされたり侵害されたりしたと誤解させ、金銭を脅し取ろうとするマルウェアです。違法コンテンツが検出された、システムファイルが暗号化されたといったメッセージが表示され、ユーザーを脅して「罰金」を支払わせようとします。実際には、そのような事態は一切発生していません。スケアウェアは通常、ウイルス対策ソフトを使えば簡単に駆除できます。
スクリーンロッカー
スクリーンロッカー、またはロックスクリーンランサムウェアは、ログイン画面に全画面メッセージを表示することで、ユーザーのデバイスへのアクセスを遮断します。画面をロックすることでシステムへのアクセスを阻止しますが、実際にはファイルを暗号化することはありません。よく知られている例としては、RevetonやFbiLockerなどがあります。スクリーンロッカーは煩わしいものですが、通常は永続的な損害を与えることはなく、マルウェア駆除ツールを使用して削除できる場合が多いです。
ランサムウェアの暗号化
暗号化型ランサムウェアは最も深刻なタイプです。感染したシステム上のファイルを、復号鍵なしでは解読が困難な暗号化アルゴリズムを用いて暗号化します。ランサムウェアは、復号鍵と引き換えに、多くの場合仮想通貨での身代金を要求します。身代金が支払われない場合、ファイルは暗号化されたままアクセスできなくなります。
暗号化型ランサムウェアの悪名高い例としては、WannaCry、Petya、Ryukなどが挙げられます。暗号化型ランサムウェアによるデータ復旧は、身代金を支払わなければ非常に困難であるため、予防策とバックアップ戦略が不可欠です。
モバイルランサムウェア
モバイルランサムウェアは、スマートフォンに感染して端末をロックしてしまうマルウェアの一種です。感染すると、マルウェアはすべてのデータを暗号化し、復元のために身代金を要求します。身代金を支払わない場合、マルウェアはデータを削除することさえあります。
ランサムウェア攻撃から身を守るためには、組織は従業員教育、強力なセキュリティ対策、ウイルス対策ソフトウェアの導入、システムの最新状態の維持、そして安全なデータバックアップの確保に注力すべきです。身代金を支払うことは、さらなる犯罪行為を助長するだけであり、ファイルの復旧を保証するものではないため、避けるべきです。警戒を怠らず、積極的な防御策を講じることで、ランサムウェア攻撃の影響を最小限に抑えることができます。
最近発生した大規模なランサムウェア攻撃
近年、ランサムウェア攻撃はますます頻繁に発生し、被害も深刻化している。いくつかの重大な事件は、組織がこうした脅威に対してどれほど脆弱になっているかを浮き彫りにしている。
WannaCry
2017年5月、WannaCryランサムウェア攻撃は150か国以上で20万台を超えるコンピュータに感染した。この攻撃はMicrosoft Windowsオペレーティングシステムの脆弱性を標的とし、ファイルを暗号化してビットコインでの身代金を要求した。英国の国民保健サービス（NHS）も大きな被害を受け、一部の病院では緊急性のない患者の受け入れを断らざるを得なくなった。被害総額は40億ドルを超えた。
NotPetya
WannaCryの直後、NotPetyaが登場した。ランサムウェアを装ったNotPetyaは、実際にはデータ破壊を目的としたワイパーウイルスだった。このウイルスは、電力会社、空港、銀行など、ウクライナのインフラを麻痺させた。NotPetyaは世界中に拡散し、FedEx、Maersk、Merckといった企業にも感染した。NotPetyaによる被害額は10億ドルを超え、当時としては史上最も高額なサイバー攻撃となった。
リューク
2019年、Ryukランサムウェアは100以上の米国の新聞社を標的とした。この攻撃によりファイルは暗号化され、印刷業務が中断され、3万ドルの身代金が要求された。複数の新聞社は、数日間、発行部数を縮小したり、オンライン版のみの発行に切り替えたりせざるを得なかった。その後、Ryukは医療、物流、金融など他の分野にも被害を与えている。専門家は、Ryukを北朝鮮の国家支援を受けた高度なサイバー攻撃グループと関連付けている。
ランサムウェアは急速に国家安全保障上の脅威および経済上の脅威となっています。医療、政府、メディア、海運、 ファイナンシャル サービスがランサムウェアの標的になりやすいようですが、あらゆる組織がリスクにさらされています。身代金の要求額はしばしば6桁または7桁に達し、支払ったとしてもデータ復旧の保証はありません。企業や政府がランサムウェアから身を守る唯一の方法は、警戒、準備、そして協力体制を築くことです。
従業員への教育、オフラインバックアップの維持、ソフトウェアの最新状態の維持、インシデント対応計画の実施は、脆弱性の軽減に役立ちます。しかし、ランサムウェアで利益が得られる限り、これは終わりのない戦いとなるでしょう。
ランサムウェア感染を防ぐ方法
に ransomwareを防ぐ 感染症対策として、組織は従業員教育、強固なセキュリティ対策、信頼性の高いバックアップに重点を置いた多層的なアプローチを実施すべきである。
従業員教育
従業員は、悪意のあるリンクや添付ファイルを含むフィッシングメールを通じて、ランサムウェア攻撃の標的となることがよくあります。こうした脅威について従業員を教育し、潜在的な攻撃を見抜くためのトレーニングを提供することは非常に重要です。従業員は、機密情報やリンクを要求する不審なメールには警戒し、見知らぬ送信者や信頼できない送信者からの添付ファイルは開かないように指導されるべきです。定期的な注意喚起や模擬フィッシングキャンペーンは、教訓を定着させ、改善が必要な領域を特定するのに役立ちます。
ネットワークセグメンテーションとエンドポイント保護
ネットワークセグメンテーションは、ネットワークの一部をより小さなネットワークに分割することで、アクセス制御を強化し、感染の拡大を抑制します。ランサムウェアが1つのセグメントに侵入した場合、セグメンテーションによってネットワーク全体への拡散を防ぎます。ウイルス対策ソフトウェア、侵入防御システム、定期的なパッチ適用などの強力なエンドポイント保護は、ランサムウェアやその他のマルウェアのブロックに役立ちます。二要素認証 認証 リモートアクセスおよび管理者アカウントには、追加のセキュリティ層が提供されます。
バックアップ
ランサムウェア攻撃から身代金を支払うことなく復旧するには、頻繁かつ冗長なデータバックアップが不可欠です。ネットワークが侵害された場合に備え、バックアップはオフラインかつオフサイトに保管する必要があります。バックアップからの復元を定期的にテストし、プロセスが正常に機能し、データが破損していないことを確認してください。ランサムウェアによってファイルが暗号化された場合でも、アクセス可能なバックアップがあれば、データの永久的な損失を防ぎ、身代金を支払う必要がなくなります。
追加のコントロール
その他の有効な対策としては、ユーザーの権限と特権を制限すること、異常なネットワークアクティビティなどの侵害の兆候を監視すること、感染が発生した場合のインシデント対応戦略を策定することなどが挙げられます。最新のランサムウェアの脅威と攻撃手法に関する知識を常に把握し、組織全体で共有することで、ITチームは適切な防御策を講じることができます。
強力な対策と教育・準備に重点を置くことで、組織はランサムウェア攻撃の被害を回避できます。しかし、最善の対策を講じていても、ランサムウェアは常に存在する脅威です。対策と対応策を定期的にテストすることで、攻撃が成功した場合の被害を最小限に抑えることができます。これらの防御策を組み合わせれば、ランサムウェアに対する最善の防御策となります。
ランサムウェアインシデント対応
ランサムウェア攻撃に対しては、被害を最小限に抑え、復旧を確実にするために、迅速かつ戦略的な対応が求められる。
早急な応答
ランサムウェア感染が発覚した場合、まず感染したシステムを隔離し、マルウェアの拡散を防ぎます。次に、攻撃の範囲と深刻度を判断し、影響を受けたシステムとデータを特定します。バックアップデータを保護し、ストレージデバイスを切断して暗号化から守ります。
システムを隔離することで、専門家はランサムウェアの封じ込めと駆除作業を行うことができます。ウイルス対策ソフトウェアとマルウェア駆除ツールを使用してシステムをスキャンし、悪意のあるファイルを削除してください。感染が深刻なマシンでは、バックアップからのシステム全体の復元が必要になる場合があります。この間、システムの再感染を監視してください。
ランサムウェアの亜種は検出を回避するために絶えず進化しているため、高度なランサムウェアを完全に駆除するには、専用のツールや技術が必要になる場合があります。場合によっては、身代金を支払わなければランサムウェアによる暗号化は元に戻せないこともあります。しかし、身代金を支払うことは犯罪活動の資金源となり、データの復旧を保証するものではないため、あくまで最終手段としてのみ検討すべきです。
長期回復
ランサムウェア攻撃後には、防御を強化し再感染を防ぐために、セキュリティポリシーと手順の包括的な見直しが必要です。サイバーリスクと対応に関する追加の従業員研修も必要となる場合があります。
暗号化されたデータを復元するには、組織はバックアップファイルを使用して感染したシステムを上書きし、情報を復旧できます。ランサムウェアによるデータ損失を最小限に抑えるには、定期的なオフラインデータバックアップが不可欠です。複数バージョンのバックアップを継続的に作成することで、初期感染前の状態に復元することが可能になります。
バックアップファイルも暗号化されている場合、一部のデータは復元できない可能性があります。このような状況では、組織は失われた情報を復元できるか、あるいは他の情報源から取得できるかを判断する必要があります。場合によっては、データの永久的な損失を受け入れ、特定のシステムを完全に再構築する計画を立てる必要があるかもしれません。
ランサムウェア攻撃は壊滅的な被害をもたらす可能性がありますが、迅速な判断と適切な戦略があれば、組織はこれを克服できます。常に警戒を怠らず、様々なシナリオに備えておくことで、災害発生時に最も効果的な対応が可能になります。サイバー防御を継続的に評価・改善することで、長期的にリスクを軽減できます。
ランサムウェアの統計と傾向
近年、ランサムウェア攻撃は増加傾向にある。サイバーセキュリティ・ベンチャーズによると、世界のランサムウェアによる被害額は2019年の11.5億ドルから2021年には20億ドルに達すると予測されている。シマンテックのインターネットセキュリティ脅威レポートでは、2018年から2019年にかけてランサムウェアの亜種が105%増加したことが明らかになった。
現在最も一般的なランサムウェアの種類は、ロック画面ランサムウェア、暗号化ランサムウェア、および二重脅迫ランサムウェアです。ロック画面ランサムウェアは、ユーザーのデバイスをロックします。暗号化ランサムウェアは、ファイルを暗号化し、復号キーと引き換えに身代金を要求します。二重脅迫ランサムウェアは、ファイルを暗号化し、身代金を要求するだけでなく、身代金が支払われない場合は盗んだ機密データを公開すると脅迫します。
ランサムウェア攻撃は、医療機関、政府機関、教育機関を標的とすることが多い。これらの組織は機密データを保有していることが多く、業務の中断やデータ漏洩を避けるために身代金を支払う可能性が高い。しかし、身代金を支払うことは、サイバー犯罪者を増長させ、ランサムウェア攻撃を継続・拡大させる結果となる。
ランサムウェアのほとんどは、フィッシングメール、悪意のあるウェブサイト、ソフトウェアの脆弱性を介して拡散されます。中でも、悪意のある添付ファイルやリンクを含むフィッシングメールは、依然として最も一般的な感染経路です。多くの組織がメールセキュリティを強化するにつれ、攻撃者はパッチ未適用のソフトウェアの脆弱性を悪用してアクセス権を取得するケースが増えています。
ランサムウェアの将来像としては、より標的を絞ったデータ窃盗攻撃、より高額な身代金要求、追跡回避のための暗号通貨の利用などが挙げられます。サイバー犯罪者がランサムウェアのツールやインフラをスキルレベルの低い攻撃者に貸し出す「ランサムウェア・アズ・ア・サービス」も増加傾向にあり、より多くの人がランサムウェア攻撃を実行しやすくなっています。
ランサムウェアの脅威に対抗するためには、組織は従業員教育、強力なメールセキュリティ、定期的なソフトウェアパッチ適用、そしてオフラインで保管される頻繁なデータバックアップに注力すべきです。包括的なセキュリティ対策を実施することで、ランサムウェアをはじめとするサイバー攻撃の影響を大幅に軽減できます。
ランサムウェア対策における政府および国際社会の取り組み
世界中の政府や国際機関は、ランサムウェア攻撃の増加とその被害の深刻さに注目している。ランサムウェア対策として、様々な取り組みが進められている。
欧州連合サイバーセキュリティ機関（ENISA）は、ランサムウェア攻撃の予防と対応に関する勧告と戦略を発表した。その指針には、従業員教育、データバックアップ手順、法執行機関との連携などが含まれている。
国際刑事警察機構（インターポール）もランサムウェアの脅威について警告を発し、加盟194カ国に対し、ランサムウェアを展開するサイバー犯罪者の手口に関する「パープルノーティス」を発行した。インターポールは、組織や個人に対しランサムウェアのリスクを周知させ、サイバー防御を強化するための勧告を提供することを目的としている。
米国では、司法省がREvilやNetWalkerといった特定のランサムウェアを展開する攻撃者に対して法的措置を講じています。司法省は国際的なパートナーと協力し、可能な限りランサムウェア攻撃の実行犯を特定し、起訴しています。サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、ランサムウェアからネットワークを保護するためのリソース、教育、および勧告を提供しています。
世界有数の先進経済国で構成されるG7は、サイバーセキュリティの向上とランサムウェアなどのサイバー脅威への対策への取り組みを改めて表明した。2021年のサミットにおいて、G7はサイバー空間における責任ある行動の原則への支持と、サイバー問題に関する協力を誓約した。
政府の対策や国際協力は正しい方向への一歩ではあるものの、官民の組織もランサムウェア対策において積極的な役割を果たす必要がある。データのバックアップ、従業員への研修、システムの最新状態の維持は重要な対策であり、これらを政府や国際同盟の取り組みと組み合わせることで、ランサムウェア攻撃の影響を抑制するのに役立つだろう。
結論
サイバー犯罪の手口がますます巧妙化するにつれ、組織や個人がランサムウェアのような新たな脅威を理解することが極めて重要になっている。
ランサムウェア攻撃は個人的な侵害のように感じられるかもしれませんが、冷静かつ計画的に対処することが、被害を最小限に抑えながら事態を解決する最善の方法です。知識、準備、そして適切なツールとパートナーがいれば、ランサムウェア攻撃は必ずしもゲームオーバーを意味するものではありません。
最新のウイルス株、攻撃手法、推奨されるセキュリティ対策に関する情報を常に把握しておくことで、攻撃者ではなく、あなたが主導権を握ることができるようになります。