猛威を振るうランサムウェア、事業継続を脅かす存在に

「ランサムウェアに感染し、数億ドル単位の高額な身代金を要求された」「業務に不可欠なシステムが動かなくなり、やむを得ず工場の稼働を停止した」——最近、そんなニュースを耳にした方も多いでしょう。過去にもさまざまなサイバー攻撃がありましたが、ランサムウェアは事業継続に大きなインパクトを与え、企業を脅かす存在となっています。

ランサムウェアとはPCやサーバに保存されているデータを暗号化し、ユーザーが利用できない状態に陥れた上で「元に戻してほしければ、金銭を支払え」と要求するマルウェアの一種です。最近では、暗号化する前にデータを盗み出し、「盗んだ機密情報を公開されたくなければ金銭を支払え」と要求する「二重の脅迫」を行うパターンも報告され、複数の日本企業の名前が被害者としてリストアップされています。警察庁のまとめでは、国内のランサムウェア被害は確実に増えています。

■企業・団体等におけるランサムウェア被害の報告件数の推移

出典：令和４年４月７日 警察庁広報資料 　令和３年におけるサイバー空間をめぐる脅威の情勢等について

被害増加の背景には、攻撃者にとってランサムウェアが金銭を効率的に稼ぐ手段として注目されたためです。攻撃者のニーズが高まり、ランサムウェアによる攻撃は組織化され、さらに改造・修正が加わり高度化されていきました。ランサムウェア自体は以前から存在しましたが、この数年で費用を支払うことで手軽にランサムウェアを利用できる「Ransomware as a Service」（RaaS）が登場し、それほどスキルを持たない攻撃者でも容易にランサムウェア攻撃を行える仕組みが形成されてしまったのです。それとともに、身代金の額も数百万から数千万円単位へと急騰し、海外では数十億ドルと言った目の飛び出るような金額が要求されるケースまで発生しています。

被害者にとって痛手なのは、サーバなどに保存されている業務に不可欠なデータが使用できない状態に陥ることです。WordやExcelといったドキュメント類でも被害は甚大ですが、生産管理や調達、販売管理などを担う業務アプリケーションまでもが暗号化され、動かなくなってしまうため、事業がストップしてしまいます。例えば、ランサムウェア被害による工場の稼働停止、上場企業の決算発表延期、レジでのキャッシュレス決済中止といった被害が確認されています。

ご存知の通りITシステムは“IT化”と言われていた時代の「ちょっと便利な、合理化のための仕組み」ではありません。事業を支え、経営の意思決定を細部にまで伝える血管のように網を広げており、文字通り企業にとっての生命線です。ひとたびその運用が止められてしまうと事業そのものが滞り、関係する取引先や顧客にも説明や謝罪はもちろん、株主への説明や企業イメージの回復といった事後対応が求められます。こうした影響の大きさもあって、情報処理推進機構が毎年まとめている「10大脅威」の最新版では「ランサムウェア」が前回に続いて1位となっています。

100％の防御は不可能という前提で、より包括的な対策を

丸紅情報システムズでも、ランサムウェアの流行に懸念を抱いたり、実際に感染してしまったお客様から相談を受けるケースが増えてきました。

典型的な感染例と対処は次のような流れです。攻撃者はまず、支社側に設置していたVPNアプライアンスの脆弱性を付いて社内に侵入します。攻撃者が次に狙うのは個々のパソコンではなく、認証を司るActive Directoryサーバです。ここを乗っ取った上で、各端末のアンチウイルスソフトを無効化するよう指示を出し、無防備な状態にした上で一斉にランサムウェアを拡散させます。最後にはActive Directoryサーバそのものも、また端末から接続するファイルサーバ内のデータもすべて暗号化され、身代金を要求する画面が表示されてしまう、というシナリオです。

この状況に陥ったお客様から相談を受けた丸紅情報システムズでは、まず隔離されたネットワークセグメントを新規に構築し、バックアップデータからの復旧を試み、クリーンな状態で最低限の業務を進められる環境を整えました。並行して、被害に遭った端末に対し、どのようなランサムウェアに感染したかを調査するとともに、影響範囲を特定し、再び被害が拡散することのないよう確認作業を進めました。

ただ、こうした一連の対処を終えてシステムが完全に復旧するまでには、どんなに急いでも1週間程度はかかるのが実情です。このような感染例から、4つの対策が浮かび上がってきます。