ランサムウェアとは？感染経路や被害を防ぐ対策方法をチェック

日本でランサムウェアが情報セキュリティ上の脅威と認識され始めたのは、2016年頃からです。当初は、不特定多数の利用者に向けてコンピュータウイルスをメールで送信する方法で感染させ、データの復旧と引き換えに身代金を要求するのが一般的でした。

しかし、その手口は年々変化しており、テレワークが普及した2020年頃からは、VPN機器をはじめとするネットワーク機器のインフラの脆弱性を狙い、企業のネットワークに侵入する手口が増加しています。また、不特定多数の相手へのメール送信から、標的型攻撃メールも登場しています。標的型攻撃メールとは、対象の組織を狙って、担当者が業務関係のメールだと思い込むように作り込まれたメールのことです。

要求の内容も変化が見られ、近年ではネットワーク内のデータを盗み取り、企業に対して「対価を支払わなければデータを公開する」と要求する二重恐喝（ダブルエクストーション）と呼ばれるものが確認されています。

出典：「情報セキュリティ10大脅威」（IPA　独立行政法人情報処理推進機構）

なお、従来のランサムウェアと、新たな脅威となっているランサムウェアの違いは下記のとおりです。従来のランサムウェアがなくなったわけではなく、攻撃手段や攻撃対象の増加により、ランサムウェアに対しさらなる警戒が必要になったということになります。

まず攻撃者は、VPN機器などの脆弱性を利用して企業内のネットワークに侵入します。このほか、標的型攻撃メールによるリンクや添付ファイル、外部メモリーなども侵入経路となります。

攻撃者が企業内のネットワークに侵入したら、端末内部での探索活動が始まります。攻撃者は、遠隔操作ツールを使って侵入した端末やネットワークの内部をスキャン。侵入可能なサーバーやアクセス可能な機密情報、管理者のアカウント情報といった、身代金要求に使えそうな情報の探索を行います。

攻撃者が管理者の権限を獲得したら、機密情報や個人情報といった重要情報の窃取を開始。

獲得した権限を使って脅迫のための機密情報を窃取、クラウド上か攻撃者のサーバーにアップすることで持ち出します。このほか、データをロックしてサーバーや機密情報にアクセスできないようにします。

最後に、企業のネットワーク内に導入されているセキュリティを停止して不正プログラムを実行し、身代金の要求を行います。この段階までに攻撃者による攻撃に気づけなかった場合、ここで初めてランサムウェアによる被害に気づきます。

ランサムウェアに感染したと思われる状況になったら、自社を管轄する警察のサイバー犯罪窓口に相談・通報します。警察から助言を得ることもできますし、サイバー犯罪の実態を明らかにし、被害の拡大を防止するのにも役立ちます。

都道府県警察本部のサイバー犯罪相談窓口等一覧は下記のとおりです。

都道府県警察本部のサイバー犯罪相談窓口一覧

IPAやJPCERT/CC（ジェーピーサートコーディネーションセンター）にも連絡すると、事後対応のサポートを受けることもできます。

情報処理推進機構（IPA）ランサムウェア対策特設ページ

JPCERT/CC｢侵入型ランサムウェア攻撃を受けたら読むFAQ」

ランサムウェアに感染した場合、感染した端末やシステムをネットワークから隔離します。

端末内に復元に必要な情報が残っていることがあるので、切り離した端末の電源は切らないように注意しましょう。

ランサムウェアはネットワーク上に接続されているほかの端末にも感染を広げるため、組織全体で状況を把握し、対応することが大切です。

できるだけ早めに、「被害を受けたデータ」「不審な通信を行っている端末」「窃取された情報」の特定を行います。ネットワークからの隔離などの処置により、被害の拡大を防ぎ、迅速な復旧につなげることが可能です。

ランサムウェアの対策として、セキュリティ対策ソフトを常に最新の状態にしておくことが大切です。OSやソフトウェアは常に更新ファイルやパッチを適用し、常に最新の状態を保つようにします。

標的型攻撃メールの検知・ブロック機能を強化することも、ランサムウェア対策のひとつです。メール受信システムのフィルタリング機能や警告機能を利用することで、業務に関するメールを装って届く標的型攻撃メールを検知・ブロックできる可能性が高まります。

ランサムウェア対策として、遠隔操作機能を適切に管理しましょう。例えば、攻撃者に利用されないよう、遠隔操作機能を利用するサーバーを必要最小限にするといった方法があります。また、厳重なセキュリティチェックを行うようにすることも大切です。

内部ネットワークや端末の挙動の監視を自動化することも、ランサムウェア対策のひとつです。組織内の複数の端末を横断するスキャンや不正ログイン、データ移動などを素早く検知することで、感染の拡大や侵入範囲の拡大を抑えられます。

被害を受けたときに復旧できるよう、データは定期的にバックアップをとっておきましょう。ランサムウェア対策として、外付けの記録媒体にも保存し、ネットワークと切り離して保管しておく方法もあります。

どれだけセキュリティを強化しても、すべてのリスクに対応することは不可能です。システムをすり抜けた標的型攻撃メールへの対処など、人の行動に委ねられる部分も大きいため、研修などを通して社員のセキュリティリテラシーを高めておくことも大切です。