ランサムウェア攻撃の実例と企業が備えるべき対策

ランサムウェア攻撃は、日常業務を一瞬で停止させ、企業や個人に甚大な被害をもたらします。その脅威は年々増大し、特に標的型攻撃やサプライチェーン攻撃など、新たな手法が登場する中で従来のセキュリティ対策の限界が試されています。

本記事では、具体的なランサムウェアの実例を通じて、その被害の実態と攻撃の手口を解説します。また、企業が被害を防ぎ、迅速に復旧するために取り組むべき対策についても詳しく紹介します。これからの時代、企業の存続には万全なセキュリティ体制が不可欠です。今こそ、確かな備えを整えましょう。

ランサムウェア攻撃の基本理解

まずは、ランサムウェアがどのようなものであるのか、その定義や特長をおさらいします。感染経路や攻撃手法についての理解をいま一度深めることで、効果的な防御策を講じる基盤を築くことができます。

ランサムウェアの定義と特長

ランサムウェアは、感染したコンピュータ上のファイルを暗号化して使用不可にし、その解除と引き換えに身代金を要求するマルウェアです。この名前は、「身代金」を意味する「ランサム」と「ソフトウェア」を組み合わせたものに由来します。

一般的な攻撃手法では、メールの添付ファイルや不正なリンク、脆弱なシステムへの侵入を通じて感染が広がります。その後、ファイルを暗号化し、被害者に金銭の支払いを求めます。近年では、「ダブルエクストーション」と呼ばれる手法も登場しており、これは暗号化に加えてデータを窃取し、公開をちらつかせて追加の金銭を要求するものです。

2023年には企業や団体に対する被害が増加し、多くの組織が復旧に多額の費用を費やしています。ランサムウェアに対抗するためには、ウイルス対策ソフトの導入やシステムの定期的な更新など、予防策が重要です。

代表的な感染経路と手口

ランサムウェアは、多様な経路を通じてシステムに侵入します。前述の通り、不正プログラムを仕込んだWebサイトやフィッシングサイトの閲覧、メールの添付ファイルの開封が一般的な感染方法です。

特に、ネットワークを経由する感染は注意が必要です。例えば、社内の1台が感染すると、他のパソコンやサーバーにも次々に拡がり、システム全体が被害を受ける可能性があります。

最近では、標的型攻撃メールや、VPNやリモートデスクトップなどの遠隔アクセス手段の脆弱性を悪用する手口も増えています。また、取引先や外部パートナーを経由して侵入する「サプライチェーン攻撃」も増加しており、セキュリティを維持することはさらに難しくなっています。

【関連記事：ランサムウェアの感染経路は？最新の攻撃手法や感染対策をわかりやすく解説】

ランサムウェア攻撃の歴史的背景

ランサムウェア攻撃の起源は、1989年に登場した「AIDS Trojan（PC Cyborg Trojan）」に遡ります。このトロイの木馬は、利用者のファイルを隠し、パナマの住所に郵送で189ドルの送金を要求するという手法を取りました。これは初期のランサムウェアとして、金銭を介してファイルへのアクセスを回復することを目的としていました。

その後、1996年には「暗号ウイルス（Cryptovirology）」の研究が発表され、被害者のデータを暗号化して身代金を要求するという現在のランサムウェアの基礎が形成されました。仮想通貨、特にビットコインの普及により、攻撃者は匿名性を保ちながら身代金を受け取ることが可能となり、2013年に登場した「CryptoLocker」はビットコインを支払い手段として取り入れました。これ以降、仮想通貨の利用がランサムウェア攻撃の標準となっています。

さらに、近年では「RaaS（Ransomware as a Service）」と呼ばれる商業化されたサービスが普及し、専門的な知識がなくても一般の人が簡単にランサムウェア攻撃を仕掛けられるようになりました。

ランサムウェア攻撃の種類と実例

ランサムウェアは進化を続け、企業や個人のデジタル資産を狙う多様な攻撃手法が登場しています。ここでは、代表的なランサムウェア攻撃の事例を紹介し、それぞれの特徴、感染経路、拡散方法などを解説します。

CryptoLocker

CryptoLockerは2013年に登場したランサムウェアで、RSA-2048という公開鍵暗号方式を使用します。暗号化されたファイルを復号するには攻撃者の秘密鍵が必要で、C2（Command and Control）サーバーが停止されると、復号はほぼ不可能になります。

感染は主にフィッシングメールに添付されたファイルを開くことから始まりますが、偽のソフトウェア更新を装った手口も報告されています。感染が広がると、共有フォルダや他の端末にも被害が及び、ビットコインでの身代金が要求されます。被害を防ぐには、EDR（Endpoint Detection and Response：端末の異常を検出するセキュリティ対策）の導入や定期的なバックアップの強化が有効です。

WannaCry

WannaCryは2017年に発生したランサムウェア攻撃で、世界中のコンピュータシステムに甚大な被害を与えました。感染後、ユーザーのファイルが暗号化され、復号のためにビットコインでの支払いを要求されました。特に、当時のWindowsのSMB（Server Message Block）プロトコルに存在していた「EternalBlue」と呼ばれる脆弱性を悪用し、ネットワーク内で自動的に感染を拡大させたことが特徴です。

この攻撃は、個人だけでなく、多くの企業や公共機関の業務を停止させ、大きな混乱を引き起こしました。また、この事件はセキュリティパッチの適用がいかに重要であるかを世間に再認識させるきっかけとなり、企業はネットワーク分離やバックアップ体制の強化に取り組むようになりました。

NotPetya

NotPetyaは2017年6月に発生した、WannaCryとは異なる悪質なマルウェアです。攻撃はウクライナで始まりましたが、会計ソフト「MeDoc」のアップデートに悪意のあるコードが仕込まれたことで、瞬く間に世界中に被害が広がりました。

NotPetyaは「EternalBlue」脆弱性を悪用し、ネットワーク内で自己増殖する能力を持つだけでなく、認証情報を窃取して横展開することも可能でした。

この攻撃は、企業や公共インフラのシステムを停止させ、物流や製造業を含む多くの業界に甚大な経済的損害を与えました。さらに、NotPetyaはデータを暗号化するものの、復号する手段が存在せず、金銭目的ではなくデータの破壊を意図した「ワイパー・マルウェア」とも見なされています。

Ryuk

Ryukは、リモートでコンピュータを操作できる仕組みであるRDP（リモートデスクトッププロトコルの脆弱性や、他のマルウェア「TrickBot」「Emotet」を利用して侵入します。ネットワーク内のデバイスを特定してファイルを暗号化し、ターゲットの財務状況を調べた上で高額な身代金を要求する点が特徴です。

こうした要求は企業の業務停止や混乱を引き起こし、結果として深刻な被害につながります。また、仮想通貨での支払いを求めるため、攻撃者の追跡が困難になることも犯行を助長しています。

REvil

REvil（別名：Sodinokibi）は、2019年に初めて報告され、世界中の企業を脅かしてきたランサムウェアです。大規模な企業を狙うことで知られ、内部データを暗号化した上で、復号の鍵と引き換えに高額な身代金を暗号通貨で要求する手法が特徴です。被害を受けた企業が公表を避けることが多く、正確な被害規模を把握するのは難しいですが、数百万ドルの支払いが行われた事例も報告されています。

REvilの攻撃は、適切なセキュリティ対策がない場合、経済活動に深刻な支障を与える可能性があります。

DarkSide

世界的に注目を集めたランサムウェア「DarkSide」は、2021年に米国の大手パイプライン企業「Colonial Pipeline」への攻撃でその名を広めました。この攻撃では燃料供給が一時停止し、米国内で大きな混乱が発生しました。DarkSideはRaaS（Ransomware as a Service）モデルを採用し、他の攻撃者にランサムウェアを提供する代わりに収益の一部を受け取る形で運営されていました。

無差別に攻撃するのではなく、収益性の高い企業をターゲットとし、支払い能力を重視する点が特徴です。また、標的と交渉するための専用窓口を設け、交渉を迅速に進めることで金銭を獲得する戦略も取っていました。身代金の支払いには暗号通貨が利用され、匿名性の高さが追跡を困難にしました。

GandCrab

GandCrabは2018年から2019年にかけて多くの被害をもたらしたランサムウェアで、急速な進化が特徴でした。ダークウェブ上でRaaSとして提供され、犯罪者が簡単に利用できる形で構築されていました。まるで商店で仕入れた商品を再販するように、攻撃者たちはGandCrabのサービスを利用して次々に攻撃を仕掛けました。

GandCrabの攻撃は、セキュリティ対策の不十分な中小企業や個人を中心に広がり、大きな被害を与えました。2019年の報告によると、GandCrabの活動により攻撃者は数億ドルの利益を得たとされ、運営者は自ら活動停止を宣言しました。

LockBit

LockBitは、近年注目される高度なランサムウェアの1つです。攻撃者は、フィッシングメールやソーシャルエンジニアリング（電話でのだまし）、さらにセキュリティが甘いRDPを利用して侵入します。感染後、管理者権限を取得し、ネットワーク内で他の端末に感染を拡げます。この結果、企業の重要なシステムが停止し、業務が大きく混乱することがあります。

攻撃者はC2（コマンド・アンド・コントロール）サーバーを利用して感染端末を遠隔で操作し、データ復旧と引き換えにビットコインなどの暗号通貨で身代金を要求します。暗号通貨の匿名性により、支払先の追跡が難しく、犯人にとって有利な手段です。

ランサムウェアと暗号通貨の関係

ランサムウェア攻撃の背後で暗号通貨が重要な役割を果たしています。暗号通貨は匿名性が高く追跡が難しいという特性から、攻撃者が身代金の受け取り手段として活用するケースが増えています。ビットコインやモネロなどが好まれる一方で、取引履歴の追跡技術や規制強化の進展により、攻撃者と捜査機関との攻防が激化しています。

暗号通貨がランサムウェアに及ぼす影響

ランサムウェア攻撃では、暗号通貨が犯罪者にとって便利なツールとして利用されることが増えています。暗号通貨は、銀行送金に比べて追跡が難しく、匿名性が高い特徴を持つため、攻撃者が身代金の支払い手段として好んで要求する傾向があります。

特に、ビットコインやモネロなどが選ばれるのは、プライバシー保護機能があるからです。ただし、暗号通貨の取引はブロックチェーン上に記録され、専門的な分析によって追跡される場合もあります。

その一方で、暗号通貨の普及に伴い、取引所への規制強化や法執行機関の技術向上が進んでいます。また、最近では暗号通貨そのものを標的とする攻撃も増えており、犯罪者と捜査当局の間でいたちごっこが続いています。

ランサムウェア攻撃グループの動向

ランサムウェア攻撃グループの最近の動向として、LockBit、BlackCat（ALPHV）、Clopといったグループが注目されています。これらのグループは、サービスとしてのランサムウェア（RaaS）を活用し、多岐にわたる攻撃を展開しています。

LockBitは、さまざまな脆弱性を悪用して企業に攻撃を仕掛けており、一部の攻撃が航空関連企業を巻き込んだとされていますが、模倣グループの増加や内部抗争の影響により、攻撃活動に変化が見られます。

BlackCatは高度な戦術を用いて、セイコーグループなどへの攻撃が確認されていますが、法執行機関による対応が強化されつつあるため、活動の抑制が進んでいるとの報告もあります。

Clopは、MOVEit Transferの脆弱性を利用し、大量のデータを盗む攻撃を展開しました。こうした攻撃は、脆弱なセキュリティを狙うものであり、中小企業だけでなく大企業も標的となっています。

米国やカナダを中心に、これらのグループによる攻撃が集中しており、新たな攻撃技術の導入も進んでいます。今後も警戒を怠らず、最新の脅威に対応する必要があります。

ランサムウェア攻撃を受けたら

ランサムウェア攻撃が発生した際には、迅速かつ的確な対応が求められます。ここでは、感染の拡大防止から復旧、再発防止に至るまでの具体的な手順を解説します。各段階での判断が、被害の拡大を防ぐ鍵となります。

感染範囲の特定と隔離

ランサムウェア感染を確認したら、まず感染が広がらないようにすることが最優先です。影響を受けた端末やサーバーをネットワークから直ちに切断し、感染経路を特定するための調査を開始します。LAN接続やVPNを通じた他のシステムへの拡散を防ぐため、以下のポイントを実行しましょう。

• 物理的な切断：端末やサーバーをネットワークから外す
• ネットワークの停止：必要に応じて一時的にネットワーク全体を遮断
• ログの保存：後の分析に必要なシステムログを確保

バックアップからの復元とデータの復旧

もしオフラインに保管されたバックアップがあれば、それを利用することで感染前の状態へ復旧できます。ネットワークから切り離した環境で復元作業を行うことが推奨されます。事前の復元テストを実施しておくと、緊急時に備えた円滑な対応が可能です。

• バックアップの確認：感染していないかを検査
• 段階的な復元：ネットワークに戻す前に部分的な復旧で動作確認
• 復元テストの実施：データが正常に機能するか確認

専門機関への連絡と身代金支払いの判断

ランサムウェア攻撃を受けた場合、専門機関への報告が欠かせません。日本国内では、警察のサイバー犯罪対策課やJPCERT/CCなどが対応を支援します。これらの機関からの助言に従い、慎重に次の対応を検討します。

• 身代金支払いの是非：支払ってもデータが戻らないリスクあり
• データ漏えいの確認：機密情報の流出がないかも調査
• インシデント対応の依頼：外部のセキュリティ専門家への支援要請も有効

攻撃後の被害分析と再発防止策

攻撃が収束した後、被害の範囲と原因の分析を行い、同じような攻撃を防ぐための対策を講じます。攻撃経路を特定し、脆弱な箇所を修正することで、再発を防ぐ体制を整えます。また、従業員へのセキュリティ教育の強化も重要です。

• 脆弱性の修正：攻撃経路となった箇所のアップデートや強化
• セキュリティ体制の見直し：多要素認証の導入など防御の強化
• 従業員教育：メールの添付ファイルや不審なリンクへの注意喚起

ランサムウェア攻撃から身を守る対策

ランサムウェア攻撃への備えは、組織にとって不可欠です。攻撃者は脆弱性を突き、データを暗号化して身代金を要求するため、多層的な防御が求められます。ここでは、OSやソフトウェアの最新化、複数の防御策の活用、ネットワークの脆弱性管理、パスワード強化と多要素認証、オフラインバックアップの重要性について解説します。これらの対策を徹底し、攻撃リスクを減らしつつ迅速な対応を可能にしましょう。

OSやソフトウェアの最新化

OSやソフトウェアの最新化が基本です。攻撃者は既知の脆弱性を狙ってくるため、定期的なアップデートでそれを防ぐことが重要です。また、ゼロデイ攻撃のリスクに対応するため、侵入防止システム（IPS）やファイアウォールの導入も推奨されます。

複数の防御手段を組み合わせる

ウイルス対策ソフトに加え、次世代エンドポイントセキュリティ（EDR）を導入することで、従来のマルウェアだけでなく、高度な攻撃からも保護できます。ウイルス対策だけでは不十分なため、複数の防御手段を組み合わせることが求められます。

ネットワーク機器の脆弱性管理

ネットワーク機器の脆弱性管理も不可欠です。特に、VPNやリモートデスクトップは攻撃者の主要な侵入口であるため、ソフトウェアを常に最新の状態に保ち、2段階認証（MFA）を導入することが効果的です。また、不要なポートを閉鎖することで、不正アクセスのリスクを減らせます。

パスワードの強化と多要素認証（MFA）の導入

さらに、パスワードの強化が重要です。複雑なパスワードを使用し、定期的に変更することが求められます。パスワードマネージャーを活用することで、管理の手間を減らしつつセキュリティを向上させることができます。

多要素認証（MFA）の導入も、セキュリティの重要な要素です。パスワードに加え、認証コードや生体認証など複数の認証要素を組み合わせることで、不正アクセスの可能性をさらに低減します。

オフラインバックアップの実施

前述の通り、オフラインバックアップの実施がランサムウェア対策の要となります。定期的にデータをネットワークから切り離した場所に保存し、攻撃を受けた場合でも迅速に復旧できるようにしておきましょう。加えて、バックアップの復元テストを行うことで、いざというときに正常に機能することを確認することも重要です。

これらのセキュリティ対策を全社で徹底することで、ランサムウェア攻撃のリスクを大幅に減らし、万が一攻撃を受けても被害を最小限に抑えることが可能になります。多層防御の視点を持ちながら、最新の脅威にも柔軟に対応できる体制を整えましょう。

ランサムウェアの攻撃に備える環境整備はイッツコムにお任せ

紹介してきた通り、ランサムウェア攻撃は年々巧妙化し、企業が甚大な被害を受けるリスクが増しています。こうした脅威に対抗するためには、強固なネットワーク環境と適切な情報管理体制が欠かせません。

イッツコムが提供するソリューションは、「モバイル閉域接続」と「Box」です。ランサムウェア攻撃を未然に防ぎ、被害を最小限に抑えるための有効な手段とサポートを行います。

モバイル閉域接続：VPN不要で安全なリモートアクセスを実現

ランサムウェア攻撃が広がる中、社外からの安全なアクセスが求められています。「モバイル閉域接続」は、専用SIMを活用して、インターネットを介さずに社内ネットワークに直接接続する仕組みを提供します。これにより、ハッキングや情報漏えいのリスクを大幅に低減し、安心してリモートから業務を行うことが可能になります。

• インターネットを経由しない閉域網：NTTドコモやイッツコムの閉域ネットワークを利用し、接続経路を限定することで外部からの攻撃を防ぎます。
• VPN不要で手軽な運用：VPN設定の手間が省け、エンドユーザーも簡単にアクセス可能。これにより、IT管理者の負担も軽減します。
• 通信ログの管理とポリシーの適用：社外からのアクセスでも社内のセキュリティポリシーを一貫して適用でき、通信ログを取得することで、異常な挙動を早期に発見できます。

これらの機能を活用すれば、リモートワークでも社内同様のセキュリティ環境を維持でき、ランサムウェア攻撃やその他のサイバー脅威に備えることが可能です。

Box：ファイル管理と感染経路の遮断でリスクを最小化

企業内外のデータ共有が増える中、ファイルの管理体制がセキュリティの要となっています。「Box」は、ファイルを一元管理するクラウドストレージで、感染経路を断つための効果的な手段として注目されています。

• 感染経路の遮断：USBメモリやメール添付の代わりにクラウド上でデータを管理することで、マルウェアが侵入する経路を抑制します。
• 強力な暗号化とバージョン管理：保存されたファイルは高度な暗号化で保護され、過去のファイルバージョンに即座に戻すことができるため、ランサムウェアによる暗号化攻撃からの迅速な復旧を支援します。
• Box Shieldによる脅威の可視化：AIによる潜在的な脅威の検出機能で、攻撃の兆候を早期にキャッチし、迅速な対応が可能です。

Boxを活用することで、社内のデータ保護だけでなく、外部パートナーとの安全な共有も実現します。これにより、ランサムウェアなどのサイバー攻撃への対応力を強化し、日常業務の効率化にも寄与します。

まとめ

ランサムウェア攻撃に備えるには、多層的な防御や従業員のセキュリティ教育、定期的なバックアップが欠かせません。さらに、感染が発生した際には、素早い隔離と復旧が企業の存続を左右します。

特にリモートワークの普及に伴い、ネットワーク環境のセキュリティ強化が重要になっています。イッツコムの「モバイル閉域接続」と「Box」を活用することで、セキュリティ対策をより万全なものにしてはいかがでしょうか。導入にあたっての詳細はお気軽にお問い合わせください。