ランサムウェアは、ファイル、データ、システムへのアクセスを遮断し、アクセスを復旧する代わりに金銭の支払いを要求する悪意のあるソフトウェア（マルウェア）の一種です。近年の多くのランサムウェア攻撃では、サイバー犯罪者が暗号化を行う前に機密データを窃取し、被害者が支払いを拒否した場合には、そのデータを公開すると脅迫するケースもあります。
暗号化、データ窃取、恐喝を組み合わせたこの攻撃手法により、ランサムウェアはあらゆる規模の企業にとって深刻なサイバーセキュリティリスクとなっています。攻撃が成功すると、業務の中断、機密情報の漏えい、規制上のリスク、多額の復旧コストにつながる可能性があります。
ランサムウェアの定義：ランサムウェアとは何を意味するのか？
サイバーセキュリティにおけるランサムウェアとは、デジタル恐喝に使用されるマルウェアを指します。攻撃者はデバイスやネットワークへのアクセスを獲得した後、ファイルを暗号化したり、システムをロックしたり、情報を窃取したり、これら複数の手法を組み合わせたりすることがあります。その後、被害者には身代金の支払い要求が届き、多くの場合、暗号資産での支払いを求められます。
身代金を支払っても、データが復元されることや、窃取された情報が削除されることは保証されません。支払い後も、組織は業務停止、復旧費用、評判の低下、さらなる攻撃といった問題に直面する可能性があります。
ランサムウェアはどのように機能するのか？
ランサムウェア攻撃は通常、いくつかの段階を経て進行します。
-
初期アクセス。 攻撃者は、フィッシング攻撃、窃取された認証情報、インターネット上に公開されたリモートアクセスサービス、悪意のあるダウンロード、未修正のソフトウェア脆弱性などを利用して環境内に侵入します。
-
侵害範囲の拡大と探索。 侵入後、攻撃者は価値の高いシステムを探索し、権限を昇格させ、認証情報を窃取し、ネットワーク内を横方向に移動することがあります。標的型攻撃では、ランサムウェアを展開するまで一定期間、検知されないまま潜伏することもあります。
-
データの窃取または暗号化。 攻撃者は業務上重要なファイルを暗号化し、さらに機密データを外部へ持ち出す場合もあります。侵害された環境からアクセス可能なバックアップも攻撃対象になる可能性があります。
-
恐喝。 身代金要求メッセージでは、復号鍵の提供や、窃取した情報を公開しないことと引き換えに支払いを要求します。さらに、追加の業務妨害や情報の公開をほのめかし、圧力を強める攻撃者もいます。
一般的なランサムウェアの種類とは？
ランサムウェアにはさまざまな種類があります。暗号化型ランサムウェア（Crypto ransomware) はファイルを暗号化し、復号鍵がなければユーザーがアクセスできない状態にします。一方、ロッカー型ランサムウェア（Locker ransomware) は、ユーザーがオペレーティングシステムやデバイスにアクセスできないようにします。リークウェア（Leakware) はDoxwareとも呼ばれ、機密情報を窃取し、それを公開すると脅すことを主な手口としています。
近年の攻撃では、暗号化とデータ窃取を組み合わせた二重恐喝（Double extortion) がますます多く利用されています。もう1つの重要なモデルがRansomware-as-a-Service（RaaS、ランサムウェア・アズ・ア・サービス) です。これは、ランサムウェアの開発者が、アフィリエイトと呼ばれる攻撃実行者に攻撃ツールやインフラストラクチャを提供する仕組みです。LockBitのような有名なランサムウェア攻撃組織は、高度なマルウェアとアフィリエイト型のビジネスモデルを組み合わせたランサムウェアのエコシステムを示す代表例です。
手法や目的は、さまざまなランサムウェアの種類によって大きく異なる場合があります。
ランサムウェアとマルウェアの違いとは？
マルウェアとは、システムの破壊や妨害、情報の監視、または不正アクセスを目的として設計された悪意のあるソフトウェア全般を指します。ランサムウェアは、そのマルウェアの一種です。
すべてのマルウェアが金銭を要求するわけではありません。トロイの木馬は不正なアクセス経路を確立する場合があり、スパイウェアは情報を収集し、ワームはシステム間で自己拡散します。ランサムウェアを特徴付ける最大の要素は、恐喝を目的としている点です。攻撃者はシステムやデータへのアクセスを妨害したり、情報を窃取したり、その両方を行ったりしたうえで、金銭の支払いを要求します。
企業はランサムウェア攻撃をどのように防止できるのか？
あらゆるランサムウェア攻撃を単一のサイバーセキュリティ対策だけで防ぐことはできません。そのため組織は、初期侵害が発生する可能性と、侵害が成功した場合の影響の両方を軽減するために、多層的な防御策を導入する必要があります。
オペレーティングシステムやアプリケーションには、特にインターネットに公開されているサービスを中心に、最新のパッチを適用することが重要です。すぐに恒久的な修正を行うことが難しい場合は、正式なパッチの適用が完了するまでの間、仮想パッチを利用することで、既知のWebアプリケーション脆弱性を悪用する攻撃に対して追加の防御層を提供できます。
アイデンティティセキュリティも同様に重要です。組織は多要素認証（MFA）を使用し、最小権限の原則を適用するとともに、不要なリモートアクセスを制限する必要があります。ゼロトラストネットワーキングモデルを採用すれば、ユーザーとデバイスを継続的に検証し、1つのアカウントやシステムが侵害された後に攻撃者が横方向へ移動する能力を制限することで、リスクをさらに軽減できます。
インターネットに公開されているアプリケーションについても、脆弱性の悪用から保護する必要があります。Web Application Firewall（WAF）は、一般的なアプリケーション脆弱性や新たな脅威を悪用しようとする試みを含め、悪意のあるWebリクエストを検出してブロックできます。
組織は、保護されたバックアップまたは隔離されたバックアップを保持し、復元手順を定期的にテストする必要があります。ランサムウェア攻撃者は、暗号化を開始する前にバックアップを侵害しようとすることが多いため、バックアップは本番環境と同じ認証情報やアクセス経路に依存しないようにする必要があります。
CDNetworksはランサムウェアのリスク軽減にどのように役立つのか？
CDNetworksは、多層的なサイバーセキュリティ戦略の一環として、組織のランサムウェア被害リスクの軽減を支援します。Enterprise Secure Access（ESA）はゼロトラストの原則に基づき、ユーザーの本人確認、デバイスのセキュリティ状態、アクセス行動を検証することで、不正アクセスや企業アプリケーション間の横方向への移動を制限します。
インターネットに公開されているアプリケーションについては、CDNetworksのWeb Application Firewallが悪意のあるリクエストをブロックし、攻撃者が初期侵入経路として悪用する可能性のある脆弱性からアプリケーションを保護します。また、恐喝にサービス可用性を狙った攻撃も含まれる場合、Flood Shield 2.0が大規模なネットワーク層およびアプリケーション層のDDoS攻撃から保護します。
これらの機能は、エンドポイント保護、バックアップ、メールセキュリティ、インシデント対応などのセキュリティ対策を置き換えるものではなく、それらを補完するものです。
ランサムウェア攻撃を受けた場合、どう対処すべきか？
ランサムウェアが検知された場合は、さらなる感染拡大を防ぐため、影響を受けたシステムを速やかに隔離します。組織のインシデント対応プロセスを開始し、関連するログや証拠を保全するとともに、侵害されたアカウントを無効化し、機密データが暗号化されただけでなく窃取されていないかを確認します。
身代金の支払いについて、性急に判断することは避けるべきです。支払ったとしても、正常に復旧できることや、窃取された情報が削除されることは保証されません。また、法的またはコンプライアンス上の問題が生じる可能性もあります。
可能な限り、クリーンなシステムと信頼できるバックアップを使用して復旧を行います。影響を受けた資産を再接続する前に、攻撃者が最初にどのようにアクセスを獲得したのかを調査し、原因となった脆弱性、侵害された認証情報、設定上の不備を修正する必要があります。
よくある質問
ランサムウェアはウイルスですか？
厳密には違います。ランサムウェアはマルウェアの一種ですが、コンピューターウイルスは、ファイルやプログラムに感染して自己複製する別の種類のマルウェアです。ランサムウェアは、どのように拡散するかではなく、主にデジタル恐喝に利用されるという目的によって定義されます。
身代金を支払わずにランサムウェアを削除できますか？
ランサムウェア自体は削除できる場合が多いものの、マルウェアを削除しただけでは、影響を受けたファイルが自動的に復号されるわけではありません。クリーンなバックアップを使用して復旧できる場合があるほか、既知のランサムウェアの一部については、利用可能な復号ツールによって復旧できることもあります。そのため、攻撃を受ける前に、テスト済みで隔離されたバックアップを準備しておくことは、ランサムウェアに対するレジリエンスを高めるうえで最も重要な対策の1つです。
