ハッキング特集🛡️｜ランサム被害から会社を守る💻️第005講｜ファイルが開けない――暗号化されたデータは、なぜ戻せないのか
【開かないのではなく、読めない形に変えられている】
ミカ「教授、昨日まで普通に開いていたExcelファイルが、急に開かなくなったら、ファイルが壊れたのでしょうか？」
教授「壊れたとは限らない。ランサムウェアによって、内容を読めない形に変えられた可能性がある」
ミカ「ファイル名を変更しただけではないのですか？」
教授「泥棒が金庫の名前を変えたのではない。中身を暗号化して、正しい鍵がなければ読めない状態にしたのだ」
ランサムウェアは、パソコンやサーバー内のファイルを暗号化し、データと、それを利用するシステムを使えなくするマルウェアである。米国CISAも、ランサムウェアを「ファイルを暗号化し、端末上のファイルやそれに依存するシステムを使用不能にするマルウェア」と説明している。 CISAの説明
「ファイルが開けない」という症状の裏側では、データの読み方を変えられている。
【暗号化とは何か】
暗号化とは、読める状態のデータを、特別な計算によって読みにくい状態へ変換する仕組みである。
・暗号化前：会社の売上データを普通に読める
・暗号化後：意味の分からないデータに変わる
・復号：正しい鍵を使って、元の状態へ戻す
暗号化は、本来は悪い技術ではない。インターネット通販の決済情報や、オンラインバンキングの通信を守るためにも使われている。
「同じ暗号化なのに、なぜランサムウェアでは悪いことになるのですか？」
「鍵を持つ本人が使うのか、他人のデータを勝手にロックするのかの違いだ」
会社が自分のデータを守るために暗号化するのは防御である。しかし、攻撃者が会社のデータを勝手に暗号化し、解除と引き換えに金銭を要求すれば犯罪になる。
【鍵がなければ、なぜ戻せないのか】
暗号化されたデータは、単に文字を並べ替えたものではない。
強力な暗号化では、元のデータを復元するために、非常に大きな計算上の鍵が使われる。
たとえば、金庫のダイヤルを数回回せば開く程度なら、試して開けることができる。しかし、組み合わせが天文学的な数になると、すべての組み合わせを試すことは現実的ではない。
ミカ「パスワードを何度も試せば、いつか開くのでは？」
教授「理屈の上ではそうだ。しかし、何兆回、何京回と試す必要があれば、人間の寿命では足りない」
攻撃者は、データを暗号化する鍵を作り、その鍵を攻撃者だけが管理できる形にすることがある。
そのため、ファイルを開こうとしても、正しい鍵がなければ内容を読み取れない。
暗号化されたファイルは、名前を変えたり、別のソフトで開いたりするだけでは元に戻らない。
【ランサムウェアで使われる暗号化の考え方】
ランサムウェアでは、大量のファイルを短時間で処理する必要がある。そのため、一般的には高速な暗号化方式と、鍵を保護する仕組みを組み合わせることがある。
詳しい攻撃手順を覚える必要はないが、考え方を簡単に整理しておこう。
【1 データを高速に暗号化する】
Word、Excel、PDF、画像、データベースなどを、読み取れない状態に変える。
【2 暗号化に使った鍵を保護する】
ファイルを戻すための鍵が、簡単に見つからないように別の方法で保護される。
【3 復旧と引き換えに身代金を要求する】
画面やテキストファイルに、支払方法や期限を示した脅迫文を残す。
ミカ「つまり、ファイル一つ一つに鍵をかけているのですか？」
教授「一つずつ手作業で鍵をかけていたら、犯人のほうが先に退職する。プログラムがまとめて処理する」
攻撃者は、業務に使われているファイルを大量に対象にするため、会社は短時間で仕事ができなくなる。
【ファイル名が変わる理由】
ランサムウェアに感染すると、ファイル名の末尾に見慣れない文字列が追加されることがある。
また、ファイル名が変更されない場合もある。
重要なのは、ファイル名ではなく、ファイルの中身が読めるかどうかである。
・ファイル名だけが変わっている
・拡張子だけが変わっている
・ファイルのサイズがほぼ同じ
・アイコンは表示される
・しかし、WordやExcelで開けない
このような状態でも、ファイルの内部が暗号化されている可能性がある。
「アイコンが残っていると、ファイルも無事に見えますね」
「看板は残っているが、店の中身が全部金庫に入れられた状態だ」
ファイルの見た目が残っていることと、内容が利用できることは別の問題である。
【暗号化と削除は違う】
「ファイルが消えたのなら、ごみ箱から戻せませんか？」
「暗号化と削除は、似ているようで違う」
削除は、データへの入口や管理情報が消えることをいう。一方、暗号化は、データが残っていても内容を読めなくする。
そのため、ランサムウェアでは、ファイルが画面上に残っていても開けないことがある。
・削除：見つけにくくなる、または消える
・破損：データの一部が壊れる
・暗号化：データは存在するが、正しい鍵なしでは読めない
この違いを理解しないと、「ファイルが残っているから復元できるはずだ」と誤解してしまう。
【暗号化されたファイルを別名で保存しても意味がない】
ファイル名を変更したり、拡張子を元に戻したりしても、暗号化された内容そのものは元に戻らない。
たとえば、暗号化されたExcelファイルの名前を変更しても、Excelの内容が復元されるわけではない。
ミカ「では、拡張子を.xlsxに戻せばよいのでは？」
教授「本の表紙を取り替えても、中の文章が外国語の暗号文なら読めない」
復旧に必要なのは、正しい復号鍵、正常なバックアップ、または専門家による復旧手段である。
【事件1 KADOKAWAグループへのサイバー攻撃】
2024年6月、KADOKAWAグループでは、複数のサーバーへアクセスできない障害が発生した。
同社の公式発表によれば、ニコニコを中心とするサービス群を標的として、データセンター内のサーバーがランサムウェアを含む大規模なサイバー攻撃を受けたと確認された。
被害の拡大を防ぎ、データを保全するため、関連するサーバーを停止。その影響はニコニコのサービスだけでなく、グループの経理システムにも及び、一時的に決済システムが機能停止となり、一部の取引先への支払いに遅延が生じる可能性も発表された。 KADOKAWA公式発表
「ファイルが開けないだけではなく、支払いまで止まるのですか？」
「経理システムもデータセンターのサーバーを使っていたからだ。会社の業務は、ファイル一枚だけで動いているわけではない」
この事件から分かるのは、暗号化の被害が、経理、支払い、取引先との関係にまで広がるということである。
【事件2 大阪急性期・総合医療センター】
2022年10月、大阪急性期・総合医療センターでは、ランサムウェアによるインシデントが発生した。
同センターの調査報告書によれば、病院のシステムとネットワークが遮断され、電子カルテシステムおよび関連システムが使用できない状態になった。
病院にとって、電子カルテが使えないことは、単に一つのファイルが開けないという問題ではない。
・患者情報の確認
・診療記録の入力
・検査結果の確認
・処方や会計に関する処理
・他の部門との情報共有
こうした業務に影響が及ぶ。
「病院では、ファイルが開かないと診療そのものに影響するのですね」
「そうだ。だから暗号化は、ITの故障ではなく、医療の継続に関わる問題になる」
データの暗号化は、データを失うことだけでなく、データを使って行っていた業務を止める。 大阪急性期・総合医療センター調査報告書
【なぜバックアップが重要なのか】
復号鍵を攻撃者から受け取ることに頼るのは危険である。
・鍵が渡される保証がない
・支払っても復旧できないことがある
・追加の金銭を要求される可能性がある
・盗まれた情報が公開される可能性がある
・攻撃者へ資金が渡り、次の攻撃につながる
そのため、会社側で復旧できるバックアップを持つことが重要になる。
ただし、同じネットワークに接続されたバックアップは、同時に暗号化される可能性がある。
・ネットワークから切り離したバックアップ
・複数世代を残したバックアップ
・別の場所に保管したバックアップ
・復元テストを行ったバックアップ
「バックアップがある」と言うだけでは不十分なのですね」
「そうだ。開けないバックアップは、鍵のかかった倉庫にある非常食だ」
バックアップは、存在することより、実際に復元できることが重要である。
【感染したとき、すぐに試してはいけないこと】
ファイルが突然開けなくなったとき、焦って次の操作をすると被害を広げる可能性がある。
・感染した可能性のある端末を何度も操作する
・別のパソコンへファイルをコピーする
・バックアップを上書きする
・脅迫文や不審なファイルを削除する
・原因を確認せずに端末をネットワークへ戻す
・犯人へ個人の判断で返信する
異常が疑われる場合は、端末をネットワークから隔離し、社内責任者や専門家へ連絡する。
端末の電源を切るかどうかなどは、証拠保全や被害拡大防止の観点から、状況に応じて判断する必要がある。
【会社が確認すべき復旧の順番】
ランサム被害では、すべてのファイルを一度に戻そうとすると混乱する。
まず、業務上の優先順位を決めておく。
・顧客情報や連絡先
・受注や出荷に必要なデータ
・会計や請求に必要な資料
・給与計算に必要なデータ
・契約書や重要な証憑
・設計図や製造データ
・社内の一般資料
「重要なファイルから順番に復旧するのですね」
「そうだ。会社の復旧とは、パソコンの画面を元に戻すことではない。仕事を再開できる状態に戻すことだ」
【これだけは覚える】
・暗号化とは、データを消すことではなく、正しい鍵がなければ読めない形に変えることである。
・ファイル名や拡張子を元に戻しても、暗号化された中身は復元できない。
・復号鍵に頼るのではなく、ネットワークから切り離したバックアップと復元テストを準備することが重要である。
【まとめ】
ミカ「ファイルが開けないという小さな画面の変化の裏側で、会社の業務全体が止まることがあるのですね」
教授「そのとおり。暗号化は、ファイルに鍵をかける攻撃だが、実際に人質になるのは会社の業務だ」
ミカ「名前を変えるだけでは戻らない。正しい鍵か、使えるバックアップが必要」
教授「今日のミカは、ファイルの拡張子より本質を見ている。成長したな」
ミカ「褒められたのか、ファイル名に負けるなと言われたのか、微妙です」
教授「セキュリティの世界では、微妙な違いが大事件になる」
「ファイルが開けない」は、単なるパソコンの不具合ではない。会社のデータと業務が人質になっている可能性がある。
