ハッキング特集🛡️｜ランサム被害から会社を守る💻️会社のデータを人質に取る攻撃
第001講｜ランサム被害とは何か――データを人質に取る攻撃
「教授、ランサム被害って、パソコンに怖い画面が出て、お金を払えと言われる事件ですよね？」
「それだけではない。ランサムウェアは、会社のデータやシステムを使えなくし、復旧と引き換えに身代金を要求する攻撃だ」
「つまり、データを人質に取るデジタル誘拐ですか？」
「実に正確だ。しかも犯人は、身代金を払えば必ず返してくれる善良な誘拐犯ではない」
ランサムウェアとは何か
ランサムウェアとは、パソコンやサーバー内のファイルを暗号化し、利用できない状態にする悪意のあるプログラムである。画面には、「ファイルを復元したければ、暗号資産などで支払え」といった脅迫文が表示される。
会計事務所であれば、顧客データ、申告書、契約書、給与資料、バックアップまで利用できなくなる可能性がある。病院なら電子カルテ、製造業なら生産管理、店舗なら販売管理が止まる。
ランサム被害は、単なるパソコンの故障ではない。会社全体の業務が停止する経営問題である。
どのように侵入されるのか
「犯人は、いきなりサーバーを爆破するのですか？」
「現実の犯罪と同じで、正面玄関よりも、開いたままの窓を探す」
主な侵入経路は、次のようなものである。
・偽の請求書や宅配通知を装ったメール
・メールに添付された不正なファイル
・偽サイトへ誘導してIDとパスワードを盗むフィッシング
・古いVPNやリモート接続機器の脆弱性
・推測されやすいパスワードや使い回し
・退職者や取引先のアカウントの放置
最初の入口は、一台のパソコンにすぎない。しかし、盗まれた認証情報や社内ネットワークを利用して、別のパソコンやサーバーへ被害が広がることがある。
ある会社で起きた被害
たとえば、A社の経理担当者に「未払い請求書の確認」というメールが届いた。担当者は添付ファイルを開き、表示された画面に従ってIDとパスワードを入力した。
その後、犯人は盗み取った情報を使って社内ネットワークへ侵入した。すぐに暗号化するのではなく、しばらく社内のサーバーや重要なデータの場所を調べた。そして、夜間や休日に複数の端末を一斉に停止させた。
翌朝、社員が出社すると、共有フォルダーのファイル名が変わり、画面には身代金を要求するメッセージが表示されていた。
「バックアップがあれば、すぐに戻せますよね？」
「そのバックアップまで接続されたままだったらどうする？」
A社では、バックアップ装置も同じネットワーク上にあり、そこまで暗号化されていた。結果として、復旧に長期間を要し、受注、請求、給与計算、顧客対応が止まった。
二重恐喝という新たな脅威
近年のランサム攻撃では、データを暗号化するだけでなく、事前に機密情報を盗み出す手口もある。
犯人は、「身代金を払わなければ、盗んだ顧客情報や設計図、財務資料を公開する」と脅迫する。これは二重恐喝と呼ばれる。
つまり、会社は「データを使えない被害」と「情報を公開される被害」の両方に直面する。
「データを盗まれたうえに、使えなくされるのですか？」
「泥棒が金庫を空にしたうえ、金庫そのものまで持ち去るようなものだ」
身代金を払えば解決するのか
身代金を支払っても、復号できる保証はない。復旧用の鍵が渡されない場合や、再び攻撃される場合もある。また、犯罪者に資金が渡れば、次の攻撃を助長することになる。
重要なのは、支払うかどうかを慌てて一人で判断しないことである。経営者、IT担当者、顧問税理士、保険会社、警察、専門業者などに連絡し、証拠を保存しながら対応する必要がある。
会社を守る基本対策
・OS、業務ソフト、VPN機器を最新の状態に保つ
・社員ごとに異なる強固なパスワードを使う
・多要素認証を導入する
・不要なアカウントや退職者のアカウントを削除する
・重要なデータへのアクセス権限を必要最小限にする
・バックアップを複数作成し、ネットワークから切り離して保管する
・バックアップから実際に復元できるか定期的に確認する
・不審なメールを開かない訓練を繰り返す
・社内ネットワークを一度侵入されても全滅しない構成にする
バックアップは「ある」だけでは不十分である。復元できることを確認して、初めてバックアップになる。
感染したかもしれないとき
ランサムウェアの感染が疑われる場合は、被害の拡大を防ぐことが最優先である。
・感染した端末をネットワークから切り離す
・共有フォルダーやサーバーとの接続を停止する
・電源を切る前に専門家へ相談する
・画面や脅迫文を写真で保存する
・ログやメールなどの証拠を削除しない
・社内外への連絡窓口を一本化する
・取引先や顧客への影響を確認する
ただし、端末をむやみに操作したり、犯人と直接交渉したりすると、証拠を失う可能性がある。
今回のまとめ
「教授、ランサムウェアは、ウイルス対策ソフトを入れれば完全に防げますか？」
「残念ながら、それだけでは足りない。ランサム攻撃は、技術の問題であると同時に、社員教育、権限管理、バックアップ、経営判断の問題だからだ」
ランサム被害は、特別な大企業だけに起きる事件ではない。取引先を装ったメール、古いパスワード、放置された端末など、身近な小さな隙から始まる。
会社を守る第一歩は、「うちは大丈夫」と考えないことである。
「なるほど。会社の入口に鍵をかけるだけでなく、裏口、倉庫、金庫、そして避難経路まで確認する必要があるのですね」
「そのとおり。デジタル時代の防犯は、鍵を増やすことではない。侵入されても、会社が立ち上がれる仕組みをつくることだ」
次回予告
第002講｜ランサムウェアはどこから入るのか――フィッシングメールと偽請求書の罠
