ハッキング特集🛡️｜ランサム被害から会社を守る💻️第009講｜攻撃者は会社の何を狙っているのか――「お金」だけではない本当の標的
【攻撃者が狙うのは、会社の弱点である】
ミカ「ランサム攻撃の目的は、やっぱり会社のお金ですよね？」
教授「もちろん金銭じゃ。しかし、攻撃者が狙っているのは、現金だけではない」
ミカ「では、何を狙うんですか？」
教授「会社が失うと困るもの、盗まれると困るもの、止められると困るものじゃ」
攻撃者は、会社の資産を次のように見ている。
・身代金を払わせるためのデータ
・盗んで売るための情報
・業務を止めるためのシステム
・再侵入に使うためのアカウント
・会社の信用や取引関係
【狙い1 身代金を払わせるデータ】
ランサムウェアの最も分かりやすい標的は、業務に必要なデータである。
・会計データ
・顧客名簿
・売上管理データ
・給与データ
・契約書
・設計図
・製造データ
・医療情報
これらを暗号化すれば、会社は仕事を続けられなくなる。
ミカ「データそのものを盗んで売るのではなく、使えなくしてお金を要求するんですね」
教授「そうじゃ。金庫の中身を盗むだけでなく、金庫の扉を開けられなくして、鍵を買わせるのじゃ」
【狙い2 顧客情報・従業員情報】
二重恐喝では、データを暗号化する前に外部へ持ち出すことがある。
攻撃者が狙うのは、顧客情報や従業員情報だ。
・氏名
・住所
・電話番号
・メールアドレス
・生年月日
・給与情報
・人事評価
・健康情報
・本人確認資料
こうした情報は、公開すると会社の信用を傷つけるだけでなく、詐欺やなりすましに悪用される可能性もある。
教授「会社にとって価値がある情報は、攻撃者にとっても“脅しやすい情報”なのじゃ」
ミカ「個人情報は、ファイルを暗号化されなくても、盗まれただけで被害になるんですね」
教授「その通り。盗まれた時点で、すでに会社の管理責任が問われる可能性がある」
【狙い3 会社を止める急所】
攻撃者は、すべてのデータを暗号化する必要はない。
会社の中で、止めると業務が動かなくなる場所を狙えばよい。
・販売管理システム
・受注システム
・生産管理システム
・在庫管理システム
・会計システム
・給与計算システム
・物流システム
・医療機関の電子カルテ
ミカ「会社のすべてを壊さなくても、受注だけ止めれば大混乱になりますね」
教授「そうじゃ。会社は、全身を攻撃されなくても、心臓部を止められれば動けなくなる」
2025年にサイバー攻撃を受けたアサヒグループホールディングスでは、複数のサーバーや端末のデータが暗号化され、受注・出荷システムにも影響が及んだ。
同社はネットワークとデータセンターを隔離し、安全性を確認したバックアップから段階的に復旧している。アサヒグループ公式発表
攻撃者が狙うのは、データの量ではなく、止めたときの影響の大きさである。
【狙い4 管理者アカウントと強い権限】
攻撃者にとって、一般社員のアカウントより価値が高いのが、管理者権限を持つアカウントである。
管理者権限が悪用されると、次のような操作が可能になる。
・複数のサーバーへアクセスする
・共有フォルダーを確認する
・新しいアカウントを作る
・セキュリティ設定を変更する
・バックアップへアクセスする
・大量のファイルを暗号化する
教授「会社の鍵を一本盗むより、マスターキーを盗んだ方が、犯人には都合がよい」
ミカ「管理者権限を持つ人が多い会社ほど危険なんですね」
教授「権限は便利じゃが、広く配りすぎると、被害も広がる」
だから、管理者権限は必要な人に、必要な期間だけ与えることが重要になる。
【狙い5 VPNやクラウドにつながる入口】
攻撃者は、会社の内部だけでなく、外部から社内へつながる入口も狙う。
・VPN
・リモートデスクトップ
・クラウドサービス
・メールアカウント
・ネットワーク機器
・外部委託先の接続口
・古いサーバー
・使われていないアカウント
入口が一つ破られると、そこを足がかりに社内を調べられることがある。
アサヒグループの公表資料でも、障害発生の約10日前に攻撃者がネットワークへ侵入し、その後、管理者権限を不正利用して内部を探索していたと説明されている。
ミカ「最初から会社の中心に侵入するのではなく、端の入口から入ってくるんですね」
教授「空き巣が正面玄関から堂々と入らないのと同じじゃ」
【狙い6 バックアップと復旧手段】
攻撃者が狙うのは、業務データだけではない。
会社が復旧に使うバックアップも標的になる。
バックアップが使えなくなれば、会社は次の選択を迫られる。
・復旧をあきらめて手作業へ移行する
・長期間の業務停止を受け入れる
・身代金の支払いを検討する
・新しいシステムを再構築する
教授「バックアップがある会社と、バックアップから戻せる会社は違う」
ミカ「保存しているだけでは不十分なんですね」
教授「その通り。バックアップは、攻撃者から切り離され、実際に復元できて初めて保険になる」
重要なのは、次のような仕組みだ。
・ネットワークから切り離したバックアップ
・複数世代の保存
・管理者権限の分離
・定期的な復元テスト
・復旧手順の文書化
【狙い7 取引先と顧客との関係】
攻撃者は、会社だけを脅すとは限らない。
盗んだ取引先情報を使って、取引先や顧客へ圧力をかけることもある。
「支払わなければ、取引先の情報を公開する」
「顧客名簿をインターネットに掲載する」
「設計データを競合会社へ送る」
このように、会社の外側にいる関係者まで巻き込む。
2024年のKADOKAWAグループへの攻撃では、ニコニコ関連サービスなどが停止し、サーバーや会計システムにも影響が及んだ。その後、情報漏えいについても公表され、サービス障害だけで終わらない問題となった。KADOKAWA公式情報
ミカ「会社のデータを盗むだけでなく、会社の人間関係や取引関係まで利用するんですね」
教授「会社は一人で動いていない。だから攻撃者は、顧客、従業員、取引先とのつながりも攻撃材料にする」
【狙い8 会社の信用】
攻撃者が最終的に狙うものは、会社の信用である。
・顧客からの信頼
・取引先との関係
・従業員の安心
・金融機関からの評価
・ブランドイメージ
・株主や投資家からの信頼
システムが復旧しても、情報漏えいの説明が不十分であれば、信用の回復には時間がかかる。
教授「データはバックアップから戻せても、失った信用には“復元ボタン”がない」
ミカ「それは、かなり重いですね」
教授「だからサイバーセキュリティは、IT担当者だけの問題ではない。経営問題なのじゃ」
【攻撃者は何を基準に標的を選ぶのか】
攻撃者は、会社の規模だけを見ているわけではない。
次の条件がそろう会社は、標的になりやすい。
・重要なデータを多く持っている
・業務を止められると困る
・外部から接続できる入口がある
・管理者権限の管理が甘い
・バックアップが常時接続されている
・取引先や顧客への影響が大きい
・被害を公表しにくい
・復旧より支払いを選びそうに見える
つまり、攻撃者が見ているのは「この会社は大きいか」だけではない。
**「止めたら困るか」「盗んだら価値があるか」「脅せば払うか」**である。
【会社が確認すべき質問】
経営者は、次の質問に答えられるようにしておきたい。
・会社で最も重要なデータは何か
・そのデータはどこに保存されているか
・誰がアクセスできるか
・外部から社内へ入る入口は何か
・管理者権限を持つ人は誰か
・バックアップはネットワークから切り離されているか
・バックアップから復元できるか
・受注や給与が止まったら、何日間手作業で続けられるか
・顧客や取引先へ誰が説明するのか
・攻撃を受けたとき、最初に誰へ連絡するのか
ミカ「この質問に答えられない会社は、攻撃者から見ても“調べやすい会社”かもしれませんね」
教授「その通り。守るべきものが分からなければ、守る順番も決められん」
【これだけは覚える】
攻撃者が狙うのは、お金だけではない。
顧客情報、従業員情報、設計データ、管理者権限、バックアップ、業務の急所を狙っている。
最も危険なのは、盗まれると困る情報と、止められると困るシステムが同じ場所に集中している会社である。
バックアップ、権限、外部接続、重要データの保管場所を経営者が把握する。
会社の信用には、バックアップがない。
【まとめ】
攻撃者は、会社の金庫だけを狙っているのではない。
金庫の場所、会社の弱点、社員の権限、顧客情報、復旧手段、取引先との関係まで調べている。
守るべきなのは、ファイルだけではない。会社が仕事を続ける力そのものだ。
