ハッキング特集🛡️｜ランサム被害から会社を守る💻️第002講｜ランサムウェアとコンピューターウイルスの違い

【最初に結論】

「教授、ランサムウェアって、コンピューターウイルスの一種ですよね？」
「似ているが、まったく同じではない。正確には、ランサムウェアは悪意のあるソフトウェア、つまりマルウェアの一種だ」
「では、ウイルスではないのですか？」
「日常会話では『コンピューターウイルス』と呼ばれることが多い。しかし専門的には、ウイルスとランサムウェアは分類の基準が違う」
違いを一言で表すと、次のとおりである。
コンピューターウイルスは、主に「どう広がるか」を表す言葉。ランサムウェアは、主に「何を目的とするか」を表す言葉。
##【コンピューターウイルスとは何か】
コンピューターウイルスは、他のファイルやプログラムに寄生し、利用者がそのファイルを開いたり、プログラムを実行したりしたときに活動する悪意のあるプログラムである。
現実のウイルスが人や動物の細胞を利用して増えるように、コンピューターウイルスも他のファイルを利用して広がる。
「つまり、単独で歩き回るのではなく、何かにくっついて移動するのですね」
「そのとおり。電子メールの添付ファイル、USBメモリ、共有ファイルなどを通じて広がることがある」
ただし、現在は悪意のあるプログラム全体をまとめて「ウイルス」と呼ぶことも多い。厳密には、ウイルス、ワーム、トロイの木馬、スパイウェアなどは、それぞれ仕組みが異なる。
##【マルウェアとは何か】
マルウェアとは、悪意を持って作られたソフトウェアの総称である。
・ウイルス：他のファイルなどに寄生して広がる
・ワーム：ネットワークを通じて自ら広がる
・トロイの木馬：便利なソフトや文書を装って侵入する
・スパイウェア：利用者の情報や操作を盗み見る
・ランサムウェア：データを使えなくし、復旧と引き換えに金銭を要求する
「マルウェアが大きな家で、その中にウイルスやランサムウェアが住んでいる感じですか？」
「よい例えだ。マルウェアが動物園で、ウイルスやランサムウェアがそれぞれ別の動物だと思えばよい」
##【ランサムウェアとは何か】
ランサムウェアは、会社のデータやシステムを使えない状態にし、元に戻すための身代金を要求する悪意のあるプログラムである。
代表的な被害は、次のようなものだ。
・文書、画像、会計データ、設計図などを暗号化する
・共有フォルダーやサーバーを使用できなくする
・業務システムや生産管理システムを停止させる
・復旧と引き換えに暗号資産などを要求する
・盗み出した情報を公開すると脅迫する
「ランサムは身代金、ウェアはソフトウェア。つまり、身代金を要求するソフトウェアですね」
「そのとおり。データを人質に取るデジタル誘拐犯だ」
ランサムウェアの中には、侵入した端末だけでなく、社内ネットワークを通じて他の端末やサーバーへ被害を広げるものもある。しかし、すべてのランサムウェアが自動的に広がるわけではない。
##【両者の違いを身近な例で考える】
ウイルスとランサムウェアの違いは、泥棒にたとえると分かりやすい。
ウイルスは、泥棒がどのように仲間を増やし、どの経路で広がるかという性質に近い。
一方、ランサムウェアは、侵入した後に金庫をロックし、「開けてほしければ金を払え」と要求する目的に近い。
そのため、ランサムウェアがウイルスのように広がることもあるが、必ずしもウイルスの仕組みを使うとは限らない。
「広がり方」と「攻撃の目的」は、別の問題である。
##【ウイルスはすべて身代金を要求するのか】
「では、コンピューターウイルスに感染すると、いつも身代金を要求されるのですか？」
「いや、ウイルスの目的は一つではない」
コンピューターウイルスには、次のような目的を持つものがある。
・ファイルを破壊する
・パソコンを正常に動かなくする
・別のプログラムを勝手に実行する
・他の端末へ感染を広げる
・情報を盗み出す
・広告を大量に表示する
・攻撃者の指示を受けるための入口を作る
つまり、コンピューターウイルスだからランサムウェアというわけではない。反対に、ランサムウェアだから必ず典型的なウイルスの仕組みを使うわけでもない。
##【会社で起きる具体例】
ここでは、国内の中小企業で起こり得る架空の例を考えてみよう。
製造会社B社の経理担当者に、「請求書の再送」というメールが届いた。差出人の名前は、実際に取引のある会社に似ていた。
担当者が添付ファイルを開くと、請求書らしい画面が表示された。しかし裏側では、不正なプログラムが実行されていた。
最初に侵入したプログラムは、典型的なウイルスのように次々とファイルへ寄生したのではない。担当者のパソコンから社内ネットワークの情報を調べ、保存されていた認証情報を悪用し、共有サーバーへの接続を試みた。
数日後、犯人は会計資料、顧客名簿、設計データを暗号化した。さらに、一部のファイルを外部へ持ち出し、「公開されたくなければ支払え」と要求した。
この場合、入口は偽の添付ファイル、侵入後の活動は情報収集、最終的な攻撃の目的はランサムウェアによる脅迫である。
「一つの攻撃の中に、いくつもの悪い仕組みが組み合わされているのですね」
「そうだ。犯人は分類学の試験を受けてから攻撃してくるわけではない」
##【なぜウイルス対策ソフトだけでは不十分なのか】
「ウイルス対策ソフトを入れておけば安心ではありませんか？」
「必要だが、それだけで十分ではない」
ウイルス対策ソフトやエンドポイント保護製品は、不正なファイルや不審な動きを検知し、感染を防いだり、被害を抑えたりする役割を持つ。
しかし、次のような問題がある。
・新しい攻撃は、検知される前に侵入することがある
・盗まれた正規のIDやパスワードが悪用されることがある
・利用者自身が不正な画面に認証情報を入力することがある
・バックアップまで接続されていると、同時に被害を受けることがある
・一台の端末から社内全体へ被害が広がることがある
したがって、対策は一つのソフトに任せるのではなく、入口、端末、認証情報、ネットワーク、バックアップ、社員教育を組み合わせる必要がある。
##【会社が実施すべき対策】
###【1　侵入を防ぐ】
・OSや業務ソフトを最新の状態に保つ
・メールの添付ファイルやリンクを慎重に確認する
・取引先名や請求内容に不自然な点がないか確認する
・多要素認証を導入する
・パスワードを使い回さない
・古いVPN機器やリモート接続機器を放置しない
###【2　被害を広げない】
・社員ごとにアクセスできる範囲を分ける
・管理者権限を必要な人だけに与える
・重要なサーバーを通常のパソコンから分離する
・退職者や不要な利用者のアカウントを削除する
・不審な端末をネットワークから隔離できるようにする
###【3　復旧できるようにする】
・バックアップを複数作成する
・ネットワークから切り離したバックアップを保管する
・バックアップの復元テストを実施する
・重要な業務を紙や別の手段で継続する計画を作る
「バックアップがあれば、ランサムウェアも怖くないですね」
「バックアップが壊れていたら、傘の絵を持って雨の日に出るようなものだ」
バックアップは、作成した時点では対策の半分。復元できると確認して、初めて対策になる。
##【感染が疑われたときの初動】
ランサムウェアや不正プログラムの感染が疑われたら、被害を広げないことが最優先である。
・感染が疑われる端末をネットワークから切り離す
・共有フォルダーやサーバーとの接続を停止する
・画面に表示された脅迫文を保存する
・不審なメールやログを削除しない
・社内の責任者と専門業者へ連絡する
・必要に応じて警察や関係機関へ相談する
・感染端末を不用意に操作し続けない
・身代金を支払うかどうかを一人で決めない
「電源を切ればよいのですか？」
「状況によって対応が異なる。証拠保全や被害拡大防止のため、専門家へ相談してから判断することが重要だ」
##【これだけは覚える】
・マルウェアは、悪意のあるソフトウェア全体の総称である。
・コンピューターウイルスは、主に他のファイルなどに寄生して広がる仕組みを指す。
・ランサムウェアは、データを使えなくし、身代金を要求する目的を持つマルウェアである。
##【まとめ】
「今日の授業をまとめると、ウイルスは広がり方、ランサムウェアは攻撃の目的を見る、ということですね」
「その理解でよい。だから、ランサムウェア対策では、ウイルス対策ソフトだけでなく、認証、権限、ネットワーク、バックアップまで確認する必要がある」
「コンピューターの世界は、名前が似ていても役割が違うので、言葉を整理するところから始めないといけませんね」
「そうだ。病院で『熱がある』だけでは診断できないのと同じだ。ウイルスという言葉だけで安心したり、怖がったりしてはいけない」
敵の名前を正しく知ることは、会社を守るための最初の防御である。

【次回予告】

第003講｜ランサムウェアはどこから入るのか――フィッシングメールと偽請求書の罠