ハッキング特集🛡️｜ランサム被害から会社を守る💻️第008講｜一晩で会社が止まる――攻撃者は、その前から社内にいた
【結論：見つかるのは一晩、始まるのはもっと前】
ミカ「ランサム攻撃って、一晩で会社のパソコンが全部使えなくなるんですか？」
教授「被害が表面化するのは一晩でも、攻撃そのものは、その前から始まっていることが多い」
ミカ「つまり、朝出社したらファイルが開かない。でも、犯人は前日から侵入していたとは限らない？」
教授「その通り。攻撃者は、社内に入り込んだ後、すぐに暗号化するとは限らん。しばらく身を隠しながら、会社の中を調べていることがある」
【ランサム攻撃は一つの操作ではない】
ランサム攻撃は、単にウイルスを一度実行して終わる攻撃ではない。
一般的には、次のような段階を経て進む。
・ネットワークやアカウントへ侵入する
・管理者権限を奪う
・社内のサーバーや共有フォルダーを調べる
・重要なデータを持ち出す
・バックアップや復旧手段を狙う
・最後に、複数の端末やサーバーを暗号化する
・身代金を要求する
教授「会社から見ると、最後の暗号化だけが突然起きたように見える」
ミカ「でも、攻撃者はその前に、社内の地図を作っているんですね」
教授「そうじゃ。暗号化は、攻撃の始まりではなく、最終段階であることが多い」
【なぜ一晩で被害が広がるのか】
攻撃者が最後に暗号化を実行すると、被害は一気に広がる。
社内のファイルサーバー、営業資料、会計データ、設計図、共有フォルダーなどが、短時間で開けなくなる。
夜間や休日に実行されると、社員が異常に気づくまで時間が空く。
その間に、複数のシステムへ被害が広がることがある。
ミカ「夜中に会社のデータを暗号化するなんて、ずいぶん迷惑な夜勤ですね」
教授「犯罪者の勤務態度を褒めるわけにはいかんが、人が少ない時間帯を狙えば、発見を遅らせやすいという計算はある」
ただし、攻撃者が必ず夜間に実行するとは限らない。
重要なのは、発生時刻だけを見るのではなく、その前に不審なアクセスがなかったかを調べることである。
【実例1 アサヒグループホールディングス】
2025年9月29日、アサヒグループホールディングスでは、サイバー攻撃によるシステム障害が発生した。
同社の公表によると、午前7時ごろに障害が発生し、調査の中で暗号化されたファイルが確認された。その約4時間後にはネットワークを遮断し、データセンターを隔離している。
しかし、攻撃者がネットワークへ侵入したのは、障害発生当日だけではなかった。
同社の調査では、システム障害の約10日前に、外部の攻撃者がネットワークへ侵入していたことが判明している。
その後、攻撃者は管理者権限を不正利用してネットワーク内部を探索し、複数のサーバーへ侵入。9月29日にランサムウェアが一斉に実行され、データが暗号化された。アサヒグループ公式発表
さらに、一部の従業員用パソコンのデータ流出も確認され、サーバー内の個人情報についても流出の可能性が公表された。
ミカ「朝に障害が分かっても、犯人は10日前から社内にいた可能性があるんですね」
教授「そうじゃ。朝に火事を発見しても、火種はもっと前に生まれていたということじゃ」
【実例2 KADOKAWAグループ】
2024年6月、KADOKAWAグループでは、ニコニコ関連サービスなどで大規模なシステム障害が発生した。
6月8日の早朝、複数のサーバーにアクセスできない状態が確認され、調査の結果、ランサムウェアを含む大規模なサイバー攻撃であることが公表された。
KADOKAWAは被害拡大を防ぐため、サーバーを停止し、サービスの復旧と同時に、会計システムや業務システムへの影響も調査した。KADOKAWA公式発表
その後、同社は情報漏えいについても公表している。
この事件では、利用者から見ると「朝、サービスが使えなくなった」という一つの障害に見える。
しかし会社の内部では、
・サーバー停止
・ネットワークの隔離
・被害範囲の調査
・データ漏えいの確認
・安全なシステムの再構築
・サービスの段階的な再開
という長い対応が続く。
教授「一晩で止まったように見えても、復旧には何日も、何週間もかかることがある」
【攻撃者は何を見ているのか】
攻撃者が社内へ侵入した後に探すのは、単なる文書ファイルだけではない。
・どのサーバーに重要データがあるか
・誰が管理者権限を持っているか
・バックアップはどこにあるか
・会計や販売管理のシステムは何か
・業務を止めると困る部署はどこか
・顧客情報や設計情報がどこに保存されているか
・復旧に必要な管理者アカウントは何か
ミカ「会社の中を、犯人が下見しているようなものですね」
教授「そうじゃ。空き巣も家の間取りを知らずに入るより、金庫の場所を調べてから入る方が効率的じゃろう」
だから、侵入直後にすぐ異常が出なくても安心できない。
不審なログイン、見慣れないアカウント、深夜の大量アクセスなどが、攻撃の前触れになっている可能性がある。
【一晩で起きたように見える三つの理由】
【理由1：最後の暗号化だけが目立つ】
侵入や調査は画面に表示されないことが多い。
一方、暗号化されると、ファイル名が変わったり、画面に警告が出たりして、初めて会社が異常に気づく。
【理由2：複数のシステムがつながっている】
一つのサーバーが被害を受けると、共有フォルダーや業務システムを通じて、別の端末にも影響が及ぶことがある。
【理由3：バックアップまで狙われる】
ランサム攻撃では、復旧の手段であるバックアップも標的になる。
バックアップが常時ネットワークにつながっていると、本体と一緒に使えなくなる危険がある。
【会社が確認すべき「前兆」】
毎日の業務の中で、次のような変化を見逃してはいけない。
・深夜や休日に不自然なログインがある
・退職者や不要なアカウントが残っている
・管理者権限を持つ人が多すぎる
・突然、ファイルの読み込みが遅くなった
・見慣れないソフトやアカウントが増えた
・バックアップが正常に完了していない
・ネットワーク機器やVPNに古いものが残っている
・社員が覚えのないログイン通知を受け取った
教授「大きな警報だけを待ってはいかん。小さな違和感を拾う仕組みが必要じゃ」
ミカ「『何となく遅い』も、放置しない方がいいんですね」
【感染が疑われたときの初動】
朝、出社した社員から「ファイルが開かない」と連絡が来たら、まず落ち着いて対応する。
・被害端末をネットワークから切り離す
・社内の共有フォルダーへの接続を止める
・ランサムノートや画面表示を保存する
・異常が起きた時刻を記録する
・バックアップを上書きしない
・専門業者、保険会社、警察などへ相談する
・侵入が始まった時期を調査する
大切なのは、暗号化された時刻だけを調べないことだ。
その数日前、数週間前から、攻撃者が社内に入り込んでいなかったかを確認する。
【経営者が事前に決めておくこと】
ランサム攻撃は、システム担当者だけの問題ではない。
経営者は、次の点を事前に決めておく必要がある。
・誰が最初に報告を受けるのか
・誰がネットワークを遮断するのか
・誰が顧客や取引先へ説明するのか
・どの業務を紙や手作業で継続するのか
・バックアップから何を優先して復旧するのか
・警察、専門家、保険会社へ誰が連絡するのか
・身代金の支払いを誰が判断するのか
ミカ「感染してから会議を始めると、会議中にも被害が広がるかもしれませんね」
教授「その通り。緊急時に考えることを減らすために、平常時に決めておくのじゃ」
【これだけは覚える】
ランサム攻撃は、一晩で始まるとは限らない。
一晩で見つかっても、攻撃者は数日前から社内に潜んでいる可能性がある。
暗号化は攻撃の最終段階であり、その前に侵入・偵察・データ窃取が行われることがある。
障害が起きた時刻だけでなく、その前のログインや権限変更を調査する。
バックアップ、監視、初動手順、連絡体制を平常時に準備しておく。
【まとめ】
「ランサム攻撃は一晩で起こるのか？」
答えは、被害が表面化するのは一晩でも、攻撃者の活動はその前から始まっていることがある。
朝、会社のファイルが開かなくなったとき、見るべきなのは暗号化されたファイルだけではない。
いつ侵入されたのか。
何を見られたのか。
何を盗まれたのか。
どの権限が悪用されたのか。
どのバックアップが安全なのか。
「一晩で壊された」と考えるのではなく、「その前に何が起きていたのか」を調べることが、復旧と再発防止の出発点になる。
