ハッキング特集🛡️｜ランサム被害から会社を守る💻️第003講｜なぜ中小企業がランサム攻撃の標的になるのか

【小さな会社だから狙われない、は危険な思い込み】

「教授、中小企業は大企業ほど重要なデータを持っていないので、ランサム攻撃の標的にはなりにくいですよね？」
「その考え方が、最初の危険信号だ」
「えっ。大企業のほうが、たくさんお金を持っているのでは？」
「強盗は、必ずしも一番大きな金庫だけを狙うわけではない。警備が薄く、止まると困る金庫を狙うこともある」
ランサム攻撃の犯人は、会社の規模を見て情けをかけてくれるわけではない。インターネット上に存在するシステムを自動的に探し、侵入しやすく、被害を与えやすい会社を選ぶ。
つまり、中小企業が狙われる理由は、会社が小さいからではない。
「侵入しやすい」「業務を止めると困る」「復旧を急いで身代金を払う可能性がある」から狙われるのである。

【理由1　セキュリティ担当者がいない】

中小企業では、専任の情報システム担当者がいないことが多い。
総務担当者がパソコン管理を兼ねていたり、社長や経理担当者が業者との窓口になっていたりする。
「一人で給与計算もパソコン管理もするのですか？」
「中小企業では珍しくない。だが、担当者が悪いわけではない。仕事の範囲が広すぎるのだ」
専任者がいない会社では、次のような問題が起こりやすい。
・パソコンやサーバーの台数を正確に把握していない
・どの機器がインターネットに接続されているか分からない
・OSやソフトの更新が後回しになる
・退職者のアカウントが残っている
・バックアップが本当に使えるか確認していない
・異常が起きたときの連絡先が決まっていない
攻撃者から見ると、これは「守りが弱い」というより、守りの状態を誰も確認していない状態である。

【理由2　古い機器やシステムが残っている】

中小企業では、長年使っているパソコン、サーバー、複合機、VPN機器、業務ソフトなどが残っていることがある。
「古い機械でも、動いていれば問題ないのでは？」
「車でいえば、ブレーキの効きが悪いまま走っているようなものだ」
古い機器には、発見された弱点を修正する更新プログラムが提供されなくなる場合がある。攻撃者は、古い機器や設定の不備を自動的に探している。
特に注意が必要なのは、社外から接続するためのVPN機器、リモートデスクトップ、ネットワーク機器、管理画面などである。
こうした入口に弱点が残っていると、社員が不審なメールを開かなくても侵入される可能性がある。
「社員教育をしているから安心」ではない。機器そのものの弱点も確認しなければならない。

【理由3　会社を止めると影響が大きい】

中小企業は、少人数で多くの仕事を回している。
そのため、一つのサーバーや一つの業務システムが止まると、会社全体の業務が止まりやすい。
たとえば、次のような業務が停止する。
・受注内容の確認
・商品の出荷
・請求書の発行
・給与計算
・顧客情報の確認
・仕入先への支払い
・生産管理
・予約管理
「社員が少ないから、復旧も早いのでは？」
「反対だ。代わりに作業できる人が少ないため、一人のパソコンが止まっただけでも影響が大きい」
大企業には、複数のシステムや代替拠点がある場合がある。しかし、中小企業では、重要な情報が一つのサーバーや一つのクラウドサービスに集中していることがある。
攻撃者は、会社の規模ではなく、業務停止による困り方を見る。

【理由4　重要な情報を持っている】

中小企業だから、価値のある情報を持っていないということはない。
むしろ、次のような情報を保有している。
・顧客名簿
・取引先の連絡先
・請求書や入金情報
・給与や個人情報
・設計図や製造データ
・見積書や契約書
・仕入価格や販売価格
・金融機関との資料
「大企業のような秘密がなくても、攻撃されるのですか？」
「攻撃者にとっては、情報の格式より、金銭的な価値と脅迫に使えるかどうかが重要だ」
たとえば、顧客名簿を盗まれれば、公開をほのめかして脅迫できる。設計図を盗まれれば、取引先への信用問題につながる。
中小企業が持つデータは、会社にとって重要である以上、攻撃者にとっても人質になり得る。

【理由5　バックアップが同じ場所にある】

中小企業では、バックアップを取っている会社も多い。しかし、バックアップの保存方法に問題がある場合がある。
「毎日バックアップしているなら大丈夫ですね」
「そのバックアップが、普段のネットワークに接続されたままならどうだ？」
ランサムウェアが社内ネットワークに侵入すると、接続されている共有フォルダーやバックアップ装置まで暗号化される可能性がある。
つまり、バックアップが存在していても、攻撃者から同時に触れる状態なら、最後の避難場所にはならない。
必要なのは、次のような考え方である。
・複数の場所にバックアップする
・ネットワークから切り離した状態で保管する
・バックアップの復元テストを行う
・重要なデータは世代を分けて保存する
バックアップの本当の価値は、作成したことではなく、攻撃後に復元できることにある。

【理由6　取引先を経由して狙われる】

中小企業が直接狙われるだけではない。大企業や自治体などへ侵入するための入口として、中小企業が狙われることもある。
「それは、会社そのものではなく、取引先とのつながりを狙うのですか？」
「そのとおり。大きな城に正面から入れないなら、出入りする業者の通用口を探す」
中小企業が大企業のシステムへ接続するため、専用のアカウントやリモート接続を使っている場合がある。
そのアカウントが盗まれると、中小企業だけでなく、取引先にも被害が及ぶ可能性がある。
逆に、大企業の名前を装って中小企業へ偽のメールを送ることもある。
「取引先からのメールだから安心」という思い込みは危険である。
信頼関係がある会社ほど、メールを疑いにくいという弱点を攻撃者は利用する。

【理由7　異常に気づくまで時間がかかる】

大企業では、監視システムが異常を知らせたり、専門部署がログを確認したりすることがある。
一方、中小企業では、次のような状態になってから初めて異常に気づくことがある。
・ファイルが開かない
・共有フォルダーの名前が変わっている
・パソコンの動作が急に遅くなった
・大量のデータ通信が発生している
・身代金を要求する画面が表示された
攻撃者は、侵入後すぐにデータを暗号化するとは限らない。しばらく社内の情報を調べ、重要なデータやバックアップの場所を確認してから攻撃することもある。
この期間に異常を発見できれば、被害を小さくできる可能性がある。
早期発見は、ランサム攻撃に対する最も安価な防御の一つである。

【中小企業を狙う攻撃は自動化されている】

「犯人は、一社ずつ会社を調査しているのですか？」
「すべてを人間が手作業でやっていたら、攻撃者のほうが過労になる」
現在の攻撃では、インターネットに公開された機器や、弱いパスワード、古いソフトなどを自動的に探す仕組みが使われることがある。
そのため、会社が有名かどうかは関係ない。
・公開された接続口がある
・古い機器を使っている
・パスワードが弱い
・多要素認証がない
・管理者権限が広く使われている
・バックアップが常時接続されている
このような条件がそろうと、攻撃者の自動探索に見つかる可能性が高くなる。
「うちは無名だから大丈夫」という考えは、ネットワーク上では通用しない。

【架空の会社で考える具体例】

大阪にある従業員20人の部品会社C社を考えてみよう。
C社は、社内の共有サーバーに顧客情報、見積書、注文書、製造データを保存していた。バックアップは毎晩自動で作成されていたが、バックアップ装置は同じネットワークに接続されたままだった。
ある日、経理担当者に取引先を装ったメールが届いた。担当者が添付ファイルを開いた後、しばらく目立った異常はなかった。
数日後、共有フォルダーのファイルが開けなくなり、製造データと見積書が暗号化された。確認すると、バックアップも利用できなくなっていた。
C社は、次の三つの問題を抱えていた。
・メールを受け取った担当者だけが判断する仕組みだった
・社内の権限が広く、複数のデータへアクセスできた
・バックアップがネットワークから切り離されていなかった
この例で重要なのは、「担当者が不注意だった」という単純な話ではないことだ。
一人の判断に会社全体の安全を任せる仕組みになっていたことが問題なのである。

【中小企業が優先すべき五つの対策】

【1　多要素認証を導入する】

IDとパスワードだけでなく、スマートフォンの確認などを組み合わせる。パスワードが盗まれても、侵入を防げる可能性が高くなる。

【2　古い機器を洗い出す】

パソコンだけでなく、VPN機器、ルーター、複合機、サーバー、クラウドサービスも確認する。

【3　バックアップを切り離す】

常時接続されたバックアップだけでなく、ネットワークから切り離したバックアップを用意する。

【4　権限を小さくする】

すべての社員がすべてのフォルダーを開ける状態を改める。担当業務に必要な範囲だけを許可する。

【5　感染時の連絡先を決める】

社内責任者、システム業者、セキュリティ専門家、取引先への連絡担当者をあらかじめ決めておく。

【大切なのは高額な対策だけではない】

「セキュリティ対策には、莫大なお金が必要なのでは？」
「高額な製品を買う前に、無料でできる確認もたくさんある」
・使っていないアカウントを削除する
・パスワードを使い回さない
・多要素認証を使う
・OSを更新する
・不要なリモート接続を停止する
・バックアップを復元できるか確認する
・社員が迷ったときの相談先を決める
中小企業に必要なのは、大企業と同じ設備をそろえることではない。
会社の規模に合った優先順位を決め、最も危険な入口から順番にふさぐことが重要である。

【これだけは覚える】

・中小企業が狙われるのは、規模が小さいからではなく、侵入しやすく、業務停止の影響が大きいからである。
・攻撃者は会社の知名度より、古い機器、弱い認証、広すぎる権限、接続されたバックアップを狙う。
・中小企業の対策は、高額な製品を買う前に、入口・権限・バックアップ・連絡体制を確認することから始まる。

【まとめ】

「中小企業は、目立たないから狙われるのではなく、守りの弱点を自動的に探されているのですね」
「そうだ。そして、会社を止める力が大きいから、攻撃者にとって価値がある」
「では、『うちは小さいから大丈夫』ではなく、『小さいからこそ、止まったときに困る場所を先に守る』と考えるべきですね」
「そのとおり。会社の規模は小さくても、顧客データの重要性まで小さくなるわけではない」
小さな会社を守る最初の一歩は、攻撃者に見つからないことではなく、見つけられても簡単には倒れない仕組みをつくることである。
##

【次回予告】

第004講｜ランサム攻撃の入口――フィッシングメールはなぜ見破れないのか