ハッキング特集🛡️｜ランサム被害から会社を守る💻️第004講｜ランサム攻撃で会社の中に何が起こるのか
【パソコン一台の異常では終わらない】
ミカ「教授、ランサム攻撃というと、感染したパソコンのファイルが開かなくなる事件ですよね？」
教授「入口は一台でも、被害は一台で終わらないことがある」
ミカ「では、パソコンの風邪ではなく、会社全体に広がる病気ですか？」
教授「しかも、最初は熱を出さずに社内を歩き回る病気だ」
ランサム攻撃では、いきなりすべてのデータが暗号化されるとは限らない。攻撃者は侵入した後、社内の情報を調べ、重要なデータやサーバー、バックアップの場所を確認してから、被害を広げることがある。
ランサム攻撃は、ファイルを暗号化する一瞬だけでなく、侵入してから発覚するまでの過程全体が被害である。
【攻撃の全体像】
ランサム攻撃は、一般に次のような流れで進む。
・会社の中へ侵入する
・一台のパソコンやアカウントを足場にする
・社内の端末やサーバーを調べる
・より強い権限を持つアカウントを狙う
・他の端末や共有フォルダーへ移動する
・重要なデータを盗み出す
・バックアップや復旧手段を妨害する
・複数の端末やサーバーを暗号化する
・身代金を要求する
ミカ「ずいぶん長い旅ですね」
教授「攻撃者にとっては旅行ではなく、下見と準備だ。観光客なら写真を撮るが、攻撃者は会社の弱点を撮っている」
この流れを理解すると、ランサム攻撃は「感染したか、していないか」だけで判断できないことが分かる。
【第1段階 会社の中へ侵入する】
最初の侵入経路には、次のようなものがある。
・取引先を装ったメール
・偽の請求書や宅配通知
・偽サイトへ誘導するメッセージ
・盗まれたIDとパスワード
・古いVPNやリモート接続機器
・更新されていないソフトウェア
・外部業者のアカウント
たとえば、経理担当者に「請求書を確認してください」というメールが届いたとする。差出人名は実在する取引先に似ており、本文にも会社名や担当者名が書かれている。
担当者が添付ファイルを開くと、請求書らしい画面が表示される。しかし、その裏側で不正なプログラムが動き始める。
ミカ「画面に何も変化がなければ、感染していないと思いますよね」
教授「泥棒が入って、玄関に靴を置いていかなければ、侵入していないと思うか？」
侵入直後は、目立った症状が出ない場合がある。
【第2段階 一台の端末を足場にする】
侵入した攻撃者は、すぐにデータを暗号化するとは限らない。まずは、その端末を社内ネットワークへ進むための足場として利用することがある。
この段階では、次のような情報が狙われる。
・利用者のアカウント情報
・接続されている共有フォルダー
・社内サーバーの名前
・使用している業務システム
・管理者権限を持つ利用者
・バックアップの保存場所
・他の端末やネットワーク機器
攻撃者にとって、最初のパソコンは会社の内部へ入るための玄関である。
一台のパソコンに侵入された時点で、会社全体が直ちに暗号化されるとは限らない。しかし、その一台が社内を調べる拠点になる可能性がある。
【第3段階 社内の地図を作る】
攻撃者は、社内にどのような端末やサーバーがあるのかを確認する。
これは、泥棒が建物の中で「金庫はどこか」「警備員は何時に来るか」「裏口はどこか」を調べることに似ている。
調べられる可能性があるのは、次のような情報だ。
・共有フォルダーの場所
・会計データや給与データの保存先
・顧客情報のデータベース
・生産管理システム
・販売管理システム
・社内メール
・バックアップサーバー
・管理者用の端末
ミカ「会社の中を歩き回るのですか？」
教授「実際に歩く必要はない。ネットワークを通じて、端末同士のつながりを確認する」
この段階で異常を発見できれば、暗号化前に対応できる可能性がある。しかし、普段から通信やアカウントの利用状況を監視していない会社では、攻撃者の活動が見過ごされることがある。
【第4段階 より強い権限を狙う】
会社のパソコンには、一般社員のアカウントと管理者のアカウントがある。
管理者権限を持つアカウントは、ソフトウェアのインストール、設定変更、他の端末への操作など、広い範囲を操作できる。
攻撃者が管理者権限を手に入れると、被害を広げやすくなる。
ミカ「管理者権限は、社長の合鍵のようなものですか？」
教授「よい表現だ。しかも、その合鍵を全社員が持っていたらどうなる？」
中小企業では、作業を簡単にするため、社員全員が管理者権限を持っていることがある。
しかし、便利さと安全性は、いつも同じ方向を向くとは限らない。
管理者権限を必要以上に与えないことは、ランサム攻撃の被害を広げない基本対策である。
【第5段階 他の端末へ移動する】
一台の端末から社内の別の端末やサーバーへ移動することを、横展開やラテラルムーブメントと呼ぶ。
専門用語は難しいが、意味は「社内で横に広がる」ということである。
たとえば、最初に感染したパソコンから、共有サーバー、経理担当のパソコン、社長のパソコン、製造管理の端末へと被害が広がる。
ミカ「ウイルスが自動的に全部へ飛び移るのですか？」
教授「攻撃の種類による。自動的に広がる場合もあれば、盗んだ認証情報を使って攻撃者が移動する場合もある」
この段階では、感染した端末だけを切り離しても、すでに別の端末へ侵入されている可能性がある。
そのため、一台の異常を発見したら、会社全体への影響を確認する必要がある。
【第6段階 データを盗み出す】
近年のランサム攻撃では、暗号化の前にデータを盗み出すことがある。
盗み出される可能性があるのは、次のような情報である。
・顧客名簿
・従業員の個人情報
・給与データ
・契約書
・設計図
・取引価格
・金融機関向け資料
・メールの履歴
ミカ「暗号化されるだけでも大変なのに、盗まれることもあるのですか？」
教授「だから、二重恐喝が問題になる」
二重恐喝とは、データを使えなくするだけでなく、盗み出した情報を公開すると脅迫する手口である。
会社は、「業務が止まる被害」と「情報が外部へ流出する被害」の両方に直面する。
【第7段階 バックアップを狙う】
攻撃者にとって、バックアップは会社の復旧を支える重要な場所である。
そのため、暗号化の前にバックアップを削除したり、利用できない状態にしたりすることがある。
ミカ「バックアップまで狙われるのですか？」
教授「攻撃者から見れば、消火器を先に隠すようなものだ」
バックアップが社内ネットワークに常時接続されていると、通常のファイルと同じように被害を受ける可能性がある。
必要なのは、複数のバックアップを持つことだけではない。
・ネットワークから切り離したバックアップ
・異なる場所に保管したバックアップ
・過去の世代を残したバックアップ
・実際に復元できることを確認したバックアップ
バックアップは、攻撃者から触れない時間と場所をつくって初めて防御になる。
【第8段階 会社の業務を止める】
準備を終えると、攻撃者は複数の端末やサーバーを一斉に暗号化する。
ここで、会社の業務が目に見えて止まり始める。
・共有フォルダーが開かない
・会計データを確認できない
・請求書を発行できない
・受注内容が分からない
・製造指示を確認できない
・給与計算ができない
・予約や顧客対応ができない
・社内メールが使えない
ミカ「ファイルが開かないだけなら、別のパソコンで開けばよいのでは？」
教授「金庫の中身が暗号化されていたら、金庫を別の部屋へ運んでも開かない」
問題は、パソコンの台数ではない。データや業務の仕組みが使えなくなっていることだ。
【架空の会社で起きた一日】
従業員25人の部品会社D社を例に考えてみよう。
月曜日の朝、経理担当者が共有フォルダーを開こうとすると、ファイル名が変わっていた。見積書も注文書も開けない。
営業担当者のパソコンでも同じ現象が起きていた。工場では、製造指示書を確認できず、作業が止まった。
社長は、バックアップから戻そうとした。しかし、バックアップ装置も同じネットワークにつながっており、利用できなかった。
その後、画面に身代金を要求するメッセージが表示された。
このとき、会社の中では次のことが同時に起きている。
・営業が受注内容を確認できない
・経理が請求書を発行できない
・工場が製造指示を確認できない
・総務が給与資料を開けない
・社長が被害範囲を把握できない
・社員がそれぞれ個別に復旧を試みる
・取引先から問い合わせが殺到する
・復旧業者や関係機関への連絡が必要になる
ランサム攻撃は、IT担当者だけの問題ではない。
営業、経理、総務、製造、経営者のすべてが関係する業務停止事故である。
【会社の中で起こる混乱】
ランサム攻撃の直後は、情報が不足している。
「どのパソコンが感染したのか」「データは盗まれたのか」「バックアップは使えるのか」「取引先へ連絡すべきか」など、判断しなければならないことが一気に増える。
しかし、担当者がそれぞれ勝手に操作すると、被害状況が分からなくなったり、証拠が失われたりする可能性がある。
よくある混乱は、次のようなものだ。
・社員が自己判断で端末を再起動する
・感染端末をネットワークへ戻してしまう
・脅迫文を削除する
・バックアップを上書きする
・犯人へ個別に返信する
・社内外への説明がばらばらになる
・被害範囲を確認しないまま業務を再開する
ミカ「みんなが善意で復旧しようとして、かえって混乱するのですね」
教授「火事の現場で、全員が別々の方向へ水をかければ、床だけが濡れる」
感染が疑われたときは、社内の連絡窓口を一つにし、端末の操作や外部連絡を統一することが重要である。
【復旧には時間がかかる】
ランサム被害では、暗号化されたファイルを戻すだけでは終わらない。
次のような作業が必要になる。
・どの端末が影響を受けたか確認する
・攻撃者が侵入した経路を調べる
・不正なアカウントを停止する
・端末やサーバーを安全な状態に戻す
・バックアップからデータを復元する
・業務システムを再構築する
・取引先や顧客への影響を確認する
・再発防止策を実施する
バックアップが使えたとしても、すべての業務が一瞬で元に戻るとは限らない。
復旧とは、ファイルを戻すことではなく、会社の業務を再び動かすことである。
【被害を小さくするために】
会社が準備しておくべきことは、次のとおりである。
・重要なデータを洗い出す
・業務が止まると困る順番を決める
・バックアップからの復元を試す
・端末やサーバーの管理者を決める
・不審なメールを相談できる窓口をつくる
・感染時の連絡先を一覧にする
・取引先への説明方法を決めておく
・紙や別の端末で最低限の業務を続ける方法を考える
すべてを一度に完璧にする必要はない。まずは、「どのデータが止まると、明日から仕事ができなくなるのか」を確認する。
【これだけは覚える】
・ランサム攻撃は、暗号化の瞬間だけでなく、侵入、調査、権限取得、横展開、情報窃取を含む一連の攻撃である。
・一台のパソコンの異常でも、社内サーバーやバックアップまで被害を受けている可能性がある。
・復旧とは、ファイルを戻すことではなく、営業、経理、製造など会社の業務を再び動かすことである。
【まとめ】
ミカ「ランサム攻撃は、パソコンに変な画面が出るだけの事件ではないのですね」
教授「そうだ。会社の中の情報、権限、人、業務の流れが一度に巻き込まれる」
ミカ「だから、感染したパソコンを一台直せば終わり、とはいかない」
教授「そのとおり。攻撃者が会社の中を歩いた跡を確認し、入口を閉じ、再び侵入されない状態にする必要がある」
ミカ「会社の中で何が起こるかを知っていれば、異常にも早く気づけますね」
教授「防犯は、泥棒の顔を覚えることから始まる。デジタルの泥棒なら、行動の順番を覚えることだ」
ランサム攻撃への備えは、感染を完全に防ぐことだけでなく、異常を早く見つけ、被害を広げず、業務を復旧できる会社をつくることである。
【次回予告】
第005講｜フィッシングメールの仕組み――なぜ社員は偽の請求書を開いてしまうのか
