ランサムウェアとは?

ランサムウェアの主な形態には、暗号化ランサムウェアとロッカー ランサムウェアの 2 つがあり、これらは、さらに複数のサブタイプに分けることができます。

暗号化ランサムウェア
暗号化ランサムウェア攻撃では、攻撃者が被害者の機密データまたはファイルを暗号化します。このため、要求された身代金が支払われない限り、これらにアクセスできなくなります。理論的には、被害者が身代金を支払うと、攻撃者から、被害者がファイルまたはデータにアクセスするための解読キーが渡されます。ただし、アクセスできる保証はありません。多くの組織が、身代金を支払った後でさえ、ファイルへのアクセス権を永久に失っています。

ロッカー ランサムウェア
ロッカー ランサムウェアでは、悪質なアクターが被害者をデバイスから閉め出し、被害者には、アクセスを回復するために身代金を支払う方法に関する指示が記載された画面上の身代金メモが提示されます。この種のランサムウェアは通常、暗号化を伴わないため、犠牲者がデバイスへのアクセスを取り戻せば、機密ファイルやデータはすべて保持されています。ロッカー ランサムウェアは、一般的にモバイル デバイスで使用されます。

これら 2 つの主な形態のランサムウェアは、次のサブタイプに分類されます。

スケアウェア
スケアウェアは、恐怖感を使用して人々に身代金を支払わせます。この種のサイバー攻撃では、悪質なアクターは法執行機関のふりをし、犯罪の告発と罰金の要求が記載されたメッセージを被害者に送信します。

Doxware
Doxware では、悪質なアクターが個人情報を盗み、身代金が支払われなければ公開すると脅迫します。

二重脅迫ランサムウェア
二重脅迫ランサムウェアでは、攻撃者がファイルを暗号化するだけでなく、機密データを盗み、身代金が支払われなければ機密データを公開すると脅迫します。

ワイパー
ワイパーは、身代金が支払われなければデータを破壊すると脅迫します。

大半のランサムウェア攻撃は、3 段階のプロセスに従います。

1.  アクセスする
悪質なアクターは、さまざまな方法を使用して会社の機密データにアクセスします。最も一般的な方法の 1 つは、フィッシングです。この場合、サイバー犯罪者は、メール、テキスト、または電話を使用して、被害者を騙して資格情報を入力したりマルウェアをダウンロードしたりさせます。また、悪質なアクターは、悪用キットと呼ばれるツールを使用する悪意のある Web サイトを使用して従業員やその他のユーザーを標的にし、被害者のデバイスにマルウェアを自動的にダウンロードしてインストールします。

2.  データの暗号化
ランサムウェア攻撃者は、機密データにアクセスしたら、これをコピーし、元のファイルと共に、アクセスできたバックアップを破棄します。その後、コピーを暗号化し、解読キーを作成します。

3.  身代金を要求する
データにアクセスできないようにした後、ランサムウェアにより、データが暗号化されたことを説明し、解読キーと引き換えに金銭 (通常は暗号資産) を要求するメッセージが警告ボックスを介して送信されます。これらの攻撃の背後にいる悪質なアクターは、被害者が支払いを拒否した場合にデータを一般に公開すると脅迫する可能性もあります。

運用が直ちに中断されるだけでなく、ランサムウェア攻撃の結果には、重大な経済的損失、風評被害、長期的な運用上の課題が含まれる可能性があります。

金銭的な影響
身代金の支払いにはかなりのコストがかかる可能性があり、多くの場合、数百万ドルに達します。また、攻撃者が解読を提供する保証や、解読キーが正常に動作する保証はありません。

組織が身代金の支払いを拒否した場合でさえ、依然として大きな金銭的コストが発生する可能性があります。ランサムウェア攻撃によって中断が発生すると、長期にわたるダウンタイムが発生し、生産性に影響が及び、収益が失われる可能性があります。攻撃からの回復には、フォレンジック調査のコスト、弁護士費用、セキュリティ対策の強化への投資など、追加の費用が含まれます。

風評被害
顧客とパートナーは、侵害されたビジネスに対する信頼が失われ、顧客ロイヤルティの低下と将来のビジネスの損失につながる可能性があります。注目度の高い攻撃は多くの場合、メディアの注目を集め、企業の評判やブランド イメージを損なう可能性があります。

運用上の課題
バックアップを備えていても、データの損失や破損のリスクがあり、ビジネス継続性と運用効率に影響が及ぶ可能性があります。また、企業は、特に欧州連合の一般データ保護規則やカリフォルニア州の消費者プライバシー法などのデータ保護規制の対象となる場合に、機密データを保護できなかったことに対する法的および規制上の罰則を受ける可能性があります。

最も注目度の高い人間が操作するランサムウェア攻撃の多くは、サービスとしてのランサムウェア ビジネス モデルを使用するランサムウェア グループによって実行されています。

 

• LockBit は 2019 年の登場以来、金融サービス、医療、製造などのさまざまなセクターを標的にしてきました。このランサムウェアは、ネットワーク内で自己伝達する機能で知られており、特に危険です。 LockBit の関連グループは、高度な手法を使用してデータを暗号化し、身代金を要求する、注目度の高い多数の攻撃を実行してきました。 
• BlackByte の攻撃には多くの場合、二重脅迫が伴います。この場合、サイバー犯罪者は、データを暗号化して盗み出し、身代金が支払われなければ盗んだデータを公開すると脅迫します。 このランサムウェアは、政府や金融サービスを含む重要なインフラストラクチャ セクターを標的にするために使用されています。
• 2021 年 6 月から 2023 年 1 月までの間に活発だった Hive ランサムウェアの背後にいるグループは、二重脅迫を採用し、主として医療機関を含む公共機関や重要なインフラストラクチャを標的としました。 サイバー犯罪に対して大きな勝利を収めた FBI は、2022 年に Hive のネットワークに侵入し、解読キーを入手し、1 億 3,000 万米ドルを超える身代金要求を防止しました。 
• Akira ランサムウェアは、2023 年初頭から活発である巧妙なマルウェアで、Windows システムと Linux システムの両方を標的としています。悪質なアクターは Akira を使用して、VPN サービス (特に多要素認証を使用していないもの) の脆弱性を通じて最初のアクセスに成功しています。Akira はその登場以来、250 を超える組織に影響を及ぼし、ランサムウェアの収益として約 4,200 万米国ドルを奪いました。

 

ランサムウェア攻撃の被害者となった場合でも、被害回復と除去を行うために取れる選択肢はあります。

感染したデータを隔離する
できるだけ早く、侵害されたデータを隔離してください。ランサムウェアがあなたのネットワークのその他の領域に拡散するのを防ぐためです。

マルウェア対策プログラムを実行する
感染したシステムを隔離したら、マルウェア対策プログラムを使用してランサムウェアを削除します。

ファイルを解読する、またはバックアップを復元する
可能であれば、法執行機関またはセキュリティ研究者によって提供される解読ツールを使用して、身代金を支払うことなくファイルを解読します。解読できない場合は、バックアップからファイルを復元します。

攻撃を報告する
最寄りの警察署などの相談窓口に攻撃を報告します。米国では、FBI 地方局、IC3、または Secret Service です。この手続きを行っても、あなたの当面の懸念事項は何も解決されないかもしれませんが、このことが重要であるのは、これらの機関がさまざまな攻撃を積極的に追跡し監視しているからです。あなたの体験を詳しく伝えることは、サイバー犯罪者やサイバー犯罪者グループを見つけて起訴するというこれらの機関の取り組みにおいて有益である可能性があります。

身代金の支払いに注意する
身代金を支払いたくなるかもしれませんが、サイバー犯罪者が約束どおりにあなたにデータへのアクセスを許可するという保証はありません。セキュリティ エキスパートや法執行機関は、ランサムウェア攻撃の犠牲者が、要求された身代金を支払わないように推奨しています。これは、身代金を支払うことにより今後も脅迫が続く可能性があり、犯罪産業を積極的に後押ししてしまうことになるためです。

セキュリティ研究者は、今後数年間にわたってランサムウェアの頻度と複雑さが増し続けると予想しています。AI の進歩により、サイバー犯罪者がランサムウェアをすばやく自動化して強化することがますます容易になっています。また、技術スキルが限定されたユーザーがランサムウェアを使用する事例も増えています。なぜなら、ダーク Web で AI 駆動型ランサムウェア ツールを購入したり、サービスとしてのランサムウェアを提供する組織と提携したりできるからです。

また、より大規模で巧妙なサイバー犯罪組織 (国家主導型アクターを含む) が重要なインフラストラクチャとサプライ チェーンを標的とする事例もますます増えており、それに伴い、自治体や企業の運営に重大な混乱が発生しています。 これらのアクターは多くの場合、サービスを麻痺させることを目的として、政府、交通システム、医療機関を標的としています。

これらの進化する脅威に対抗するために、組織は、サイバーセキュリティのための AI を採用することで、ランサムウェア攻撃を迅速かつ効果的に検出して対応できるようにしています。 これらのテクノロジは、膨大な量のデータを分析して、ランサムウェア攻撃を示している可能性のあるパターンと異常を特定します。 これらのソリューションの多くは、検出された脅威に自動的に対応し、攻撃の軽減に要する時間を短縮することもできます。

また、ゼロトラスト セキュリティ モデルは、サイバーセキュリティを強化し、ランサムウェアやその他の悪意のあるアクティビティの拡散を制限する方法としても影響力を増しています。