脅威はゼロにならない！
誰でも被害に遭う可能性があるからこそ知っておきたいランサムウェア対策の「今」と「これから」～前編～

パロアルトネットワークス 林氏
パロアルトネットワークスでチーフセキュリティオフィサー（CSO）をしております。20年ほどセキュリティ関連のリサーチや、製品、サービスの開発などをやってきました。パロアルトネットワークスに入社してからは、脅威インテリジェンス調査チーム「Unit 42」で、ランサムウェアを含むサイバー攻撃に関する調査をしてレポートを作成し、公表するということを行ってきました。3年前からはチームセキュリティオフィサーとして、企業の経営者の皆様やセキュリティリーダーの皆様に、いわゆる啓蒙活動といいますか、「ソートリーダーシップ1」という形でいろいろお話や提案をさせていただく活動を行っております。

用語解説

• 1

  ソートリーダーシップ：さまざまな領域で革新的な考え方や活動を主導すること

パロアルトネットワークス 林氏
Unit 42のランサムウェア脅威レポートですね。日本語版もつい先日公開しています。レポートは昨年1年間の脅威についてまとめているものですが、被害者数やその平均支払額といったところは非常に高くなっています。
2021年の平均支払額は約54万ドルです。年々高額になっていて、毎年70%～80%ずつ増加しています。6月に再度調査した際には、既に平均支払額は92万ドルになっていて、日本円にすると1億円を超えてしまっているような状況です。

参考：パロアルトネットワークス株式会社
「日本を含む世界におけるランサムウェア脅威に関する最新調査を公開：
ダークウェブへのリーク増加で2021年の身代金平均支払額は過去最高の54万ドルに」（最終閲覧 2022/08/31）

弊社はインシデントレスポンスもやっており、インシデントが発生した際に駆けつけて対応の支援をしていますが、そこで一番多いのがランサムウェア2です。それからいわゆる二重脅迫と言われる、暗号化するだけではなくデータを盗み出しておいて、身代金を払わないと公開するぞと脅すやり方も増えています。いわゆる「LockBit3 3.0」と言われるランサムウェアグループで、システムを暗号化して、アクセスできないようにするものですが、現在日本での被害はこのLockBit 3.0によるものが多く、今後もさらに増えてくると考えられます。

用語解説

• 2

  ランサムウェア：身代金（ランサム-Ransom）を要求するマルウェア（Malware）」を指す。攻撃者は企業のデータを人質に身代金を要求する。物理的な誘拐ではなく、データを暗号化（暗号化ウイルス恐喝）し、使用不能にする。データの復旧を見返りに身代金を払えと脅迫する。

• 3

  LockBit：サーバーなどシステムを暗号化しアクセスできないようにして身代金を要求するランサムウェア

パロアルトネットワークス 林氏
カナダでの調査ですと、被害に遭ったうち約4割の組織が支払っていないという結果があります。つまり6割くらいの組織が支払っているということになります。
ただ、さまざまな事情があります。例えばサイバー保険で身代金の支払いを賄えたから簡単に払ってしまうというケースもあります。また、特にカナダの場合、インフラ企業が多く被害に遭ったということもあって、被害情報を公表しづらく支払いに応じた企業、組織が多数あったのではないかと推測しています。

新建新聞社（リスク対策.com） 中澤氏
そうですね。リスク対策.comでは3種類の記事を出しています。1つは提携ニュース会社から送られてくるニュース配信。配信各社のニュースでもランサムウェアに関する記事は非常に多くなってきておりますので、リスク対策.comでも必然的に増えています。2つ目は連載記事です。100名近くの連載陣がいる中で、海外レポートの翻訳や、解説記事などを書いてくれる方が結構いらっしゃいますが、特に危機管理にまつわる海外のレポート記事ではランサムウェアを含むものが増えています。3つ目は独自取材です。これは私や記者が直接伺って企業の取り組み事例を取材するものですが、ここでランサムウェアやサイバー攻撃に関する記事はそれほど増えていません。やはり積極的にどういう防御をしているか、どういった被害に遭ったか、身代金を支払ったのかなどを公表する企業は少ないというのが実感です。

パロアルトネットワークス 林氏
テレワークが始まったとき、まずは急いでVPN6に対応せねば、とセキュリティ対策が後回しになってしまった面があります。その結果、VPNに使った機器を攻撃者は選び侵害され、ランサムウェアの被害を受けた例はもちろんあったと思います。
あとは持ち出し端末ですね。家庭やカフェなどは、場所によってセキュリティ強度の強い・弱いがさまざまです。ですので、弱いところで感染した端末がVPN経由でオフィスのネットワークに接続してしまい、セキュリティチェックをすり抜けて感染端末からVPNを通って侵害されてしまった事例も、コロナ禍に国内の企業で出ています。

用語解説

• 6

  VPN：Virtual Private Networkの略。インターネットのように誰もが利用できる公共のネットワークを利用して、プライベートなネットワークを作ること。VPN環境の実現にはパケットのトンネリングや暗号化の技術が必要になる。

パロアルトネットワークス 林氏
重要インフラなど緊急性の高い業種を狙う攻撃者は確かにいます。ただほとんどのケースで、攻撃者は予めターゲットを決めて、それから侵入を開始するわけではありません。イニシャルアクセスブローカー9と呼ばれる業者から、リストを買って、そのリストをもとに攻撃をしているのです。イニシャルアクセスブローカーは、「ここの企業の、このサーバーに脆弱性がありました。すでにエクスプロイト10して、サーバーにバックドアを仕掛けてあるので、サーバーにはこのIDとパスワードで侵害できますよ」という形のリストを持っていて、それを売っています。
では、そのリストに載らないためにどうすればよいのかというと、やはりセキュリティ対策が弱いところがどうしても狙われやすくなってしまいます。一般的なセキュリティ対策をきちんと施していれば、そうしたリストに載らないので、最初から侵害された状態でリストの順番待ちにならないようにすることが大切です。

用語解説

• 9

  イニシャルアクセスブローカー：さまざまな手段でネットワークに侵害し、アクセス権を他の攻撃者に販売する者

• 10

  エクスプロイト：脆弱性を攻撃すること

パロアルトネットワークス 林氏
リークサイト11などを見ていると、実は大企業よりも、もっと小さい企業、それほど名が通ってないような企業がたくさんあります。やはりセキュリティ対策を十分に行っていないところがどうしても狙われて、ランサムウェアなどの被害に繋がります。

用語解説

• 11

  リークサイト：攻撃者が声明を発表したり窃取した情報を公開したりする際に用いるWebサイト

新建新聞社（リスク対策.com） 中澤氏
反響が大きいのはやはりインシデントの記事ですね。わずか数行の記事でも非常に多くの反響を得る一方で、一番多く載せている分析記事や解説記事、あるいは対策のための考え方などの記事は反響が少ないのが現実です。

新建新聞社（リスク対策.com） 中澤氏
本当にそう思います。具体的な対策を載せても読んで理解するのが大変ということもあるかもしれませんが、考え方などは非常に重要だと思うのです。何かあったときに初めて注目するという傾向は、ITに限らず危機全般に言えることだと思います。

パロアルトネットワークス 林氏
ランサムウェアが仕掛けられる順序は、攻撃者がまず侵入、重要なサーバーやシステムを押さえて、脅迫に使えるデータがどこにあるかを調べます。そのうえで必要なアカウントを乗っ取り、データを窃取します。ランサムウェアはその後、仕掛けるのは最後の最後です。
実は、その一連の流れに大きな変化が出てきています。攻撃者が最初に侵入して、最後にランサムウェアを仕掛けて出て行くまでの時間がどんどん短くなっているのです。以前は1カ月、2カ月と言われていましたが、今や直近のデータですと平均18.5日で完了してしまいます。
つまり企業はその18.5日の中で、何か不審な兆候を見つけて、自分たちの重要なサーバーやデータが押さえられるかもしれないことに早く気付けるかが勝負になってきます。

パロアルトネットワークス 林氏
最近はそういったツールを作る人たちは別にいて、いわゆる分業の一部になっています。中島さんがおっしゃられるように、UIも進化していて本当に誰でも使えるようにと意図されていますし、動画サイトにも操作方法がアップされています。