事業継続を脅かす新たなランサムウェア攻撃-IPA

身代金として金銭を得ることを目的に、企業・組織内のネットワークへ侵入し、パソコン等の端末やサーバ上のデータを一斉に暗号化して使用できなくしたり、データを窃取して公開すると脅迫したりするサイバー攻撃の被害が多発しています。
これは、「ランサムウェア」と呼ばれるウイルスを用いた従来の攻撃に、「人手によるランサムウェア攻撃」と「二重の脅迫」の新たな手口が加わった結果です。
諜報活動を目的とするような標的型サイバー攻撃と同等の技術が駆使され、大量のデータやシステム全体が被害に遭い、事業継続が脅かされる可能性があるため注意が必要となっています。
これまで、海外の企業等で被害が多く見られていたが、一部、国内の企業・組織でもこの攻撃手法による被害が報じられている状況となっています。そこで今回は、IPAの注意喚起を参考にこの脅威について説明します。

「人手によるランサムウェア攻撃」と「二重の脅迫」

ランサムウェアとは、パソコン等の端末やサーバ上のデータを暗号化する等して使用不可にし、それらを復旧することと引き換えに身代金を支払うように促す脅迫メッセージを表示するウイルスの総称です。これまで、ランサムウェアを使う攻撃者は、基本的に明確な標的を定めず、例えばウイルスメールをばらまくといった方法で、広く無差別に攻撃を行っていました。
しかし、2018年~2019年頃より、明確に標的を企業・組織に定め、身代金を支払わざるを得ないような状況を作り出すため、次の2つの新たな攻撃手口を取り入れる攻撃者が現れています。

  • 人手によるランサムウェア攻撃 (human-operated ransomware attacks)*1
  • 二重の脅迫 (double extortion)*2

この新たなランサムウェア攻撃について、海外で多数の企業・組織の被害が報道されており、国内の企業・組織でも被害が確認されています。1万台を超えるマシンが攻撃されたり、数TB(テラバイト)ものデータが窃取されたりといった事例があり、身代金として要求されるのは、数千万円から数億円の規模となっています。
この攻撃は、組織の規模の大小、扱っている情報の機密性等に関わらず、ITシステムにより事業が成り立っている、あらゆる企業・組織が標的となりえます。
経営層やIT・セキュリティを担当する部門において、事業の継続を脅かすような大規模な被害が生じ得る脅威として認識し、対策を検討する必要があります。

図1 従来と新型のランサムウェア攻撃の差異
<画像出典:IPA>

 

新たなランサムウェア攻撃の手口

攻撃者が取り入れている、2つの新たな攻撃手口について説明します。

人手によるランサムウェア攻撃 (human-operated ransomware attacks)

  • ウイルスを添付したメールを機械的にばらまくような手口と異なり、諜報活動を目的とする「標的型サイバー攻撃」と同様の方法、すなわち、攻撃者自身が様々な攻撃手法を駆使して、企業・組織のネットワークへひそかに侵入し、侵入後の侵害範囲拡大等を行います。そして、事業継続に関わるシステムや、機微情報等が保存されている端末やサーバを探し出してランサムウェアに感染させたり、ドメインコントローラのような管理サーバを乗っ取って、一斉に企業・組織内の端末やサーバをランサムウェアに感染させたりする攻撃方法です。復旧を阻害するため、バックアップ等も同時に狙われることがあります。一般的に、攻撃の進行を検知しにくく、判明した時点では既に大きな被害が生じている場合があります。

二重の脅迫 (double extortion)

  • ランサムウェアにより暗号化したデータを復旧するための身代金の要求に加え、暗号化する前にデータを窃取しておき、支払わなければデータを公開する等と脅迫する攻撃方法です。
  • 窃取されたデータは、例えば、攻撃者がインターネットやダークウェブに設置した、データ公開のためのウェブサイト(リークサイト)にて公開されます。身代金が支払われない場合、データの一部を公開し、日数の経過に伴い徐々に公開範囲を広げると脅す場合もあります。

 

どうやって対策するのか

新たなランサムウェア攻撃は、諜報活動を目的とするような標的型サイバー攻撃と同等の技術が駆使されるため、あらゆる面でのセキュリティの強化で対応する必要があります。
例えば、ウイルス対策、不正アクセス対策、脆弱性対策など、基本的な対策を、確実かつ多層的に適用することが重要です。

ここでは公開されている事例などを基に、次の2点を紹介します。全般的な対策や、その他の事項については、レポート本紙を参照してください。

企業・組織のネットワークへの侵入対策

    • この攻撃は、攻撃者が企業・組織のネットワークへ侵入するところから始まります。特に、インターネットからアクセス可能な状態としているサーバへの不正アクセスや、ネットワーク機器の脆弱性の悪用などが報告されています。リモートデスクトップサービス(RDP)の認証を突破されたり、VPN装置のアップデートが行われておらず侵入されたという事例が多くありますが、狙われるのはこれらに限りません。
    • インターネットからアクセス可能な装置全体について、アクセス制御が適切にできているか、認証が突破される可能性はないか、脆弱性は解消されているかといった点を、今一度確認することを勧めます。

データ・システムのバックアップ

    • 攻撃者は、身代金を支払わせるため、業務継続が困難になるよう、重要なデータやシステムを探し出し、狙ってくると思われます。ネットワークにバックアップサーバが接続されていると、バックアップサーバも被害に遭う可能性があります。バックアップを確実に取得し、守ることができるよう、必要に応じて設定や構成を見直してください。

 

「事業継続を脅かす新たなランサムウェア攻撃について」 レポート

本注意喚起の詳細は、レポート「事業継続を脅かす新たなランサムウェア攻撃について」で説明しています。レポートでは、攻撃の近年の変化、「人手によるランサムウェア攻撃」と「二重の脅迫」の説明、被害事例、攻撃手口、対策等について述べています。詳しくはこちらをご覧ください。

レポート本紙

*1):標的型ランサムやシステム侵入型ランサム等とも呼ばれている。
*2:暴露型ランサム等とも呼ばれている。


本内容は、IPA様のプレスリリースを元に作成しております。
ソース:https://www.ipa.go.jp/security/announce/2020-ransom.html

関連記事

ピックアップ記事

  1. 「身内であっても全員疑え!」そんな手厳しい考え方が主流になろうとしています。 10年以上前に提唱さ…
  2. テレワーク(在宅勤務)はコロナ禍以前にも東京オリンピック2020の混雑緩和を目的に「テレワークデイズ…
  3. 常に新しい用語が生まれてくる情報システム部門は、全ての用語を正しく理解するのも一苦労。ましてや他人に…
  1. 松田軽太の「一人情シスのすゝめ」#15:デジタル庁はIT版巨災対になれるのか?

  2. 「ゼロから学ぶ」ゼロトラスト#05:ゼロトラストセキュリティを牽引する企業トップ14

  3. 悪しき慣習「パスワード付きzipファイル」もこれで終わるのか?

  4. 正規VPNインストーラにバックドアをバンドルし拡散する攻撃手口-セキュリティブログ

  5. パスワード付き圧縮ファイルに注意:IcedIDの攻撃が本格化の兆し-セキュリティブログ

  6. 松田軽太の「一人情シスのすゝめ」#14:データ移行で炙り出される要件漏れ

  7. 【脱!SIerへの丸投げ】IT投資効率を悪化させるSI業界 vol.2 ~IT投資をゆがめるSIer~

  8. 「ゼロから学ぶ」ゼロトラスト#04:ゼロトラストセキュリティはテレワークをどう変える?

  9. レポート「ニューノーマルの働き方改革 :すぐに始められるデジタル変革への道」後編

  10. レポート「ニューノーマルの働き方改革 :すぐに始められるデジタル変革への道」前編

プレスリリース

登録されているプレスリリースはございません。

関連サービス

Banner_Josyscareer

Banner_ITMS

Banner_ITMSD

おすすめ記事

  1. Webサービスの利用が増える中、新しいセキュリティ技術「Webアイソレーション」が注目されています。…
  2. 働き方改革の盛り上がりもあり、近年、耳にする機会が増えた「テレワーク」と「リモートワーク」。これに対…
  3. WebサイトのURLには「http://」で始まるものと「https://」で始まるものの2種類があ…
  4. 最近では、働き方改革の旗振りのもと、多くの企業が在宅勤務やサテライトオフィスを導入するようになり、リ…
  5. 2000年にリリースされたWindows 2000 Server で初めて登場したActive Di…
ページ上部へ戻る