2021年の夏のある朝、 7時 にテクニカルサポートへの問い合わせの電話が入りました。 「発信者のデスクトップ上のアイコンがすべて消えてしまった」と彼は言いました。 どれも効果がありませんでした。
電話の向こう側で、ジョン・アバークロンビーは、何がうまくいかなかったのかをすぐに悟りました。 北カリフォルニアにある小規模な商業建設会社のテクニカルサポート責任者は、電話をかけてきた相手に、直ちにコンピューターの電源プラグを抜くよう指示しました。 1分後、アバークロンビーは支店から、同じ苦情を伝える別の電話を受けました。
「その瞬間、私は『もう完全にやばい』と思ったんです」と、彼は今になって振り返ります。
アバクロンビーは、本社に近い場所に住んでいる技術者を起こすために電話をかけました。「パジャマ姿だろうと構わない。今すぐそこへ行って、機器のプラグを抜く作業を始めなさい！」 と彼は言いました。
その時点で、同社のサーバーやデスクトップパソコンのうち100台以上がマルウェアに感染していました。 に対するランサムウェア攻撃（ ）は、同社のデータをロックしただけでなく、オペレーティングシステムのファイルも暗号化してしまい、マシンを動作不能にしてしまいました。 そして、アバークロンビーの苦難は、まだ始まったばかりでした。
彼が次に電話をかけたのは、 のサイバー保険会社 で、その会社から弁護士を紹介されました。 その弁護士は、この混乱を収拾するために、 のインシデント対応チーム（ ）に依頼しました。同チームは、1台ずつ（
）マシンを処理していくことで、事態の収拾を支援しました。
会社の業務を再開するまでに約1週間かかりましたが、その一因として、攻撃者が不明な期間にわたりネットワーク内に潜伏しており、オンラインバックアップの一部を手動で削除していたことが挙げられます。 アバークロンビー氏は、システムを一から再構築し、会社の業務を通常通りに戻すため、1か月間、1日15時間ずつ働きました。
結局、彼の保険会社が身代金――6桁前半の金額――を支払い、同社はハッカーから返却されたファイルの復号に成功しました。
ジョン・アバークロンビーは、その男性の本名ではありません。 同社の身元がさらなる攻撃の標的となるのを防ぐため、この攻撃に関する詳細の一部は変更されています。 しかし、彼の話はよくあることです。 More than 3,700 companies reported a ransomware attack to the FBI in 2021, according to a recent Senate Homeland Security and Governmental Affairs Committee report. その数字は、実際の攻撃件数に比べてかなり過小に計上されていることはほぼ間違いありません。
ランサムウェアは、中小企業からグローバル企業に至るまで、依然として明白かつ差し迫った脅威となっています。 そして、もし経営者がそれに対応するための詳細な計画を立てていなければ、大変な目に遭うことになるかもしれません。 万が一、攻撃に直面した場合、リーダーが計画を実行に移すためにすべきことは以下の通りです。
お馴染みの実話に基づくマルウェアの事件
のキャンベル・スープ社 から、 のコロニアル・パイプライン社 、そして の個人経営店 から、 の政府機関全体に至るまで――どの組織もランサムウェア攻撃の脅威から免れることはできません。 これは、何十年にもわたって組織や個人を悩ませてきた問題です。
「その瞬間、私は『もう完全にやばい』と思いました。」ジョン・アバークロンビー、商業建築部門 テクニカルサポート部長
ランサムウェア攻撃の最初の事例は、 1989年にさかのぼります。 「エイズ・トロイの木馬」として知られるマルウェアは、感染したフロッピーディスクを介して拡散され、189 ドルから378ドルの支払いを要求するメッセージを表示しました。
今日、この問題ははるかに深刻になっています。 ベライゾンの「 2022データ侵害調査報告書」によると、 ますます巧妙化するランサムウェアによる侵害が、憂慮すべきほど増加していることが明らかになりました。 2021 年の攻撃件数が13％急増したのは、過去5年間で最大の増加幅でした。 Organizations have paid out nearly $1.3 billion in cryptocurrencies to ransomware gangs since 2020, according to an Endpoint analysis of data from blockchain specialist Chainalysis. これは、 2016 年から2020年にかけて支払われた総額の約4倍に相当します。
In 2021, intelligence services, criminal gangs, and “hacktivists” in Russia were the recipients of as much as 74% of ransomware payouts from Western companies, or about $400 million worth of cryptocurrencies, reports Chainalysis. マイクロソフトが6月に発表した「 」の調査報告書（ ）によると、戦争開始以来、ロシアはウクライナ以外の42 カ国にある128 の組織を標的にしており、その中には政府機関、シンクタンク、人道支援団体、ITベンダー、および重要インフラ 関連企業が含まれていることが明らかになりました。 に対するロシアの攻撃は、 29％の確率で成功しています。 こうした侵入に成功した事例のうち、少なくとも4分の1ではデータが盗まれています。
[関連記事：企業がランサムウェアにどう立ち向かっているか――そして、今日から始められる対策]
このような攻撃に対する最も効果的な対処法は、ランサムウェアが初めて登場して以来、それほど変わっていません。 最新のオフラインバックアップを常備しておけば、感染したマシンのデータを消去し、データを復元して、そのまま業務を続けることができます。 数時間分のデータが失われる可能性はありますが、それでも身代金を支払うよりはましです。身代金を支払っても、盗まれたデータを復号するための鍵を受け取れるかどうかは定かではありませんから。
「ネットワークが侵害されてしまった場合、信頼できるオフラインのバックアップがあることが、望める最善の策です」と、Taniumのテクニカルアカウントマネジメント担当シニアディレクター、ジョシュ・ブライアント氏は述べています。
今日のランサムウェアの蔓延には、簡単な解決策はありません
では、なぜランサムウェアは依然としてこれほど大きな問題となっているのでしょうか？
その理由の一つとして、多くの組織がバックアップの作成を十分に実施できていないことが挙げられます、と、長年にわたりセキュリティコンサルタントとして活動し、自身の時間の約 20％をランサムウェアの問題への対応に費やしていると推定するマイク・マイクル氏は指摘しています。 特に、組織は、バックアップが信頼性が高く、事業復旧に必要な最も重要かつ最新のデータがすべて含まれていることを確認するための適切なテストを行えていません。
もう一つの大きな理由は、ランサムウェア業界がますます巧妙化していることです。 「ランサムウェア・アズ・ア・サービス（RaaS）」の台頭により、技術力の低い攻撃者でも攻撃を仕掛けやすくなっています。 他人のマルウェアを借りられるのに、なぜわざわざ時間とお金を費やして独自のマルウェアを開発する必要があるのでしょうか？ 多くの攻撃者は、初期アクセスブローカーと連携しています。初期アクセスブローカーとは、ネットワークへのアクセス権を取得し、そのバックドアを犯罪組織に販売する他のハッカーのことで、これにより攻撃はさらに容易になります。
最近、ギャングたちは標的をより厳選するようになり、中小企業よりも資金力のある組織を主な標的とするようになっています。 Chainalysisによると、ランサムウェアの平均支払額は、 2019 年の約25,000 ドルから、2021年には120,000 ドル近くへと増加しました。 攻撃者は、企業のネットワーク内に潜伏して、横方向への移動を行ったり、脆弱性を探ったり、機密データを盗み出したりすることに、ますます多くの時間を費やしています。
[関連記事：ラテラルムーブメント――サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
また、彼らは「恐喝」という副次的なビジネスモデルも採用しています。 サイバーリスク管理企業のクロール（Kroll）によると、 2021 年上半期に発生した10 件のランサムウェア攻撃のうち、10件中8件近くで、盗み出されたデータを一般のインターネット上に公開するという脅迫が行われていました。
しかし、最も一般的な攻撃経路は、長年にわたりほとんど変わっていません。 ソフトウェアの脆弱性 が 修正されないまま放置されていること 、および だまされて アクセス認証情報を明け渡したり、悪意のあるコードを実行したりしてしまう人々です。
「その最初の侵入を防ぐことは、極めて困難です」と、Tanium社のブライアント氏は述べています。 「どんなに多くの技術的な対策を講じても、攻撃者は依然として、あなたを騙して環境への侵入を許してしまう可能性があります。」 「そして、いったん中に入れば、その土地の物資で生活し、横方向に移動することができるのです。」
ランサムウェア攻撃を受けた後の対応
もし不運にもマルウェアに感染してしまった場合、まず最初に連絡すべき先は法務部門です、とブライアント氏は述べています。 また、彼らは、貴社のサイバー保険会社やインシデント対応チームと直接連携することができます。
「ハッカーがシステム内に侵入すると、『ライブ・オフ・ザ・ランド』の手法を用いて、システム内を横方向に移動することができます。」Tanium社のテクニカルアカウントマネジメント担当シニアディレクター、ジョシュ・ブライアント氏。
訴訟が発生した場合、IRチームが講じた措置は、弁護士・依頼者間の秘密保持特権に基づき、開示から保護されます。 また、弁護士は、連邦政府のサイバーセキュリティ・インフラセキュリティ庁（ , Cybersecurity and Infrastructure Security Agency, 、CISA）や、FBIのインターネット犯罪通報センター（, Internet Crime Complaint Center, （IC3））などの法執行機関への事件の通報にも関与することになります。
さらに重要なのは、組織全体を対象とした復旧計画を策定し、実行に移すことです。その計画は、すでに実施方法がわかっているものである必要があります。 ブライアント氏は、すべての重要な関係者が参加する机上演習やシミュレーションを定期的に実施することは、ハッキング被害後の完全な復旧を確保する上で大いに役立つと付け加えています。
[関連記事：堅牢なインシデント対応計画を策定するための 5 のステップ]
侵入が判明した後は、攻撃者がどのように侵入したのか、そしてそこからどこへ移動したのかを特定する必要があります。 アラートシステムで何か見落としはありませんでしたか？ 従業員のアクセス権限に関して、適切な管理体制が整っていますか？ ブライアント氏によると、攻撃者の行動を制限することで、ランサムウェアの脅威の大部分を排除できるとのことです。 攻撃者がネットワーク内で横方向の移動ができない場合、より攻撃しやすい標的に移る可能性が高くなります。
最終的に 身代金を支払うことになるか、 支払わないかは、状況次第だと彼は述べています。 これはリスクとメリットのバランスを考慮して下すべき決定であり、通常は法務部門と経営陣の責任となります。 ブライアント氏は、次のような質問を投げかけることを推奨しています。「許容できる損失額はどれくらいでしょうか？」 直近のオンラインバックアップが侵害された場合、1週間あるいは1か月間、データが使えない状態でも対応できるでしょうか？
「たとえ復号化を選択したとしても、攻撃者が何かを残していないかを確認するために徹底的な調査を行い、その後、信頼性の高いバックアップからシステムを初期化して再インストールすることをお勧めします」とブライアント氏は述べています。
[関連記事：大麻や銃はさておき――ランサムウェアの身代金支払いを違法化すべきでしょうか？]
そしてもちろん、二度とハッキング被害が起きないよう、できる限りの対策を講じたいとお考えでしょう。
ジョン・アバークロンビー氏は現在、自社の重要なサーバーすべてのバックアップを、オンプレミスのアプライアンスに保存しています。このアプライアンスは、ネットワークの他の部分とは異なるアクセス認証情報を使用して、バックアップをクラウドストレージにレプリケートしています。 同社は、AIを活用した新しいエンドポイント保護ソフトウェア「 」（ ）およびメールセキュリティソフトウェアを導入し、その運用管理をマネージド・ディテクション・アンド・レスポンス（MDR）専門企業に委託しました。 同社は、 の二要素認証（ ）を導入し、全従業員を対象としたフィッシング対策研修を開始しました。
次なるマルウェアの脅威
アバークロンビー氏は、自社がランサムウェア攻撃を受けた際、最も恐ろしかったのは、再び攻撃を受けるのを防ぐ手段が何一つないという現実に気づいたことだったと振り返っています。
「世の中には、数多くのランサムウェア集団が存在しています」と彼は言います。 「『ああ、先月、競合他社が彼らを攻撃したから、今回は見逃してあげよう』なんてことは、誰も言わないでしょう。」 「ですから、あの事件以来、私たちはセキュリティに並々ならぬ注意を払っています。」
アバークロンビーが他の人たちに贈る最高のアドバイスとは？ 「計画を立てなさい」と彼は言います。 「ですから、いざその状況が訪れたとき――必ず訪れることですが――どうすべきか迷って立ち往生することはありません。」
