ランサムウェア（Ransomware）とは?

ランサムウェアとは

ランサムウェアは、身代金を意味する ransom とソフトウェアを組み合わせた名称で、ファイル、システム、サーバー、業務データを暗号化したりアクセス不能にしたりした後、復旧の対価として金銭を要求するマルウェアです。初期には個人の PC にある文書や写真を暗号化する手法が多く見られましたが、現在では企業ネットワーク、クラウド環境、バックアップストレージ、業務システム、取引先と連携するシステムにまで攻撃範囲が広がっています。これは、一部のファイルを開けなくなるだけの問題ではなく、組織運営全体を揺るがすインシデントにつながることを意味します。

ランサムウェアが危険である理由もここにあります。感染すると、業務停止、顧客データの漏えい、復旧費用の増加、法的責任、信用の毀損、サプライチェーンの混乱が同時に発生する可能性があります。特に製造、医療、金融、公共、物流など、システムの可用性が重要な組織では、一部のサーバーが暗号化されただけでも中核業務が停止するため、ランサムウェア感染は情報セキュリティインシデントであると同時に事業継続を脅かします。

攻撃者は、被害組織が業務復旧を急がざるを得ない点を悪用して支払いを迫ります。指定時間内に支払わなければ復号キーを削除する、または暗号化されたデータを復旧不能にすると脅します。近年は、暗号化前にデータを窃取し、公開すると脅す二重恐喝も広く使われています。さらに、被害を顧客、取引先、報道機関に知らせると脅し、組織の信用や対外関係に圧力をかけることもあります。

ランサムウェアの攻撃手法

ランサムウェア攻撃は、侵入、権限の確保、内部偵察、拡散、データ窃取、暗号化、恐喝という段階を通じて行われます。

初期侵入には、メールの添付ファイル、フィッシングリンク、リモートアクセスアカウントの窃取、脆弱な VPN 機器、未パッチのサーバー、悪意のある広告、不正ソフトウェアのインストーラーなどが利用されます。攻撃者は 1 台のデバイスまたは 1 つのアカウントを掌握すると、内部ネットワーク構造をスキャンし、管理者権限の取得や、より重要なシステムへのラテラルムーブメントを試みます。

権限を確保した後は、影響の大きい資産を探します。代表例はバックアップサーバー、ファイル共有サーバー、ドメインコントローラー、業務アプリケーションサーバーです。この過程でセキュリティツールを停止したりログを削除したりし、正規の管理ツールを攻撃に悪用することもあります。最終段階でランサムウェアが実行されると、多数のファイルが短時間で暗号化され、画面に金銭要求のメッセージと連絡方法が表示されます。

ランサムウェア攻撃の核心はファイル暗号化です。攻撃者は被害者のファイルを自分だけがアクセスできるキーで暗号化し、復号キーを提供する条件として金銭を要求します。ただし、すべてのランサムウェアが同じ完成度や巧妙さを備えているわけではありません。実装上の不具合により復旧できる場合や、実際の復号機能を持たず脅迫メッセージだけを表示するものもあります。一方、高度なランサムウェアは、ファイル暗号化だけでなく、バックアップの削除、セキュリティサービスの停止、ネットワーク共有フォルダーの暗号化、データ窃取を同時に行い、被害範囲を拡大します。

ランサムウェアの主な種類

ランサムウェアは、攻撃方法と脅迫方法によって分類できます。

種類	特徴	主なリスク
Crypto-ransomware	文書、画像、データベースなどのファイルを暗号化	業務データにアクセス不能、復旧の遅延
Locker ransomware	画面または OS へのアクセスを遮断	端末を使用不能、業務停止
Double-extortion	データ窃取後に暗号化も実行	情報漏えいとサービス停止が同時に発生
Ransomware as a Service	攻撃ツールとインフラをレンタル形式で提供	専門性の低い攻撃者でも攻撃可能

暗号化型ランサムウェアは最も広く知られた種類です。ファイル拡張子が変わったり文書を開けなくなったりし、各フォルダーにランサムノートが作成されます。攻撃者は暗号化の解除と引き換えに暗号資産での支払いを要求します。

ロック型ランサムウェアは、ファイル自体よりもデバイスの使用を妨げることに重点を置きます。画面をロックしたり特定のメッセージだけを表示したりして、通常のログインやプログラム実行を妨害します。最近の企業攻撃では暗号化型と窃取型の割合が高いものの、個人ユーザー環境ではロック型攻撃も依然として発生します。

二重恐喝型ランサムウェアは現在最も多く発生する攻撃形態です。バックアップを保有する組織には、ファイル暗号化だけでは脅迫効果が低い場合があります。攻撃者は暗号化前に機密資料を窃取し、復旧の可否とは別に、漏えいを材料として金銭を要求します。

RaaS は攻撃の拡散を加速させた主な要因です。ランサムウェア開発者と実際に侵入する攻撃者が分業し、収益を分配する仕組みの登場によって攻撃の参入障壁が下がりました。組織は特定のランサムウェア名だけを遮断するのではなく、侵入と拡散に繰り返し使われる攻撃手法や経路を減らす方向で防御体制を設計する必要があります。

主な感染経路と攻撃シナリオ

ランサムウェア感染をユーザーの不注意だけで説明することは困難です。フィッシングメールと悪意のある添付ファイルは依然として主要な侵入経路ですが、実際の攻撃では脆弱なリモートアクセス環境、アカウント窃取、未パッチのシステム、サプライチェーン侵害が併用されるため、セキュリティ教育だけでは防げません。

フィッシングメールと悪意のある添付ファイル

最も一般的な感染経路の 1 つがフィッシングメールです。攻撃者は請求書、応募書類、見積書、業務案内を装ったメールを送り、添付ファイルを開く、またはリンクをクリックするよう誘導します。マクロを含む文書、圧縮ファイル、実行ファイル、悪意のあるリンクなどでマルウェアを配布します。検知を回避するため、正規のファイル共有サービスへのリンクを挿入したり、窃取したアカウントからメールを送って信頼性を高めたりすることもあります。

リモートアクセスサービスとアカウント窃取

リモートデスクトップ、VPN、クラウド管理アカウントなど外部から接続できるサービスは、内部ネットワークへの侵入によく利用されます。攻撃者は公開されたリモートアクセスサービスを自動探索し、総当たり攻撃や入手済みの認証情報による接続を試みます。脆弱または使い回されたパスワード、多要素認証の未適用、機器のセキュリティ更新の遅れは、アカウントやシステムを容易に掌握できる要因になります。

未パッチのシステムとソフトウェア脆弱性

ソフトウェア脆弱性も頻繁に悪用されます。OS、Web サーバー、ファイル転送ソリューション、セキュリティ機器、業務アプリケーションの既知の脆弱性を適時に修正しなければ、攻撃者は侵入や権限昇格に利用できます。迅速なパッチ適用は単なるシステム保守ではなく、攻撃者の侵入経路を減らす基本的なセキュリティ対策です。

サプライチェーンと取引先システムを介した拡散

攻撃範囲は組織内部に限られません。攻撃者はセキュリティレベルが比較的低い取引先を先に侵害し、業務関係や信頼関係を悪用して最終標的へ接近できます。マネージドサービスプロバイダーやリモート保守アカウントが侵害されると、複数の顧客が同時に影響を受ける場合もあります。そのため、対応範囲には内部資産だけでなく、外部接続、委託運用環境、アカウント権限管理も含める必要があります。

ランサムウェア感染の兆候

感染は暗号化完了後に判明することが多いものの、その前段階にも異常の兆候があります。セキュリティチームは端末、サーバー、ネットワーク、アカウントのアクティビティを併せて確認する必要があります。通常とは異なる大量のファイル変更、異常なログイン、権限昇格、セキュリティサービス停止イベントは、攻撃を疑う主なシグナルです。

ユーザーは、ファイル拡張子が見慣れないものに変わる、文書を開けないといった現象を最初に確認します。各フォルダーに支払い要求の案内ファイルが作成され、システムが急に遅くなったり、ファイルの保存や読み込みに失敗したりすることもあります。ウイルス対策ソフトやセキュリティプログラムが停止する場合もあります。共有フォルダーのファイルが同時に変更されていれば、すでにネットワーク内で拡散している可能性があります。

管理者は、短時間で多数のファイルが変更・削除される動作、複数サーバーへの同時接続、通常使用しない管理ツールの実行、バックアップ削除コマンド、ボリュームシャドウコピーの削除、ログ削除の試行、外部への大量データ送信など、より広い範囲のシグナルを確認する必要があります。これらはランサムウェア実行直前または実行中によく観察されます。

兆候を早期に見つけるには、単一のセキュリティ機器の通知だけでは不十分です。エンドポイント検知、ネットワークトラフィック分析、アカウント行動監視、メールセキュリティ、統合ログ分析を関連付けて確認する必要があります。ランサムウェアは複数の段階を経るため、個別イベントではなく一連の流れを読むことが対応速度を左右します。

感染が疑われる場合の初動対応

感染が疑われる場合は、まず拡散を防ぎます。感染した端末やサーバーをネットワークから分離し、共有フォルダーや外部ストレージとの接続を遮断します。ただし、電源を切ることが常に最善とは限りません。状況によっては、メモリ、ログ、実行中のプロセス情報が分析と復旧に必要です。セキュリティ担当者と IT 運用担当者は、事前に定めた手順に従って隔離方法と証拠保全範囲を判断する必要があります。

バックアップストレージも直ちに保護する必要があります。攻撃者がまだバックアップ領域にアクセスしていなければ、接続を制限してデータの整合性を確認します。ランサムウェアはバックアップまで暗号化または削除しようとします。運用ネットワークとバックアップネットワークが十分に分離されていない状態で、感染後に慌ててバックアップを接続すると、正常なバックアップまで破損する可能性があります。

同時に証拠を確保します。ランサムノート、感染ファイルのサンプル、ログ、接続履歴、アカウント使用履歴、ネットワーク接続情報は、攻撃経路の特定と再感染防止に必要であり、法的対応、保険手続き、関係機関への届出にも使用できます。特に侵入経路を確認せずファイル復旧だけに集中すると、同じ経路から再侵入される可能性があります。

要求額を支払うかどうかは慎重に検討する必要があります。支払っても復号は保証されず、窃取されたデータが削除される保証もありません。攻撃者に追加収益を与え、攻撃エコシステムを維持する結果になる場合もあります。法的、運用上、顧客への影響は組織ごとに異なるため、経営陣、法務、セキュリティ、外部専門家、関係機関と判断する必要があります。攻撃直後の圧力下で早計に判断しないよう、事前に対応基準を整備することが重要です。

ランサムウェアの予防と復旧体制

ランサムウェアは 1 つのソリューションだけでは防げません。侵入を困難にし、侵入されても権限を拡大させず、一部のシステムが侵害されても業務全体が停止しないよう設計する必要があります。重要なのは、バックアップ、アカウント保護、脆弱性管理、検知体制、インシデント対応手順を併せて運用することです。

バックアップと復旧の検証

最も基本的な対策はバックアップです。重要データを定期的にバックアップし、運用環境から分離します。オフラインバックアップ、変更不能なバックアップ、別の権限体系、定期的な復旧訓練が必要です。バックアップの有無より、実際に復旧できるかが重要です。

バックアップは被害の予防に不可欠ですが、データ漏えいは解決できません。二重恐喝型では、ファイルを復旧しても窃取済みの情報が公開される可能性があります。そのため、重要情報へのアクセス権限管理と外部送信の検知も併せて行う必要があります。

アカウントセキュリティと権限管理

管理者権限を最小化し、未使用アカウントを無効化します。リモートアクセスと主要システムには多要素認証を適用し、1 つのアカウントが侵害されてもネットワーク全体を掌握されないよう権限を分離します。攻撃者は高権限アカウントを得た後、バックアップ削除、セキュリティツール停止、内部拡散を試みることが多いため、ドメイン管理者、バックアップ管理者、セキュリティ機器管理者の各アカウントは個別に保護する必要があります。

脆弱性管理とパッチの優先順位

既知の脆弱性はすぐに攻撃へ利用される可能性があります。すべてのシステムへの即時パッチが難しい場合は、インターネットに公開された機器と主要業務システムを優先します。脆弱性管理では、パッチ適用だけでなく、外部公開資産、業務への影響が大きいシステム、パッチが困難な場合に適用する補完的統制まで併せて判断する必要があります。

メール、ネットワーク、エンドポイントセキュリティ

メール、ネットワーク、エンドポイントセキュリティは初期侵入と実行を防ぎます。悪意のある添付ファイル、フィッシングリンク、偽装ドメイン、悪意のあるスクリプトを遮断し、不審なプロセス実行やファイルの大量暗号化を検知する必要があります。

ネットワーク分離、重要サーバーのアクセス制御、アプリケーション制御、ログ監視を組み合わせることで、攻撃者の移動経路を狭められます。単一のセキュリティツールだけに依存せず、複数の統制を連携して攻撃段階を断ち切る方法が必要です。

インシデント対応手順とユーザー教育

組織レベルの対応手順も事前に整理します。感染疑いの報告先、ネットワーク分離の承認者、バックアップ復旧の順序、外部フォレンジック支援を要請する時期を定めていなければ、インシデント発生中の判断と対応が遅れます。

ユーザー教育は実際の業務メールに似た事例に基づいて行います。不審な添付ファイルやリンクの見分け方だけでなく、疑わしい状況を誰にどのように報告するかも案内します。ユーザーを責めるのではなく、迅速に報告できる文化を作ることが拡散防止に効果的です。

対策の目標は、すべての攻撃を完全に防ぐことではありません。侵害された 1 つのアカウントから全管理者権限へつながらないようにし、ある部門のファイルサーバー侵害が全社システム停止へ広がらないようにすることです。被害範囲を減らし、通常業務へ戻る準備ができていれば、ランサムウェアによる圧力も軽減されます。

関連記事

ランサムウェア対策、難しいならこれから始めよう

ホワイトペーパー

アンラボのランサムウェア統合セキュリティ戦略

FAQ

アンラボのランサムウェアセキュリティ

アンラボは、中小企業から OT 環境まで、さまざまな環境のエンドポイント、メール、ネットワーク、サーバー全般に統合セキュリティを提供し、ランサムウェアの侵入、実行、内部拡散に対応します。既知のランサムウェアはシグネチャベースの技術で迅速に検知・遮断し、新種・亜種の脅威はサンドボックス、機械学習、振る舞い分析技術を活用して悪意の有無を確認します。また、ネットワーク上で悪意のある IP、Web サイト、脆弱性攻撃を遮断し、主な侵入経路を保護します。