総合研究部 研究員　吉田　基

ランサムウェアによる被害と対応

１．はじめに

警察庁が公表する「令和3年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、国内の企業・団体等に対するランサムウェアによる被害は、令和2年下半期が21件であるのに対し、令和3年上半期が61件で、大幅に増加しています。また、日本経済新聞9月20日の朝刊によると、ランサムウェア攻撃に対し、身代金支払いに応じた日本企業は、33％（約50団体）も存在しました。

一般的にランサムウェアとは、身代金を意味する「Ransom」とソフトウェア「Software」を組み合わせた造語で、身代金を要求するマルウェアの一種です。ランサムウェアに感染すると、パソコンのファイルが暗号化されたり、画面がロックされる等して、利用することができなくなり、場合によっては、事業継続を脅かしかねない事態に陥りかねません。また、ドイツの病院では、ランサムウェア攻撃を受けたため、システムがダウンし、同病院へ搬送中の女性を受け入れることが不可能となりました。また、日本でも徳島県の町立病院において、ランサムウェアに感染し電子カルテを使用できなくなり、新規の患者の受け入れを停止する事態に陥っています（徳島の町立病院にサイバー攻撃 新規患者受け入れ停止 復旧は未定）。このように、国内外で、ランサムウェアによって、事業継続だけではなく、人の生命身体が脅かされかねない事態に陥る可能性もあります。

２．攻撃手法

従来は、明確に標的を定めることなく不特定多数人に対して、広く、ランサムウェアによる攻撃が仕掛けられていました。もっとも、新たな攻撃手口として人手によるランサムウェア攻撃（human-operated ransomware attacks）と二重の脅迫（double extortion）が確認されています（【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について～ 「人手によるランサムウェア攻撃」と「二重の脅迫」～）。

また、従来型のランサムウェアの場合、システム担当者であれば十分に支払い得る少額の身代金の要求でしたが、近時のランサムウェア攻撃では、数千万円を超える額が要求される場合もあります。

(1)人手によるランサムウェア攻撃

攻撃者自身が様々な攻撃手法を駆使して、企業・組織のネットワークへひそかに侵入し、侵入後の侵害範囲拡大等を行います。そして、事業継続に関わるシステムや、機微情報等が保存されている端末やサーバを探し出してランサムウェアに感染させたり、ドメインコントローラのような管理サーバを乗っ取って、一斉に企業・組織内の端末やサーバをランサムウェアに感染させたりする攻撃方法です。

ランサムウェアの対策としては、バックアップをとっておき、ランサムウェア感染した際に、復元するというものが挙げられます。しかしながら、攻撃する側は、標的とする企業がバックアップをとっていることを前提に攻撃を仕掛けてくるため、バックアップも同時にランサムウェア攻撃の対象にしています。

したがって、バックアップ体制を改めて確認しておき、もしもランサムウェアに感染した場合に備えておく必要があります。バックアップの方法として、注目を集めているのが、バックアップにおける「3-2-1ルール」です。バックアップの「3-2-1ルール」とは、重要なデータを保護するのであれば「ファイルのコピーは3個（プライマリー1個とバックアップ2個）を保管して、ファイルを保管する記録メディアは異なる2種類を採用して、コピーのうちの1個はオフサイトに保管すべし」とするルールをいいます。さらに、Veeam Softwareというスイスに本社を置くソフトウェア会社より「3-2-1-1-0ルール」が提唱されています（ランサムウェア対策に「3-2-1-1-0」–ヴィームが推奨）。「3-2-1-1-0ルール」は、「3-2-1ルール」に加え、データ操作の可能性を排除するために、コピーの書き変えを不能とし、オフラインで保存すること、エラーのない検証済みのバックアップを確保するというものです。また、バックアップを毎日監視し、復元テストを定期的に実行して有効であることを確認していくことも求められます。

このように攻撃手法の進化にあわせるように、対応策たるバックアップの方法が続けざまに提唱されています。常時あるいは定期的に対応策を向上できれば理想的といえますが、多くの企業で難しいのが現実かと思います。したがって、自社にとって重要な情報や直ちに復旧を要する情報は何かを洗い出し、どこまでリスクを許容できるか等を検討し、見合った対応をとることとなります。

(2)二重の脅迫

ランサムウェアにより暗号化したデータを復旧するための身代金の要求に加え、暗号化する前にデータを窃取しておき、支払わなければデータを公開する等と脅迫する攻撃方法です。

窃取されたデータは、例えば、攻撃者がインターネットやダークウェブに設置した、データ公開のためのウェブサイト（リークサイト）にて公開されます。身代金が支払われない場合、データの一部を公開し、日数の経過に伴い徐々に公開範囲を広げると脅す場合もあります。

(3)感染経路

感染経路は、VPN機器からの侵入やリモートデスクトップからの侵入などがあり、テレワーク環境が利用されています。ランサムウェアの被害にあわないために、VPN機器などのネットワーク機器をはじめとして、重大な脆弱性が公開されれば速やかに修正パッチの適用を行う必要があります。

また、SNSやメールに添付されたファイルを安易に開封しないことや本文に記載されたURLにアクセスしないなど、改めて基本的な対策を従業員に周知・啓蒙しておくことが重要となります。ちなみに、メールがhtml形式で書かれている場合、本文に記載されているURLと実際のクリックした先のURLが異なる場合があります。オンライン会議のURLなど、日常的にメール本文のURLをクリックしアクセスしがちですが、ウェブサイトにアクセスする場合には、検索エンジンを介し目的のサイトへアクセスする方が安全といえます。

３．身代金を払うべきか

令和3年上半期におけるサイバー空間をめぐる脅威の情勢等によると、ランサムウェア攻撃の被害にあえば、復旧まで1週間で済む場合もあれば、2か月以上も期間を要する場合があります。復旧費用についても1000万円以上を要する場合もあります。さらに、バックアップを取得していても復元できなかった企業が51％存在します。

ちなみに、法執行機関および民間組織が連携しランサムウェアの撲滅を目的とした「No More Ransomプロジェクト」（日本では、JPCERT/CC、IPA、JC3が参加しています。）があり、複合するためのツールが無償で利用することができます。

さて、身代金を支払うべきかについては、経済産業省の公表する「最近のサイバー攻撃の状況を踏まえた経営者への注意喚起」では、金銭の支払いを慎むべきであるとしています。詳細を確認しておくと、「データ公開の圧力から、攻撃者からの支払い要求に屈しているケースは少なくないとの報告は存在するが、こうした金銭の支払いは犯罪組織に対して支援を行っていることと同義であり、また、金銭を支払うことでデータ公開が止められたり、暗号化されたデータが復号されたりすることが保証されるわけではありません。さらに、国によっては、こうした金銭の支払い行為がテロ等の犯罪組織への資金提供であるとみなされ、金銭の支払いを行った企業に対して制裁が課される可能性もある。」とされています。したがって、一般論としては、企業は身代金の支払いを拒否すべきこととなります。もっとも、既に述べた通り、ランサムウェア攻撃により、生命身体が脅かされうる事態も発生しています。また、アメリカでは、市のシステムに対し攻撃がなされ、市や警察の公共機関が機能不全に陥るという事態も発生しています。このように一企業の業務に留まらず、公共機能が停止するため、早期復旧のために身代金を支払う判断も必ずしも否定されるものではないものといえます。

したがって、復旧可能性、復旧費用や復旧までの期間、事業がストップすることによる逸失利益、事業がストップすることにより生じる影響・被害を考慮し、身代金を支払うか否かの経営判断をしていくこととなります。近時の公表されているランサムウェア攻撃を見ていると、システム担当者では手に負えない状態であるように感じています。ちなみに、アメリカでは、バイデン政権が、ロシア系ハッカー集団への制裁措置を加えることを発表し、また、国務省がランサムウェア攻撃等の国際的サイバーセキュリティ問題に対応するための専門組織を新設することを発表しています。このように、サイバー攻撃を国家安全保障上の脅威として位置づけ、国家レベルで対応する動きがあります。

４．ランサムウェアに感染した場合の対応

【緊急レポート】ランサムウェアによる被害の拡大と対策のポイントで述べられている通り、相手に既に渡っているデータを回収する術はなく、ランサムウェアへ感染してデータが第三者に渡ってしまった後に実施可能な対策はほとんどありません。また、ランサムウェアの場合、リークサイトにおいて、公開され、広く情報を拡散されるため、被害企業が不特定多数人にランサムウェアに感染した事実を知られてしまいます。したがって、フォレンジック調査等の結果を待たず（この点は、不正アクセスによるカード情報漏洩等とは対応を異にします。）、攻撃を受けた事実を公表するか、する場合にはどのように公表するかなど迅速な対応を迫られることとなります。

基本的には、情報主体へ謝罪と説明を行うことが優先され、クレジットカード情報の漏洩と同じであり、漏洩原因・件数・期間・発生しうる二次被害などを公表文に記載していくこととなります。これまでの漏洩事案対応の経験則からすると、自分は対象なのか（情報漏洩されてしまったのか）、という問い合わせがなされるため、必要に応じ第三者の調査機関の調査により漏洩の対象範囲を確認しておく必要もあります。

また、身代金を支払わないとしてもフォレンジック調査、コールセンターの設置、弁護士費用、コンサルティングカンパニーの利用など多額の費用を要します。そのため、事前準備としてサイバー保険に加入しておくことも検討しておく必要があります。なお、身代金に関してはサイバー保険の補償対象範囲となりません（サイバー保険とは）。また、フランスでは、大手損害保険会社が、ランサムウェア攻撃に遭った顧客がサイバー犯罪者に支払った身代金を補償する契約を停止することを発表しています。一方で、アメリカでは身代金の支払いが保険で補償される場合もあり、世界的に議論がなされている現状です。

５．まとめ

ランサムウェア攻撃により、事業継続や生命身体が脅かされうる事態が生じ得て、感染した場合、対応の緊急性が要求されます。また、平時より、もしもの場合に備えて重要な情報や直ちに復旧を要する情報は何かを洗い出し、どこまでリスクを許容できるか等を検討しておくことが重要です。

最近の個人情報漏えい事故（2021年9月、10月）

下記の表は、今年9月と10月に発生した情報漏えい事故やトラブル一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

不正アクセスを契機に顧客情報やクレジットカード情報が漏洩したケースは、依然として多く見受けられます。さて、あくまで筆者が感じていることであり、調べる限りで統計が存在するわけではありませんが、不正アクセスを契機とする漏洩を認識した時点から公表までに要する期間が長くなっているように感じています。端的にECサイトに対する不正アクセスの増加により、デジタルフォレンジックを専門とする調査会社が多忙となっており、調査開始までに相当の期間を要することが一因と考えられます。また、フォレンジック調査完了後の各ステークホルダーとの調整に時間を要することも要因といえます。例えば、上記69のインシデントでは、

1. 2021年7月12日、保守会社から、サイトを利用したお客様のクレジットカード情報の漏洩懸念について連絡を受けた
2. 2021年8月18日、調査機関による調査が完了
3. 2021年10月20日、公表

という経過をたどっています。公表まで調査完了から2か月を要しており、この期間に決済代行会社並びにカード会社等と公表文案等に関する調整がなされていたものと予測されます。このインシデントでは、不正アクセスの事実を認識してから公表まで3か月程、期間を要していますが、決して対応が遅いとは考えていません。

さて、公表までの期間が長くなると、不正利用に対する補償期間との関係で検討事項が増える場合があります。不正利用に関する補償期間は、カード会社によって異なりますが、60日あるいは90日となっている場合があります。この補償期間はクレジットカードの持ち主がカード会社に届出した日から遡り、60日（90日）までの利用日までのものが対象となります。すなわち、カード会社のモニタリングをすり抜けて不正利用されてしまい、かつ、クレジットカードの持ち主が利用明細を定期的にチェックしていない場合には、公表をもってはじめて不正利用された可能性が認識することとなります。そのため、公表時点でカード会社の補償期間を徒過しているケースが生じます（そもそも、不正利用されたタイミングが、漏洩の事実を認識した時点よりも90日以上前であることもあり得ます。）。この場合には、不正アクセスを受けた企業が補償することとなります（カード会社が補償する場合、最終的には、不正アクセスを受けた企業にカード会社から請求がなされるため、経済的負担をするという点では変わりません。）。ここで悩ましい問題があり、通常の利用・買い物等と不正利用による取引を明確区別できないのが現実です。実務的にはクレジットカードが、漏洩の対象となるカードであることを確認し、利用明細を送付してもらい、申告された額を支払うということとなります。

実務的に漏洩の事実を認識した時点で直ちに注意喚起等を行うことが難しいため、可能な限り、公表を急ぐことが望まれます。どのような対応が必要かはクレジットカード情報の漏洩対応について～ECサイトを中心に～をご確認ください。

セミナーや研修について

当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

セミナー・研修系サービスの紹介

SPリスク・ラーニング

新型コロナウイルスの影響により、多くの企業で在宅勤務を前提にしたWeb研修や会議が行われている状況を受け、「コンプライアンス」「ハラスメント」「クレーム対応」「情報セキュリティ」「防災・BCP」など、新入社員から入社2～3年目の若手社員に必須の危機管理に関する知識を詰め込んだ9種類の研修用動画を提供しています。

危機管理会社の新入社員・若手社員研修

社会人に求められる常識や、業務の習得に必要な視点・モチベーション、仕事場におけるコミュニケーションスキル等を「リスクマネジメント」の観点から学び、企業と新入社員本人の双方からのアプローチで、早期離職や問題社員化等の「人財ロス」低減を目指します。数々のリスク対応で培った、危機管理会社ならではのオリジナルメニューで、他社ではできない領域の研修が可能です。理論と実践が結びついた早期の危機管理教育が、「人財」を育てます。