ランサムウェア対策の新常識：マルウェア防御から事業レジリエンスへ

長年、ランサムウェアは主にマルウェアの問題とされてきました。ユーザーが不審なものをクリックするとファイルが暗号化され、身代金を要求するメッセージが表示されて、組織全体が対応に追われることになります。 

もちろん、こうした手口は今もなくなっていません。サイバー犯罪者は、効果のある手法を何度でも使い回すからです。しかし、この1年でランサムウェアは大きく変化しました。データ窃取、業務停止による圧力、そして復旧システムへの攻撃を組み合わせて、事業全体を揺るがすものになっています。

つまり、攻撃者の目的は、もはやデータを人質に取ることだけではありません。システムが止まっても事業を続けられるのか、組織の耐久力が試されているのです。

こうした変化の背景の1つにあるのが、ランサムウェアのエコシステムの分散化です。法執行機関の取り締まりによって主要な攻撃グループが相次いで摘発されても、ランサムウェアのビジネスがなくなることはありませんでした。攻撃の実行役であるアフィリエイトは別のグループへと移り、新たなグループが台頭し、犯罪の仕組みは今も健在です。Qilin、Akira、Play、Cl0p、INC Ransomなどのグループが活動を続けていることからも分かるように、ランサムウェアは特定の大物グループに依存するのではなく、実行役が入れ替わりながら回り続ける「ギグエコノミー」のような構造になっています。

その結果、防御はより複雑になっています。1つのグループを摘発できたのは喜ばしいことですが、侵入経路を売買するアクセスブローカーや盗まれた認証情報、アフィリエイト、攻撃の手順書など、別のグループを支える要素がなくなるわけではありません。それだで勝利を宣言するのは、モグラたたきで1匹たたいて満足するようなものです。

もう1つの大きな変化は、アイデンティティの重要性が増していることです。最近のランサムウェア攻撃の多くは、従来のような派手なハッキングではありません。攻撃者は有効な認証情報でログインし、脆弱な多要素認証（MFA）を悪用し、セッショントークンを盗み出します。さらに、ヘルプデスクをだましてアクセス権をリセットさせることもあります。

このように、アイデンティティを守ることは、そのままランサムウェア対策につながります。組織には、可能な限りフィッシング耐性のあるMFA、強固な条件付きアクセスポリシー、不審なログインの監視、特権アクセスの管理、そしてパスワードやMFAのリセット手順の見直しが求められます。電話口で本人になりすまし、いくつかの個人情報を伝えるだけでヘルプデスクがアカウントをリセットしてしまうようでは、安全なプロセスとは言えません。

ソーシャルエンジニアリングも、より巧妙になっています。Scattered Spiderのような攻撃グループの活動からは、ボイスフィッシングや従業員へのなりすまし、ヘルプデスクをだます手口が、大企業に対してさえどれほど効果的かが分かります。これらの攻撃は、入念な下調べをもとに、実際の業務に沿った自然な会話で仕掛けられます。また、攻撃者は誰になりすますべきか、どのシステムについて尋ねればよいかを把握していることが多く、怪しまれることなく相手を急かすことができます。

これに対し、「従業員にもっと注意するよう呼びかける」だけで対処した気になってはいけません。意識向上は大切ですが、それ以上に重要なのはプロセスです。ヘルプデスクには、明確な本人確認の手順やエスカレーションの経路に加え、セキュリティを理由に対応に時間がかかっても、経営層がそれを支持する体制が必要です。従業員が普段と違う依頼に疑問を投げかけられるよう教育することはもちろんですが、、電話越しの違和感に1人が気づくかどうかに頼らない仕組みづくりも欠かせません。

脆弱性の悪用も、依然としてランサムウェアの主な侵入経路です。特に、VPN、ファイアウォール、リモートアクセスツール、ファイル転送プラットフォームなど、インターネットに公開されているシステムが狙われています。懸念されるのはそのスピードです。攻撃者は新たに公表された脆弱性をますます早く悪用するようになっており、パッチ適用に時間がかかる組織ほどリスクが高まっています。

防御側は、外部からアクセスできる自社のシステムを把握し、実際に悪用されている脆弱性を優先して対応し、いざというときに迅速に動ける緊急パッチ適用のプロセスを整えておく必要があります。すべてのシステムにすぐパッチを適用できるわけではありませんが、重要な公開システムへの対応を、次のメンテナンスまで先送りにするわけにはいきません。

バックアップも、攻撃者と防御側の主戦場の1つです。攻撃者は、組織が迅速に復旧できれば身代金の要求が意味をなさなくなることを知っています。そのため、最近のランサムウェア攻撃では、バックアップシステム、スナップショット、復旧用コンソール、管理者の認証情報が狙われるケースが増えています。

つまり、バックアップを取っているだけでは、十分な対策になりません。バックアップは、イミュータブル（書き換え不可）にするなどして改ざんから守り、本番環境から切り離したうえで、さらに重要なのは、優先すべきシステムを、正しい順序で、事業を維持できるスピードで復旧できるかを把握しておくことです。

一度もテストしていないバックアップは、復旧計画とは言えません。

ランサムウェアが業務に与える影響も、特に重要になっています。攻撃者が狙うのはデータだけでなく、止まれば大きな圧力となる業務プロセスそのものです。製造、医療、運輸、小売、物流といった業界は、停止の影響がすぐに表れるため、格好の標的となります。生産ラインが止まり、予約がキャンセルされ、配送が遅れ、顧客に対応できなくなれば、身代金の要求は、より大きな経営危機の一部となります。

ランサムウェア対策に事業継続の観点が欠かせないのは、このためです。組織は、最も重要な業務プロセスを特定し、システム間の依存関係を整理し、どのサービスを最優先で復旧するかを決めたうえで、機能が限られた状態でも業務を回せるよう訓練しておくべきです。インシデント対応計画は、「マルウェアをどう駆除するか」だけでなく、「復旧までの間、どうやって事業を続けるか」という問いにも答えられるものでなければなりません。

AIは、さらに新たなリスクをもたらしています。AIによって手のつけられない最強のランサムウェアが次々と生まれている、と語る営業資料もありますが、実際はそうではありません。ただ、攻撃の一部を容易にしているのは確かです。犯罪者はAIを使って、自然なフィッシングメッセージの作成、詐欺の文面の翻訳、口調の模倣、盗んだデータの要約、偵察活動の効率化などを行い、より説得力のあるなりすましを実現できます。

これが問題なのは、多くのランサムウェアインシデントが、アクセスの承認や認証情報のリセット、ツールの実行、情報の共有、警告の無視など、誰かが説得されて何らかの行動を取ることから始まるからです。AIによってこうしたやり取りがよりリアルになるのであれば、組織に必要なのは「よく見てください」と注意喚起を繰り返すことではなく、確認のプロセスを強化することです。

この12か月から得られる最大の教訓は、ランサムウェア対策を、マルウェアの防止から事業レジリエンスの確保へと進化させなければならないということです。セキュリティの担当部署には、引き続きエンドポイントでの検知、メールフィルタリング、ネットワーク監視、脆弱性管理が必要です。それに加えて、強固なアイデンティティ管理、テスト済みの復旧手順、ヘルプデスクの保護、ネットワークセグメンテーション、インシデント対応演習、そして経営層の関与が欠かせません。

実践的な防御戦略には、次の要素を盛り込むべきです。

• 特権アクセスやリモートアクセスを中心とした、強固なMFA（できればフィッシング耐性のあるもの）の導入
• パスワードリセット、MFAの変更、アカウント復旧時の、ヘルプデスクでの本人確認の強化
• 不審なログイン、物理的にあり得ない移動（インポッシブルトラベル）、新しいデバイスの登録、権限の変更に対する継続的な監視
• 迅速なパッチ適用
• イミュータブルで隔離され、定期的にテストされたバックアップ
• 攻撃者の横展開を抑えるためのネットワークセグメンテーション
• 法務、広報、業務部門、経営層、外部の関係者を交えた机上演習
• 何を最優先で復旧するか、システム停止中にどう業務を続けるかを明確にした事業継続計画

ランサムウェアは、IT担当部署だけの問題ではありません。アイデンティティのセキュリティ、業務のレジリエンス、復旧計画、そしてプレッシャーの中での経営判断が試される課題です。

攻撃者は、すでにそれを分かっています。

問題は、私たちがそれを分かったうえで対策しているかどうかです。