無料で診断する

ランサムウェアとは

ランサムウェアは、侵入した組織のファイルやサーバーを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する攻撃です。近年は暗号化の前にデータを盗み出し、「支払わなければ公開する」と二重に脅す手口が一般的になっています。

どのように被害が起きるか

多くの場合、攻撃者はまず VPN 機器やリモートデスクトップなど、外部から社内へ入る入口を狙います。修正プログラムが当たっていない機器の弱点や、漏れたり推測されたりした ID・パスワードが使われます。

侵入後は、管理者の権限を奪いながら社内のネットワークを広く調べ、バックアップを含む重要なサーバーを探します。準備が整った段階でデータを持ち出し、一斉に暗号化します。侵入から暗号化までに数日から数週間かかることもあります。

公表事例に多い影響

  • 業務システムやファイルサーバーが使えなくなり、受注・出荷・診療などの業務が止まる。
  • 顧客や取引先、従業員の個人情報が持ち出された可能性があるとして、本人への連絡と個人情報保護委員会への報告が必要になる。
  • システムの委託先や、クラウドサービスの提供元が被害を受け、利用していた多数の組織に影響が広がる。
  • 復旧と調査に数週間から数か月かかり、続報が何度も出る。

事業者が平時に備えること

  • VPN 機器・リモート接続の入口を一覧にし、修正プログラムを当てる担当と期限を決める。使っていない入口は閉じる。
  • 管理者アカウントとリモート接続には多要素認証をかける。退職者や使っていないアカウントは止める。
  • バックアップは、ネットワークから切り離した世代を持つ。復元の手順を実際に試しておく。
  • 感染に気づいたときに誰が何を止め、どこへ連絡するかを、紙で用意しておく（システムが止まると電子の手順書も読めなくなる）。
  • 委託先と、事故が起きたときの連絡の流れ・報告の期限を契約で決めておく。

被害に気づいたら

感染した機器はネットワークから切り離し、電源はすぐに切らずに調査に必要な状態を残します。攻撃者からの要求には応じる前に、警察や専門の事業者に相談してください。支払ってもデータが戻る保証はなく、再び狙われるおそれもあります。初動の流れは「事故が起きたら」のページにまとめています。

自社で確かめること

  • VPN 機器・リモート接続の機器の型番と、修正プログラムの適用状況を確かめる
  • ネットワークから切り離したバックアップがあり、復元を試したことがあるか確かめる
  • 管理者アカウントに多要素認証がかかっているか確かめる

Web サイトとメールの設定は、無料診断で確かめられます（CMS・メール認証・セキュリティヘッダ・SSL/TLS の4種類をまとめて）。

関連する用語

VPN（仮想専用線）
インターネットを通じて、社外から社内のネットワークへ安全に接続するための仕組み。VPN 機器の弱点や、漏れた ID・パスワードが、ランサムウェアの侵入口として多く公表されています。
多要素認証
パスワードに加えて、スマートフォンに届く確認コードや専用のアプリなど、別の要素を組み合わせて本人を確かめる方法。パスワードが漏れても、それだけではログインできなくなります。
バックアップ（オフライン・世代管理）
データの写しを保存しておくこと。ランサムウェアはネットワーク上のバックアップも暗号化するため、切り離した場所に、複数の時点の写しを持つことが勧められています。
フォレンジック調査
端末やサーバーに残った記録を調べ、侵入の経路・時期・持ち出された情報などを明らかにする調査。公表資料では「外部の専門機関による調査」と書かれることが多いものです。
二重恐喝
データを暗号化して身代金を要求するだけでなく、盗んだデータを公開すると脅して支払いを迫る手口。

ランサムウェアの公表事例（2件）

毎日の速報は X で。新しく掲載した事例と注意喚起をお知らせしています。

@incidentnews_jp をフォローする

このページは一般的な解説です。個別の事案の組織の対応を評価するものではありません。

メールで新着を受け取る

週1回（月曜日の朝）、新しく掲載・更新した公表事例のまとめ（手口・業種つき）をお届けします。無料。いつでも停止できます。

確認メールのリンクを押すと登録が完了します。メールマガジンについて・過去の号

無料診断