ランサムウェアとは

この記事は約 2 分で読めます

ランサムウェアとは、感染したコンピュータのファイルを暗号化して使用不能にし、復元と引き換えに身代金 (ransom) を要求するマルウェアの一種です。個人から大企業、医療機関、政府機関まで幅広い標的を狙い、業務そのものを止めてしまう被害を生みます。 2020 年代に入ってからは二重脅迫型 (データの暗号化に加え、窃取したデータの公開を脅す) が主流で、バックアップから復旧できたとしても情報を公開されるという圧力が残るところが厄介です。

歴史的背景

最初のランサムウェアは 1989 年の「 AIDS Trojan 」とされ、フロッピーディスクで配布されました。しかし本格的な脅威となったのは 2013 年の CryptoLocker 以降です。ビットコインなどの暗号通貨の普及により、匿名での身代金受け取りが容易になったことが攻撃の急増を後押ししました。 2017 年の WannaCry は世界各地へほぼ同時に広がり、ランサムウェアの脅威を一般に広く知らしめました。 2020 年代には RaaS (Ransomware as a Service) というビジネスモデルが定着し、技術力のない犯罪者でもランサムウェア攻撃を実行できる状況になっています。

感染経路

最も一般的な感染経路はフィッシングメールの添付ファイルやリンクです。マクロ付きの Office ドキュメントや、正規のソフトウェアを装った実行ファイルが使われます。リモートデスクトッププロトコル (RDP) の脆弱性を突いた侵入も多発しています。ソフトウェアの脆弱性を悪用するエクスプロイトキット、サプライチェーン攻撃を経由した感染も報告されています。

現場での使用例

ランサムウェアの検知は夜間や休日に起きがちで、判断できる人が揃わない時間帯に初動を求められます。最初にやることは、感染が疑われる端末をネットワークから切り離すことです。有線 LAN を抜き、無線も切ります。共有フォルダやクラウドストレージの同期が動いていると暗号化されたファイルが健全な側を上書きしてしまうため、同期の停止も同時に行います。電源を落とすかどうかは復旧方針によって変わるので、独断で初期化や再起動はせず、先に見えている情報 (画面に出た身代金要求の文面・拡張子の変化・気づいた時刻) を記録します。復旧に使えるのはネットワークから切り離されていたバックアップだけなので、平時に「切り離された世代がどこまで戻せるか」を確認しておくと、この場面で復旧できるかをすぐ判断できます。

感染フロー

実務での予防と対策

予防の基本は、 OS やソフトウェアを常に最新の状態に保つこと、不審なメールの添付ファイルを開かないこと、そして定期的なバックアップです。バックアップはネットワークから切り離したオフラインストレージに保存することが重要です。よくある落とし穴は「身代金を払えばデータが戻る」という期待ですが、支払い後もデータが復元されない事例や、再度攻撃される事例が多数報告されています。強力なランダムパスワードで RDP やクラウドサービスのアカウントを保護し、二段階認証を有効にすることで、初期侵入のリスクを大幅に低減できます。