世界中で多くの被害が報告されているランサムウェア攻撃ですが、2023年7月にも名古屋港において大規模なシステム障害を引き起こす事案がありました。また、この事件はランサムウェア「LockBit(ロックビット)」によるものであると言われています。

世界的に猛威を振るっているLockBitですが、日本でも名古屋港に限らず医療機関や、衣料品チェーン大手企業など、さまざまな組織を標的としているようです。また、LockBitはランサムウェア攻撃を実行するツールの名称であると同時に、このツールを利用して組織を攻撃する犯罪者グループを示す言葉でもあります。

そこで今回は、LockBitとはどのようなランサムウェア攻撃なのか、名古屋港はどのような被害に遭ったのかなどを詳しく解説します。

名古屋港を標的としたランサムウェア攻撃

2023年7月4日、名古屋港では「NUTS」と呼ばれる名古屋港統一ターミナルシステムがランサムウェア攻撃の標的となり、大規模なシステム障害が発生しました。この障害によってトレーラーを使ったコンテナ搬出入作業が中止に追い込まれ、6日の午後に一部のターミナルで作業が再開されるまで、完全に搬出入ができない事態に陥りました。また、システムの全面復旧には3日かかっています。

障害発生から復旧までの経緯は比較的詳細に報告されています。

出典：NUTSシステム障害の経緯報告 (名古屋港運協会名古屋コンテナー委員会ターミナル部会)

https://meikoukyo.com/wp-content/uploads/2023/07/0bb9d9907568e832da8f400e529efc99.pdf

気になる侵入経路としては、リモート接続(VPN)機器の脆弱性を狙って不正アクセスされた可能性が高いそうです。徳島県つるぎ町立半田病院でも、同様にVPN機器の脆弱性を利用した不正アクセスが原因だったことを考えると、いくつかの機器を特定して脆弱性が残っているかどうかなどを見ているのかもしれません。

名古屋港は自動車などを中心に総取扱貨物量が日本で一番多い港で、間違いなく日本の重要な物流拠点の一つです。サイバー攻撃によってコンテナの搬出入が1日以上停止したことは、多くのサプライチェーンに大きなインパクトを与える結果となりました。

この事案を重く見た国土交通省は、安全で安定的な物流サービスの維持・提供に資することを目的に、今回の事案を検証しつつ、コンテナターミナルの基幹システムに必要な情報セキュリティ対策、サイバーセキュリティ政策などの整理・検討を行う「コンテナターミナルにおける情報セキュリティ対策等検討委員会」を設置しています。

LockBitとはなにか

名古屋港運協会は具体的な攻撃元を明言はしていませんが、今回の名古屋港へのサイバー攻撃はLockBitによるものだとの報道が多く出回っています。LockBitは2020年の初頭から観測されるようになったランサムウェアです。セキュリティに関連する複数の調査において、2022年でもっとも頻繁に観測されるランサムウェアとしてLockBitを挙げており、2023年も同様の結果になるだろうことが予想されています。

LockBitは身代金を要求する際に二重恐喝（多重恐喝）をすることでも知られています。つまり、暗号化したファイルの復号化だけでなく、支払わない場合には「窃取した機密情報を公開する」と恐喝して身代金を奪おうとします。そのため、恐喝する際には入手した企業の機密情報を画像ファイルで送り付けたりするようです。自社の信頼を損ねる可能性が高いため、大きなプレッシャーを与えることになることは間違いありません。また、要求を拒否されると、DDoS攻撃によってさらにプレッシャーをかけると脅されることもあるそうです。

「LockBit 2.0」や「LockBit 3.0」など進化を続けており、常に新しい攻撃手法を採用しています。多様な侵入経路への対応、セキュリティ製品を無効化する、潜伏して内部情報の窃取や他のシステムへの感染拡大など機能は多岐に渡っています。最近ではmacOSを標的としたバージョンも確認されています。

また、サービスとしてのランサムウェア（RaaS）として提供されていることも、LockBitの特徴の一つと言えるかもしれません。LockBitの攻撃者グループは、熱心なマーケティング活動やアフィリエイトの募集を行うことでも知られており、多くの攻撃者はLockBitをアンダーグラウンドで提供されているサービスとして利用します。技術力が低くてもランサムウェア攻撃が可能となるため、さまざまな犯罪者グループがLockBitを利用していると言われています。実際に逮捕された事例もありますが、LockBitそのものは相変わらず提供され続けています。また、他のサイバー犯罪グループと協力して活動することもあります。

米国土安全保障省の外局機関である CISA（Cybersecurity and Infrastructure Security Agency）は、LockBitは2020年のロシアのアンダーグラウンドフォーラムで発見されたと報告しています。ダークウェブやブラックマーケットにおいてロシア語を使う集団らしく、LockBitはロシアや、旧ソ連の国々からなる独立国家共同体（CIS）にはサイバー攻撃が及ばないように設定されていると指摘されています。国家的な犯罪者グループであるかどうかなどは不明ですが、ウクライナ情勢が不安定な時期に積極的な活動をしていることは間違いないようです。

ランサムウェアの脅威アクターを理解する: LockBit｜国土安全保障省サイバーセキュリティインフラセキュリティ庁（CISA）
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a

LockBitの被害に遭わないためにできること

前述したように、LockBitは非常に高度な技術を持った犯罪者グループが製作したランサムウェアであり、多様な方法で攻撃を仕掛けてきます。そのため、どれほど高度なセキュリティの仕組みを導入しても、「絶対に被害に遭わない」と言い切ることはできません。

また、こうしたサイバー犯罪グループが狙うのは、大企業や大きな組織だけとは限りません。昨今はサプライチェーン攻撃の入り口として、大企業とサプライチェーンで繋がった別の組織を狙うケースも増えています。誰でもLockBitの被害者になり得るということです。そのため、万が一ランサムウェア攻撃の被害に遭っても、システムを復旧できるようバックアップを多重に取っておく仕組が重要になります。

そして何よりも大切なことは「決して身代金を支払わない」ということです。機密情報の公開をちらつかせて脅す犯罪者グループも少なくありませんし、実際に情報が公開されてしまったケースも多数報告されています。しかし、身代金を支払ったからと言って、データが復号化される保証も、情報が公開されない保証もありません。企業の信頼はランサムウェア攻撃が成功してしまった時点で落ちています。身代金を支払っても回復することはできません。犯罪者グループに毅然とした姿勢を貫くことは、企業の信頼回復に繋がっていくでしょう。

あらゆる企業の情報セキュリティ対策を支援！ハイパーのセキュリティア推進部

詳細はこちら：https://www.securitier.jp/security/ciso/cisocs/

まとめ

ランサムウェア「LockBit」の攻撃によって名古屋港のシステム障害が発生
LockBitランサムウェア攻撃を実行するRaaS (Ransomware-as-a-Service)
進化を続けるLoackBitは世界中で被害を拡大しており、最近はmacOSを狙うものもある