組織を対象にしたサイバー攻撃として、世界中で大きな被害が報告されているのはランサムウェア攻撃です。被害に遭わないに越したことはありませんが、攻撃手段は日々巧妙化・複雑化しています。サイバー攻撃を完全に防ぐことが難しくなりつつあることを鑑みても、実際にランサムウェア攻撃の被害者になってしまった時に、どのように対応するべきなのかをきちんと取り決めておくことは重要です。

そこで今回は、もしもランサムウェアの被害に遭ってしまったら、どうすればいいのかについて解説します。

ランサムウェア攻撃に遭うと何が起こるのか

実際にランサムウェア攻撃の被害と認識できるのは、業務で使用しているPCなどのデバイスが動作不能になる、あるいは身代金の要求があった場合かもしれません。しかし、実際には、ランサムウェア攻撃を引き起こすマルウェアに感染した瞬間から被害は始まっています。マルウェアによってデータが窃取され、密かに攻撃者の手に渡っている可能性があるからです。

ランサムウェア攻撃のパータンとして知られているのは、PCなどデバイスの画面をロックする（あるいはロックしているように見せかける）「Blocker」、ファイルを暗号化して開けなくする「Cryptor」、ファイルを削除してしまう「Wiper」などがあります。いずれもシステムに障害が発生して業務が停止するという被害です。そして、システムのロック解除やファイルの復元と引き換えに、多額の仮想通過などの金銭を要求するのがランサムウェア攻撃です。

しかし、前述したように最近では情報の窃取による被害も増えています。機密情報を公開すると脅迫し、やはり金銭を要求します。窃取した情報を閲覧できるサイトのURLを記載したメールを送り付け、“この情報を公開されたくないのであれば身代金を支払え”と要求するわけです。送られてくるURLも本物で、実際にアクセスすると個人情報や企業間の機密情報などが攻撃者の手に渡ってしまったことを証明できるようになっています。

ランサムウェア攻撃だと思ったら迷わずネットワークから切断する

利用しているデバイスに不審な挙動が現れたら、迷わずネットワークからそのデバイスを切断して感染の拡大を防ぐことが大切です。有線で接続されているのであればLANケーブルを抜く、Wi-Fiで接続しているのならWi-Fiをオフにします。既にネットワークを通じて他のデバイスに感染が拡大している可能性もありますので、速やかに周囲に通知して他のデバイスについても調べる必要があります。

被害に遭ったデバイスは再起動してはいけない

PCの挙動がおかしいと感じると、つい再起動したくなる人も多いと思います。しかし、感染が疑われるデバイスは、再起動せずにそのままの状態を維持して情報システム部門や専門チームを呼ぶようにしましょう。シャットダウン処理や起動の処理によって暗号化や削除されるファイルが増える、あるいは起動しなくなるなど被害が拡大してしまう恐れがあります。

感染範囲の確認と情報を記録する

ネットワークから切断したデバイスを調査し、本当にランサムウェアの被害に遭っているのか、影響範囲はどこまでなのか、どのような情報が窃取されたのかなどを調査していきます。

その後、暗号化や削除されたデータの復元も試みます。復元ツールなどを使っても暗号化や削除されたデータが復元できる保証はありません。そんな時は、バックアップからデータを復元することになります。

ところが、実は最近のランサムウェアは感染してから、攻撃を開始するまでに時間がかかることが多く、バックアップデータの中に既にランサムウェアが含まれているケースも少なくありません。そのためバックアップデータについても安全かどうかを確認する必要があります。なお、事前に安全なバックアップが出来ていない場合、あるいはバックアップしていても情報がかなり古い場合には、多くの情報が失われてしまう可能性があります。

安易に身代金を支払わない

ランサムウェアの特徴は、多額の身代金を要求されることにあります。しかし、専門家に相談することなく、安易に身代金を支払うことは絶対にやめましょう。身代金を支払っても暗号化や削除されたファイルが復元される保証はありません。窃取された機密情報に至っては、繰り返し身代金を要求されてしまう可能性もあります。

しかし、企業の中には業務への影響や窃取された機密情報が公開されるリスクなどから、身代金を支払う決断をすることもあります。賛否の分かれる問題であることは間違いありませんが、犯罪者に屈することなく身代金を支払わないという考え方が主流のようです。

専門家に相談する

ランサムウェアに限らず、サイバー攻撃への対策は情報セキュリティに関連する高い専門知識が必要です。中小規模の企業においては、社内にセキュリティの専門家がいないことの方が多く、ランサムウェアの被害に遭って呆然としてしまうことも少なくないでしょう。

そうした企業においては、普段からセキュリティ対策を依頼しているベンダーにランサムウェア攻撃の被害に遭ったことを報告し、次のアクションを相談してください。あるいは、これまで付き合いのないセキュリティベンダーであっても、セキュリティ被害の対応を飛び込みで受け入れてくれることもあります。

当然ですが、ランサムウェア攻撃を始めとするサイバー攻撃は犯罪行為です。被害に遭った場合には、まず管轄の警察に被害を届けることが重要です。

警察への相談窓口（都道府県警察本部のサイバー犯罪相談窓口等一覧）https://www.npa.go.jp/bureau/cyber/soudan.html

公的機関のランサムウェア対策窓口もあります。

IPAのランサムウェア対策特設ページhttps://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html

IPAの情報セキュリティ・ポータルサイト「ここからセキュリティ！」https://www.ipa.go.jp/security/kokokara/

JPCERTコーディネーションセンターのランサムウェア特設サイトページhttps://www.jpcert.or.jp/magazine/security/nomore-ransom.html

一般財団法人日本サイバー犯罪対策センター（JC３）「ランサムウェア対策についてhttps://www.jc3.or.jp/threats/topics/article-375.html

また、最近ではランサムウェア撲滅に向け、法執行機関および民間組織が連携して取り組むことを目的とした「No More Ransom」プロジェクトの活動も活発です。

同プロジェクトでは、ランサムウェアの感染を防ぐためのアドバイスや、暗号化されたデータを復元するツールを配布するなどの活動を通じて、ランサムウェアの被害者が攻撃者に不当な金銭を支払うことなく、暗号化されたデータを取り戻す支援をしています。

「No More Ransom」プロジェクト
https://www.nomoreransom.org/ja/index.html

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3DulH7UYg4_Q65n7rx%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

https://note.com/hyper_voice/n/n080dc2f7eff0

まとめ

・ランサムウェア攻撃に遭ったら、まずはデバイスをネットワークから切断する
・デバイスは再起動せずに専門家に相談する
・安易に身代金を支払わない