2024年６月、KADOKAWAが大規模なランサムウェア攻撃の被害に遭ったことは大きなニュースとなりました。この事件ではサイバー犯罪集団の「 BlackSuit 」が犯行声明を公開しており、同社が身代金の支払いを拒否したことで窃取された機密情報が公開される事態へと発展しました。

BlackSuitとはどのような集団なのか

世界各国でさまざまなサイバー攻撃を繰り返しているBlackSuitは、2023年頃から観測されている比較的新しいサイバー犯罪集団です。しかしながら、攻撃技術の類似性などから現在活動を停止しているロシア系サイバー犯罪集団「Royal」の後継ではないかと推測されており、さらにルーツを辿れば「Conti」という同じくロシア系のサイバー犯罪集団へと行きつきます。

Contiは2020年のロシアによるウクライナ侵攻によって、支持派と反対派で内部分裂したことで活動を停止したと言われており、結果的に複数の集団が誕生することに繋がっています。ベースとなる攻撃技術の類似性から「ファミリー」として捉えている専門家も多いようです。

ロシア系であると推測されているものの、BlackSuitの攻撃そのものに政治的な意図があるようには見えないため、おそらく金銭の窃取を目的とした集団です。BlackSuitは教育、IT、ヘルスケアに関連する企業や組織を標的とすることが多いと言われています。しかしながら、「被害を公表していない」企業や組織の中には、病院などのヘルスケア分野が多く含まれているのではないかと推測している専門家もいます。システムダウンによって人命が損なわれてしまう可能性を配慮し、密かに身代金を支払ってしまうケースがあるのではないかというのです。真偽は明らかではありませんが、ありそうな話です。

KADOKAWAの事件による考察

日本国内でBlackSuitが注目されたのは、2024年6月に発生したKADOKAWAに対するランサムウェア攻撃であることは間違いありません。同社の複数のWebサイトの閲覧が困難となり、特に子会社であるドワンゴが提供するニコニコ動画は長期間サービスを停止せざるを得なくなりました。一部のデータは完全に失われ、復活できなかったサービスもあります。

しかし、こうしたシステム的な被害よりも深刻だったのは、多くの機密情報が公開されたことにあります。2024年7月１日BlackSuitは、ニコニコ動画で活動しているVtuberの個人情報をはじめ、有名な配信者への依頼書や企画書、各種契約書、ドワンゴ従業員のマイナンバーを含む個人情報、KADOKAWAグループが運営しているN高校の生徒の個人情報など多岐に渡る情報が公開されてしまいました。

有名な企業を狙い、サイバー犯罪集団が大規模な情報公開キャンペーンを行うのは、他の攻撃の成功率を上げる目的もあります。つまり、「身代金を支払わなければKADOKAWAのようになるぞ」といった脅迫です。まだまだ被害の全容や侵入の手口などすべてが明らかになっているとは言えませんが、システム復旧費用、損害賠償費用、そして何より企業の社会的な信用が失われたことによる損害額は計り知れません。おそらく要求された身代金よりも高額でしょう。宣伝効果は抜群です。

こうしたランサムウェア攻撃に対してKADOKAWAは確固たる態度で臨んでおり、情報公開に先んじて2024年6月28日に情報流出があったことを公表しています。これはランサムウェア攻撃の被害に遭った企業にとって非常に勇気のいる決断だったはずです。それでも、「身代金を支払わない」ことは、ランサムウェア攻撃の被害を最小限にとどめる重要なポイントだと言えます。実際の誘拐と違い、デジタルデータは簡単にコピーが可能であるため、一度外部に流出してしまった情報は「取り戻す」ことはできないのです。身代金を支払ってもデータが公開されるかもしれませんし、何度も繰り返し身代金を要求されるかもしれません。

BlackSuitへの対策方法

BlackSuitによるサイバー攻撃の対策は容易ではありません。侵入経路は多岐に渡っていることが確認されています。不正なリンクや実行可能なマクロなどを添付したフィッシングメール、映像や音楽などを無料でダウンロードできるサイト、不正な広告などからマルウェアを経由して侵入すると言われています。また、VPN機器などからの直接侵入、SNSなどのソーシャルエンジニアリングによる不正アクセスなどでの被害も観測されています。これらはランサムウェア攻撃の侵入経路としては比較的一般的です。

しかし、問題となるのは侵入した後です。BlackSuitは「Living Off The Land（環境寄生型）」の攻撃を使用することでも知られています。Living Off The Land攻撃では、商用ツールやオープンソースなど「そのシステムの中で使用されている可能性の高い」ツールを使用して攻撃を実行するため、内部を監視するセキュリティ対策の仕組みでも発見が容易ではありません。同じツールが「本来の用途」で使用されることもあるため、攻撃かどうかの判断が難しいのです。

基本的な対策としては、初期侵入を防ぐための「EPP（Endpoint Protection Platform）」に加えて、侵入後の振る舞い検知などの対策を行う「EDR（Endpoint Detection and Response）」の導入が挙げられます。また、システム全体を包括的に守る「XDR（Extended Detection and Response）」を導入する企業も増えています。

また、一般的なランサムウェア攻撃の被害としては、データの暗号化も挙げられます。システム内のデータが暗号化されてしまっても、正常な状態のバックアップが残っていればシステムを復旧することは可能です。ただし、バックアップデータの中にもマルウェアが含まれている可能性もあるため、システムの復旧は慎重に実施する必要があります。

まとめ

BlackSuitロシア系のサイバー犯罪集団であると推測されている
検知しづらいLiving Off The Land攻撃の手口も観測されている
バックアップも含めた包括的なセキュリティ対策が重要