ランサムウェア
概要
ランサムウェア(Ransomware)は、感染したシステムのファイルを暗号化したりデータを窃取したうえで、復旧・非公開を条件として金銭（主に暗号資産）を要求するマルウェアである。1989年の「エイズ・トロイの木馬」に起源し、2017年のWannaCry（ワナクライ）で世界中に大規模な被害をもたらした。今日では単なるマルウェアではなく、「RaaS」形態の産業化されたサイバー犯罪エコシステムへと進化している。初期は個人ユーザーを狙っていたが、近年は企業・病院・公共機関・サプライチェーンを標的とする二重恐喝（double extortion）手法が主流となった。
主な内容
感染経路
最も一般的な侵入経路は、フィッシングメールの悪意ある添付ファイル・リンク、脆弱なリモートデスクトップ（RDP）アカウントへのブルートフォース攻撃、VPN・ファイアウォールなど境界機器のゼロデイ脆弱性、そしてサプライヤーを介したソフトウェアサプライチェーン攻撃である。近年は、正規の管理ツールやリモート監視ソリューションを悪用して検知を回避する事例が増えている。
攻撃戦術の進化
- 二重恐喝: ファイル暗号化に加えて内部データを流出させ、その後、公開脅迫を併用する。
- 三重恐喝: 流出データを顧客・パートナーにまで拡散すると脅したり、DDoS攻撃を予告して圧力をかける。
- RaaSモデル: 開発組織がランサムウェアをサービスとして販売し、系列組織（affiliate）が実際の侵入を実行した後、収益を分配する。
- 初期アクセスブローカー: 企業ネットワークへのアクセス権限そのものをダークウェブで取引する市場が形成された。
代表事例
2017年のWannaCry、2019年に米国の複数の地方政府をまひさせた攻撃、2021年の米国SolarWindsのサプライチェーン事件とColonial Pipeline事案、2022年のコスタリカ政府機関への連鎖攻撃、2024年の国内外の大手病院や製造業者への侵害事例などが代表例である。特に医療機関への攻撃は患者の安全に直結するため、社会的な波紋が大きい。
対応・復旧戦略
中核原則は「予防・検知・復旧」の3段階である。予防面では、多要素認証（MFA）、最小権限の原則、パッチ管理、インターネットに露出する資産の最小化が重要である。検知面では、EDR・XDR、異常行動監視、ランサムウェア専用のバックアップ監視が活用される。復旧面では、3-2-1-1バックアップ戦略（3つのコピー、2種類の媒体、1つのオフサイト、1つのオフライン／不変ストレージ）と定期的な復旧訓練が不可欠である。インシデント発生時には、ネットワーク隔離、フォレンジック保全、法執行機関および専門機関への届出、そして「復旧の対価の支払いは再犯を招く」という原則に基づく慎重な意思決定が求められる。
法・制度的対応
韓国は情報通信網法と個人情報保護法を通じて侵害事故の届出義務を規定しており、科学技術情報通信部・KISAのランサムウェア対応支援体系が運営されている。米国はCISAを中心とした#StopRansomwareキャンペーンと制裁対象組織の指定を並行して進め、欧州連合はNIS2指令でサプライチェーンセキュリティの要求水準を強化した。
最新動向
2024～2025年の最大の変化は、RaaSエコシステムの分化と専門化である。大規模組織が取り締まりで解体されるにつれて構成員が小規模に分散して再編され、攻撃成功率を高めるために侵入前段階を自動化する「初期侵入型サービス」が増えた。また、生成AIを活用したカスタマイズ型フィッシングメールや音声詐欺（ビッシング）が増加し、攻撃の精巧さが大きく高まった。一方、防御側ではAI基盤の異常行動検知と不変バックアップ（immutable storage）、ゼロトラストアーキテクチャの導入が急速に広がっている。規制面では、事故報告期限を24～72時間に短縮する立法が各国で進行中であり、保険加入時にセキュリティ統制要件を厳しく審査する傾向も明確である。韓国国内でも主要情報通信基盤施設を対象とした模擬訓練とサプライチェーンセキュリティ点検義務が強化されている。
関連トピック
- [[マルウェア]]
- [[ゼロデイ脆弱性]]
- [[サイバーセキュリティ]]
- [[フィッシング]]
- [[ゼロトラスト]]
- [[情報保護法]]