ランサムウェアは、企業や公共機関を標的とすることが多く、社会的に大きな問題となっています。では、ランサムウェアとはどのようなものなのでしょうか。まずは、ランサムウェアの定義と仕組みを見ていきましょう。

ランサムウェアの定義と基本的な仕組み

ランサムウェアとは、「身代金（ランサム）」と「ソフトウェア」を組み合わせて造語です。警察庁では、ランサムウェアを以下のように定義しています。

主に、PCなどのエンドポイントデバイスかに感染し、対処が遅ければネットワークを経由して被害を広げます。ランサムウェアはデータを暗号化することで利用不能にする悪意あるプログラムです。攻撃者は、暗号化されたデータを復旧する鍵と引き換えに、身代金を要求してきます。

ランサムウェアは主に、次のような仕組みで感染して被害を拡大します。

1. エンドポイントに感染

攻撃者は、フィッシングメールや改ざんされたWebサイト、不正リンクを通じて、ランサムウェアをターゲットとなるエンドポイントにダウンロードさせます。業務に利用しているソフトウェアの脆弱性や不適切なアクセス権限設定を悪用して侵入する場合もあります。

2. システム内でマルウェアが展開

エンドポイントに感染したランサムウェアはシステムに侵入した後、文書やデータベースなどの特定のファイルをスキャンします。対象となるファイルを見つけて暗号化し、利用不能にします。暗号化にはAES（共通鍵暗号方式）やRSA（公開鍵暗号方式）といった高度な技術が使われるため、暗号化の解除はできません。

3. 暗号化後の行動

暗号化が完了すると、システムにメッセージを表示して、身代金の支払いを要求します。支払い方法は、現金よりもビットコインなどの暗号通貨が指定されることが多い傾向が高いです。

4. バックドアの設置

一部のランサムウェアでは、次の侵入に備えてPCなどに「バックドア」を設置するものもあります。バックドアが設置されると、システムが復旧しても簡単に再攻撃を受けてしまいます。

このような流れを短時間で行われてしまうため、感染後の復旧や再発防止が難しいのです。

ランサムウェアの情勢

ランサムウェアの被害は、国内外で急増しています。警察庁によれば2021年以降、企業や団体などにおけるランサムウェア被害の報告は高水準で推移しています。 IPAの「情報セキュリティ10大脅威 2024」によれば、2023年の情報セキュリティ脅威のうち、組織向けの脅威1位は「ランサムウェアによる被害」です。特に近年では、「二重恐喝」と呼ばれる手口が増えています。これは、身代金を要求するだけではなく、支払いが行われない場合は盗んだ機密データを公開するという脅迫を行うものです。また、企業システムから窃取したデータを暗号化せず、データ公開を脅し文句として身代金を要求する手口の「ノーウェアランサム」も増加しています。

ランサムウェアの感染経路については、VPN機器が47％、リモートデスクトップ（RDP）が36％と、全体の82％を占めています。つまり、機器や認証情報の脆弱性が攻撃のターゲットになっているということです。

このように、ランサムウェア攻撃は巧妙化の一途をたどり、従来のフィッシングメールやなりすましメールを対象とした防御だけでは防ぎきれなくなっています。

ランサムウェアの歴史と進化とその影響

ランサムウェアが初めて確認されたのは、1989年の「AIDS Trojan」です。初期型のランサムウェアは、フロッピーディスクを介した感染でした。特定の条件化でデータを暗号化し、複合のための身代金を要求するものです。しかし、当時の暗号化技術は現代ほど高度なものではなかったため、成功率は低いものでした。

インターネットの普及とともに、ランサムウェアは「ばらまき型」の無差別攻撃が主流となります。不特定多数にフィッシングメール・スパムメールを送信して、添付ファイルやリンクを介して感染を広げる方法です。しかし、攻撃対象が絞られていないため、経済的損害も限定的なものでした。

その後、ランサムウェアの手法は高度化し、近年の「標的型攻撃」や「侵入型ランサムウェア」へと発展しました。暗号化技術も高度化したことで、その被害は深刻になり、経済的影響はもちろん社会的影響も懸念されています。

例えば、企業がランサムウェア攻撃を受けたことで情報漏えいが起これば、被害者から法的責任を追求されることも考えられます。顧客からの信頼低下から顧客離れが起き、新規顧客獲得も難しくなります。また、医療機関がランサムウェアの攻撃を受けた場合、診療システムの停止や患者の生命に直接関わるシステムが停止する可能性もあるのです。

今やランサムウェア攻撃は、経済的損失だけではなく、社会的に大きな影響とリスクをともなう脅威になっています。

ランサムウェアの感染は事前に防ぐことが大前提です。しかし、100％防げるものではありません。ここでは、仮にランサムウェアに感染した場合はどのようなことが起こるのかを見ていきましょう。

データの暗号化とシステムロック

ランサムウェアに感染すると、データやシステムが暗号化されます。暗号化されたファイルやシステムにはアクセスできません。AESやRSAなどの高度な技術で暗号化されるため、被害者が自ら解除（復号化）することは不可能です。また、ランサムウェアの感染が広まると、同ネットワーク上のPCや各種サーバーのシステムがロックされてしまい、企業では業務が停止してしまうケースもあります。復旧作業には、多大なコストと時間が必要になるでしょう。

身代金要求のメッセージと支払い要求

ランサムウェアに感染してデータやシステムが暗号化された後、PCの画面には身代金を要求するメッセージが表示されます。その内容は「データの暗号化を解除するための鍵を提供する代わりに、身代金の支払いを求める」指示です。支払い方法には主に、追跡が困難な暗号通貨（ビットコインやイーサリアムなど）が指定されるケースが増えています。また、期限内に支払いを行わなければ、データが永久に失われる可能性もあります。ただし、要求通りに身代金を支払ったとしても、データが復旧する保証はありません。

感染後の企業への影響

ランサムウェア感染後は、企業に深刻な影響を及ぼします。例えば、業務停止による経済的損失やビジネスの機会損失が発生したり、顧客や取引先からの信頼を失ったりする可能性もあります。攻撃者にデータが奪われ情報漏えいが起これば、個人情報保護法が適用されて法的な責任および賠償金を負ってしまうこともあるでしょう。

情報漏えいについては、【 「情報漏えい」の記事】にて詳しく解説していますので、あわせてご覧ください。

ランサムウェアは、様々な手段を使って送り込まれます。ここでは、あらためて主な感染経路を確認していきましょう。

VPN機器の脆弱性を利用した感染

VPN（Virtual Private Network）は、LAN外の遠隔地から安全な通信を可能にする技術です。しかし、設定や管理に不備があると、攻撃者が不正アクセスをしてくる可能性があります。また、ファームウェアが更新されていないVPN機器は、ネットワーク全体の脆弱性になるのです。事実、警察庁では2024年上半期のランサムウェア感染経路について、47件中22件（47％）がVPN機器であるという調査結果が報告されています。

リモートデスクトッププロトコル（RDP）の悪用

リモートデスクトッププロトコル（RDP）は、遠隔地からPCやサーバーを操作するための通信プロトコルです。例えば、自宅のPCからオフィスに設置してあるPCを操作する際に活用します。リモートワーク活用時の認証情報漏えいや設定ミスといった脆弱性が、ランサムウェアの感染経路になっているのです。警察庁の調べでは、2024年上半期、47件中17件（36％）の感染経路がリモートデスクトップであると報告されています。

フィッシングメールと添付ファイルによる感染

ランサムウェアの感染経路で一般的なものが、フィッシングメールでの攻撃です。攻撃者は、契約書や請求書添付のメールを装ったものなど、業務メールに似せたメールを巧妙に作成し、添付ファイルを開かせたり、メール内のリンクをクリックさせたりします。これにより、ランサムウェアがPCにダウンロードされて感染するのです。フィッシングメールは、特定の企業や社員を狙う標的型攻撃が増えています。

ソフトウェアの脆弱性を狙った攻撃

ランサムウェアは、ソフトウェアの脆弱性を悪用します。OSやファームウェアなど、未更新のソフトウェアには「セキュリティホール」が生まれやすく、攻撃者はこの脆弱性を利用して不正アクセスを行うのです。特に、公開されていない（セキュリティホールが発見されて0日目）脆弱性を利用した攻撃の「ゼロデイ攻撃」は、修正パッチが提供される前に感染が拡大します。そのため、常に最新のソフトウェアに更新しておくことはもちろん、ゼロデイ攻撃に備えた施策も欠かせません。

不正なソフトウェアのダウンロード

信頼性の低いWebサイトからのソフトウェアダウンロードや、不正なインストーラーからのソフトウェアインストールは、ランサムウェア感染の可能性を高めます。例えば、攻撃者は人気のあるアプリケーションを装った、改ざんされたインストーラーを配布して、ランサムウェアを侵入させます。セキュリティポリシーが整っていない企業では、従業員が不用意にソフトウェアをダウンロードしてしまい、感染が広がることもあるのです。

では、ランサムウェア感染はどのように防げばよいのでしょうか。ここでは、ランサムウェア対策の具体的な方法を見ていきましょう。

VPN機器の更新とセキュリティ強化

VPN機器は、古いファームウェアや未更新の設定が大きなリスクになります。ファームウェアは定期的に更新し、常に最新の状態を保つようにしましょう。不要なアクセス権限やVPN設定を無効にするなど、接続設定についても定期的に見直すことが重要です。また、VPN接続のログ監視なども行うことで、不正アクセスや異常な行動を見逃さないようにしましょう。

RDPのセキュリティ強化

RDPは、設定の不備がランサムウェアの攻撃対象になります。例えば、弱いパスワードの設定は、ブルートフォース攻撃（パスワードの総当たり攻撃）などによって不正アクセスのリスクが高まります。RDPのセキュリティ強化には、強固なパスワードを設定することも大切ですが、併せて多要素認証（MFA）を導入すると効果的です。また、アクセスできるIPアドレスを限定するなどのアクセス制御も行いましょう。使っていないRDPは無効にして、不正アクセスのリスクを最小限に抑えることが重要です。

多要素認証については、【「多要素認証」の記事】にて詳しく解説していますので、あわせてご覧ください。

フィッシング対策

フィッシングメールは、サイバー攻撃の主な原因のひとつです。疑わしいメールは、必ず送信者のアドレス（ドメイン）を確認しましょう。また、メールのタイトルや文章、内容に違和感がある場合は、メールを開封しないこと、添付ファイルやメール内のリンクをクリックしないことが大切です。セキュリティソフトを導入してメールスキャンを行うことで、ランサムウェアをはじめとしたマルウェアの感染を大幅に低減します。

ソフトウェアの定期的なアップデート

ソフトウェアの脆弱性は、定期的なアップデートによって対策しましょう。OSやアプリケーション、ブラウザなどの脆弱性は悪用させるケースが多いためです。定期的に提供されるパッチを当てておくことで、マルウェアの感染を低減できます。ネットワーク機器のファームウェアアップデートも忘れずに、定期的に更新しましょう。また、ソフトウェアのアップデートに加えて、脆弱性のスキャンツールなども使用することで、潜在的なリスクを排除できます。ソフトウェアアップデートについては、自動更新機能があれば活用しましょう。その上で、ソフトウェアが最新版であることを定期的にチェックすることが大切です。

正規のソフトウェアを使用すること

PCをはじめとしたエンドポイントデバイスには、正規のソフトウェアのみを使用しましょう。信頼できるサイトや提供元以外からのダウンロードはランサムウェア感染の大きな原因になります。また、ダウンロードをする前に、提供元の評判やデジタル署名を確認することも大切です。

ランサムウェアに感染した場合は何をしたら良いのでしょうか。ここでは、感染した場合の対処法について見ていきましょう。

感染を確認した際に最初に取るべき行動

ランサムウェアに感染した場合、初動が大切です。感染を確認したら、まずは対象のデバイスをネットワークから切り離して隔離してください。例えば、LANケーブルの抜去や無線LANの無効化が最初に取るべき行動です。ネットワーク上の他のデバイスへの感染を防ぎ、システム全体への拡大リスクを低減できます。また、調査に必要なログなどを保存するため、デバイスの電源は落とさないようにしましょう。その後、IT部門やセキュリティ部門へ迅速に連絡します。専門の部門では、ランサムウェア感染の規模や影響を評価する体制を整えましょう。システム管理者やセキュリティ担当者が状況を確認して、適切な対処を指示することが重要です。初動を適切に行えば、被害を最小限に抑えることができ、復旧時間やコストも低減できるでしょう。

データ復旧の方法とバックアップの重要性

ランサムウェアに感染しても、定期的なバックアップデータがあれば業務復旧もスムーズです。暗号化されたデータも、直前のデータまで復旧できるでしょう。ただし、バックアップデータからの復旧を行う前には、必ず「バックアップデータがランサムウェアに感染していないか」を確認することが大切です。

日頃からデータをバックアップしておくことで、ランサムウェアなどのマルウェア感染だけでなく、データの破損やご操作によって喪失したデータの復旧がスムーズになります。また、過去の様々な時点のデータへリカバリできるバージョン管理（変更履歴の管理）をしておくことが重要です。

安易に身代金を支払わない

ランサムウェアに感染しても、身代金を払うという選択肢は推奨されていません。支払いをしてもデータを復旧できる保証がないことや、支払いがさらなる犯罪に繋がる可能性があるためです。ランサムウェアの被害を受けた場合は、デバイスの操作ログや通信ログを保存して、速やかに警察のサイバー犯罪相談窓口に通報・相談をしましょう。警察庁では、以下のように明示されています。

ランサムウェア被害を抑えるためには、関連する用語や概念についても正確に理解しておくことが大切です。ここでは、ランサムウェアに関連する、以下3つの用語について見ていきましょう。

• マルウェア
• コンピュータウイルス
• トロイの木馬