ランサムウェアとは？事例、予防策、検知方法

ランサムウェア攻撃は増加しています。2024年には世界中の組織が5,414件を超える攻撃を受け、前年から11%増加しました。この増加の背景には、犯罪者が不正行為に利用するフィッシング、エクスプロイトキット、脆弱なクラウドサービスがあります。企業規模を問わず、侵入やデータ損失、長期にわたる業務停止によって多大な損失を被るリスクがあります。そのため、企業はランサムウェアへの理解を深め、攻撃への対策を講じることが重要です。

この記事では、ランサムウェアとは何か、企業にどのような脅威をもたらすかを解説します。続いて、組織への影響、ランサムウェアの歴史、さまざまな感染経路を取り上げます。さらに、ランサムウェアの種類、サイバー犯罪者が使う手法、著名な事例を紹介します。最後に、ランサムウェア攻撃とは何かを説明し、攻撃を防ぐための対策と、SentinelOneが各対策をどう強化するかを解説します。

ランサムウェアとは？

ランサムウェアは、被害者のファイルをロックまたは暗号化し、復号鍵と引き換えに身代金を要求するマルウェアです。その形態は、単純な画面ロック型から、データを組織的に盗み出して公開を脅迫する高度な暗号化型まで多様化しています。 2024年の世界の身代金要求額は平均で$2.73 millionと推定され、企業はデータを失うか、多額の身代金を支払うかという選択を迫られています。

侵入とは、攻撃者が標的のソフトウェアの弱点やユーザーの習慣につけ込む攻撃行為です。ランサムウェアは、組織の業務を麻痺させるだけでなく、顧客の信頼も損なう脅威です。その影響を理解するには、最初の侵入から暗号化の各段階まで把握する必要があります。次のセクションで詳しく見ていきます。

ランサムウェアが企業に与える影響

1件のランサムウェア攻撃でも、組織に甚大な被害をもたらします。生産が停止し、データベース内のデータが使えなくなり、従業員がアプリケーションにアクセスできなくなることがあります。平均身代金額は上昇しており、攻撃者が高額の支払いを得られるという確信を強めていることを示しています。顧客情報の漏洩でも、事業運営を麻痺させるシステム停止でも、影響は金銭的損失だけにとどまりません。ランサムウェア攻撃を受けた企業が被る、4つの重大な損失をご紹介します:

1. 業務の中断： 重要なファイルやサーバーがロックされると、従業員は顧客向けの販売業務、人事記録、サプライチェーン管理アプリケーションを利用できず、製造ラインも停止します。わずかな中断でも、注文の遅延やサービスの停止を招き、顧客の信頼を損ないます。バックアップが古い場合やバックアップも暗号化された場合、復旧には数日から数週間かかることがあります。その間に、深刻な評判の低下や売上の損失が生じる可能性があります。
2. データの損失と侵害の開示： 近年のランサムウェア攻撃には、データの窃取も伴う傾向があります。攻撃者は、顧客やパートナーに関する情報を公開しない見返りに、標的の組織へ金銭を要求します。情報が漏洩すれば、開示義務が生じ、規制当局による措置や罰則につながる可能性があります。侵入と情報の公開が組み合わさることで、ランサムウェアの脅威はさらに深刻になります。
3. 金銭的損失と評判の低下： 身代金による直接的な金銭的損失に加え、こうしたサイバー攻撃では、高額なフォレンジック調査やシステムの再構築が必要になり、集団訴訟に発展する場合もあります。顧客は将来同様の問題が起きないと考える他社に乗り換え、投資家は経営陣のリスク管理能力に疑念を抱く可能性があります。こうした侵害を防ぐため、保険会社が保険料を引き上げたり、保険契約を解除したりする場合もあります。傷ついたブランドイメージの回復には時間がかかり、数年を要することもあります。
4. ステークホルダーと顧客の信頼低下： 侵害が検知されると、取締役会や規制当局、主要顧客はセキュリティレベルに疑念を抱き始めます。信頼の喪失は大きな代償を伴い、契約の解除やパートナーからの要件の厳格化につながりかねません。信頼を取り戻すには、管理体制の強化、継続的なスキャン、そして適切な従業員教育を示す証拠が必要です。組織が強固なランサムウェア対策に投資すれば、長期的な安心感もさらに高まります。

ランサムウェアの歴史

ランサムウェアの起源は、1980年代後半に登場した単純な恐喝型トロイの木馬にさかのぼります。その後、暗号化を利用する高度な攻撃へと進化しました。高度な暗号化技術や潜伏手法を取り込み、サイバー犯罪における主要な脅威の一つとなっています。以下では、犯罪者の戦略がどう変化してきたかを4つの段階で示します。

1. PC Cyborg Trojan（1980年代後半）： 1989年に開発された“AIDS Trojan”または“PC Cyborg”は、コンピューターに感染し、機能の復旧と引き換えに支払いを要求しました。これは、ランサムウェア攻撃の定義を「特定のデータを暗号化し、支払いを要求するソフトウェア」へと変えた、記録上最初の事例です。現在の定義から見れば比較的単純ですが、現代の恐喝型攻撃の概念的な基礎を築きました。攻撃経路は至って単純で、会議の参加者に配布された感染済みのフロッピーディスクを通じてウイルスが拡散しました。
2. 暗号化型ランサムウェア（2000年代初頭）： 2000年代初頭には、RSAやAESなどの最新のアルゴリズムでデータを暗号化する、より高度なランサムウェアが登場しました。当時はウイルス対策ソフトによる検知が遅く、こうしたランサムウェアを回避するのは困難でした。攻撃者は初期のデジタル決済手段や電信送金による支払いを要求したため、法執行機関が資金の流れを追跡することも困難でした。その後、別の形態のセキュリティ脅威も現れ、セキュリティ専門家は複雑なアルゴリズムを用いる脅威を「暗号化型ランサムウェア」などと呼ぶようになりました。
3. 新たな恐喝手法： 2010年代には、犯罪に使われる手法が高度化しました。その一例が、 2017年のWannaCryランサムウェアです。このワーム型攻撃は、世界各地の病院や企業の業務を数時間で停止させました。サイバー犯罪者はNSAから盗まれたエクスプロイトを使用し、強固な組織であってもランサムウェア攻撃の波を止められないことを示しました。さらに、RaaS（サービスとしてのランサムウェア）が登場し、経験のない者でも犯罪に参入できるようになりました。
4. 二重恐喝と地政学的な利用（2020年代～2025年）： 現在、サイバー攻撃者はまずデータを盗み、要求に応じなければ公開すると脅します。これは二重恐喝と呼ばれます。そのため、バックアップがあっても、組織はデータ漏洩によって生じるコストを考慮しなければなりません。一方、国家が支援する攻撃では、スパイ活動や破壊を目的としてランサムウェアが使われることもあり、金銭的な目的と政治的な目的の区別が難しくなります。現在の脅威は、ステルス技術、AI、用途に特化したツールの使用により、以前にも増して巧妙化しています。

ランサムウェアはどのように広がるのか？

ランサムウェアの感染経路は複数あります。添付ファイル付きのスパムメールから侵害されたクラウドサービスまで、さまざまな経路でシステムに侵入します。

サイバー犯罪者は、保護されていないサーバーや従業員の不注意など、標的の弱点に合わせて戦略を変えます。ランサムウェアを送り込み、組織のインフラに侵入させる主な手口は次の5つです。

1. フィッシングメールと悪意のある添付ファイル： フィッシング メールは従業員を欺き、悪意のある文書を開かせたり、ハッカーのウェブサイトにつながるリンクにアクセスさせたりします。マクロが実行されたり、スクリプトの脆弱性が悪用されたりすると、暗号化が始まるか、バックドアシェルが起動します。従業員がメール内のリンクをクリックしたり、メールで個人情報を提供したりしないよう訓練を受けていても、フィッシングは犯罪者が企業ネットワークに侵入するための確実な手口であり続けています。コンテンツフィルターと高度なメールゲートウェイを使用する企業は、こうした侵入率を大幅に低減します。
2. ソフトウェアの脆弱性の悪用： ランサムウェアは、脆弱なフレームワーク、オペレーティングシステム、残された開発・テスト用インターフェースを狙います。攻撃者は細工したパケットやコマンドで制御を奪い、ユーザーに気づかれずにランサムウェアをインストールします。適時のパッチ適用、脆弱性スキャン、ネットワークの分割によって、こうした侵入経路を減らせます。パッチを一つ適用し損ねただけで、システム全体が停止することは、大規模な攻撃でも明らかになっています。
3. リモートデスクトッププロトコル（RDP）への攻撃： 認証情報が弱い、または使い回されている セッションの不十分または使い回しの認証情報により、攻撃者は推測やブルートフォースでセッションに侵入できます。ネットワークに侵入すると、攻撃者は迅速にランサムウェアを複数の共有やドメインコントローラーに拡散します。多要素認証の導入、RDPアクセスのVPN限定、外部RDPの無効化などでリスクを大幅に低減できます。これにより、盗まれたパスワードだけではアクセスできなくなります。 セッションには、攻撃者がパスワードの推測や総当たり攻撃で侵入する可能性があります。ネットワークに侵入すると、攻撃者はすばやく移動し、複数の共有領域やドメインコントローラーへランサムウェアを拡散します。多要素認証の使用、RDPアクセスのVPN経由への制限、外部からのRDP接続の無効化によって、リスクを大幅に抑えられます。これらを組み合わせれば、盗まれた、または推測されたパスワードだけではアクセスできなくなります。
4. ドライブバイダウンロードと悪意のある広告： フィッシングサイトや侵害された広告サーバーは、更新されていないブラウザに攻撃コードを送り込みます。従業員が感染したページを訪れたり、広告を偶然目にしたりすると、隠されたスクリプトが実行され、ランサムウェアがダウンロードされます。エンドポイントのアンチウイルス製品や新しいブラウザはこうしたスクリプトを悪意あるものとして検知できますが、更新が適用されていない一般従業員やシステムは脆弱です。高度なコンテンツフィルタリングと組み合わせることで、この対策はドライブバイ攻撃による侵入の可能性を大幅に低減します。
5. サプライチェーンの侵害： 犯罪者はベンダーのソフトウェア更新を改ざんし、感染したパッチやライブラリの依存関係を配布することもあります。組織が「公式」の更新を入手すると、隠されたマルウェアが実行されます。この侵入手法は、特に影響の大きいサプライチェーン侵害で増加しています。防止策には、各ソフトウェアパッケージの検証、コード署名の確認、新たに導入するライブラリのスキャンがあります。

ランサムウェアの種類

ランサムウェアは進化を続けており、暗号化、侵入、恐喝の方法は種類によって異なります。画面をロックするものもあれば、情報を漏洩させるものもあります。こうした違いを知ることが、適切な防御策の構築につながります。以下では、ランサムウェアの発展と多様化を示す7つの主な種類を取り上げます。

1. 暗号化型ランサムウェア： この種類は強力なアルゴリズムでユーザーのデータを暗号化し、復号鍵の購入を被害者に迫ります。犯罪者は通常、被害を最大化するため、ディレクトリ全体や業務上重要な共有領域を感染させようとします。バックアップも影響を受けた場合や、そもそもバックアップがない場合、復旧は極めて困難です。大きな注目を集めた侵入攻撃の多くは、暗号化による恐喝を目的としています。
2. ロック型ランサムウェア： 暗号化によってシステムにアクセスできなくなる場合とは異なり、ロッカー型ランサムウェアはオペレーティングシステムを停止させます。ファイルが暗号化されていなくても、通常どおりアクセスできる状態に戻すには身代金の支払いを要求されます。ただし、システムの機能が失われれば、個人や企業だけでなく、職場にも深刻な影響が及びます。暗号化は行われないため、高度なフォレンジック技術でこの種のランサムウェアによるロックを解除できれば、データの一部を復旧できる可能性があります。
3. 二重恐喝型ランサムウェア： サイバー犯罪者はデータを暗号化する前に盗み出し、要求に応じなければ公開または売却すると脅します。バックアップだけではデータの漏洩を防げないため、被害者への圧力は高まります。攻撃者は漏洩サイトにデータのサンプルを掲載することが多く、組織は評判の低下や法的な影響にも直面します。 二重恐喝では、身代金を支払っても、犯罪者が約束を破る可能性があるため、データの機密性が保たれる保証はありません。
4. サービスとしてのランサムウェア（RaaS）： RaaSモデルでは、経験豊富な脅威アクターが、技術力の低いアフィリエイトにランサムウェアキットを提供します。アフィリエイトは標的を攻撃し、脅迫によって得た金銭の一部をグループに渡し、感染対象を広げます。この協業により、初期アクセスブローカーから交渉担当者まで、侵入の各段階に特化した役割を担う市場が活況を呈しています。RaaSによって攻撃に必要な技術水準が下がり、世界中でランサムウェア攻撃が増加しています。
5. ファイルレスランサムウェア： ファイルレス型は主にメモリ上で動作し、リソース消費が少なく、ディスクへの書き込みもほとんど行いません。そのため、従来のウイルス対策ソフトウェアやスキャンツールでは検知できない場合があります。マルウェアの作成者はPowerShellなどのシステムユーティリティを使い、暗号化コマンドをひそかに実行します。こうした侵入に対抗するには、高度な振る舞いベースの検知と、スクリプトへのアクセス制限を組み合わせる必要があります。
6. モバイルランサムウェア： スマートフォンやタブレットを標的とするこれらの亜種は、デバイスへのアクセスを遮断したり、端末内のファイルを暗号化したりします。サイバー犯罪者は、第三者のアプリストアを利用したり、更新プログラムに組み込んだりして、悪意のあるアプリを配布することがあります。被害者は、端末内の個人データや業務用ログイン情報を取り戻すために、身代金の支払いを迫られます。アプリのダウンロードを厳格に管理し、デバイスを定期的にバックアップすることで、モバイル端末への侵入を大幅に防げます。
7. ワイパー型ランサムウェア： 破壊を目的とするこの亜種は、支払い後に復号するのではなく、データを削除または破損させます。従来のランサムウェアと似た脅迫文を使う場合もありますが、真の目的は破壊や混乱かもしれません。サイバー犯罪者はワイパー型の亜種を使い、事業運営の妨害や重要インフラの破壊工作を行うこともあります。復旧キーがないため、データを復元するにはバックアップと綿密なインシデント対応計画が頼りです。

詳しく見る： ランサムウェア攻撃の種類

ランサムウェア攻撃でよく使われる侵入経路

ランサムウェアは、フィッシングやパッチ未適用のアプリなどに加え、複数の経路と手法で侵入・展開します。攻撃者は、盗まれたログイン認証情報や悪用可能なパートナー接続など、企業の弱点を絶えず探っています。ここでは、特によく使われる5つの経路と、最初の侵害からデータの暗号化に至るまでの手口を説明します。

1. フィッシングとソーシャルエンジニアリング： 偽サイトへのリンクや、ランサムウェアを起動するマクロ感染の添付ファイルを含むメールなどで、従業員を狙います。こうしたメッセージは、人事部門、財務部門、取引のあるベンダーから届いたように見せかけます。コードが実行されると、マルウェアは急速に拡散し、ローカルディレクトリや割り当てられた共有フォルダーを狙います。スパムフィルター、従業員への啓発、二要素認証によって、侵入の成功率を下げられます。
2. クレデンシャルスタッフィングとパスワードスプレー攻撃： インターネット上に大量のアカウント情報が流出しているなか、サイバー犯罪者は同じ認証情報を使って企業のVPNやリモートアクセスへの侵入を試みます。標的を特定すると、ネットワークにマルウェアを送り込み、多くの場合は正規ユーザーになりすまします。強固なパスフレーズポリシーや短期間でのパスワード変更の義務付けも、侵入経路を減らします。さらに、MFAの導入やデバイスのコンテキストに基づく制限は、パスワードを使った攻撃の成功率を下げます。
3. エクスプロイトキットとマルバタイジング： 攻撃者はまず、広告や自ら管理するWebサイトに攻撃コードを埋め込み、ユーザーを狙ったページへ誘導します。続いて、脆弱なブラウザーやプラグインを通じてランサムウェアを実行します。広告ネットワークが侵害されると、信頼できるニュースサイトやECサイトにも悪意のある広告が表示される可能性があります。コンテンツフィルターの使用、ブラウザーへのパッチ適用、プラグインの利用制限によって、こうした侵入を防げます。
4. リモートデスクトップサービスとVPNの脆弱性： 設定に不備のあるRDPや、既知のCVEを抱える旧式のVPNは、依然として攻撃の主な侵入経路です。攻撃者はブルートフォース攻撃や脆弱性の悪用によって侵入し、標的のサーバーにランサムウェアを直接ダウンロードして実行します。アカウントロックアウトやファームウェア更新などの設定が不十分だと、容易に侵入されます。MFAを導入した企業VPNの背後にRDPを配置して保護層を追加することも、こうした弱点の解消につながります。
5. サプライチェーンの侵害： 犯罪者は、信頼できるベンダーやライブラリから提供されるソフトウェア更新を改ざんし、悪意のあるモジュールを環境内に持ち込みます。更新がパッチ管理システムやビルドパイプラインに取り込まれると、そのコードが実行されます。RaaSグループは侵害されたベンダーからアクセス権を購入し、さらに大規模な企業への侵入にもつなげます。ベンダーのリスク評価、コード署名の検証、スキャンによって、こうした隠れた侵入経路を防げます。

ランサムウェアの仕組み

ランサムウェアの仕組みを詳しく知れば、潜伏の手口、進化の速さ、危険性が見えてきます。攻撃者は複数の侵入手法と暗号化の手順を組み合わせ、身代金を要求します。その要求は曖昧でも、強い圧力となり得ます。ここでは、この悪循環を構成する5つの主要なプロセスを説明します。

1. 初期アクセスとペイロードの配信： 犯罪者はフィッシング、エクスプロイトキット、盗まれたログイン情報などを通じて侵入口を見つけ、マルウェアを送り込みます。このペイロードは、システム構成、ウイルス対策ソフトの有無、ユーザー権限を確認することがよくあります。活動しやすい環境を見つけると、サブモジュールを増やしたり、新たに作成したりします。この段階で検知できれば、侵入の連鎖を断ち切れます。
2. 権限昇格と横展開： 標的のシステムに侵入すると、犯罪者は抜け穴や初期設定のパスワードを悪用し、一般ユーザーから管理者へと権限を昇格させます。その後、共有フォルダー、バックアップサーバー、ドメインコントローラーを探しながらネットワーク内を移動します。セキュリティログやEDRエージェントを無効化して、侵入の進行を隠します。こうした手口を組み合わせ、暗号化を始める前に侵入範囲を広げることで、被害を最大化します。
3. データの持ち出しと二重脅迫： 近年の攻撃では、暗号化する前に機密情報を別のサーバーへ持ち出します。サイバー犯罪者は、盗んだ情報を公開しない見返りに、標的へ身代金を要求します。こうした手口で交渉の圧力が高まります。情報漏洩の恐れがあれば、バックアップだけでは対処できません。侵入と脅迫を組み合わせることで、標的の組織は業務上の損失と評判への影響の両方を考慮せざるを得なくなります。
4. 暗号化とアクセス遮断： マルウェアが設置されると、悪意のあるプログラムがAESやRSAなどの強力な暗号化アルゴリズムで標的のファイルを暗号化し、アクセスできなくします。攻撃者は暗号資産での支払いを求める脅迫文を残し、多くの場合、支払期限も設けます。接続されたバックアップを見つければ、それも暗号化の対象にします。やがて攻撃は激しさを増し、システムの復旧を妨害し始めます。
5. 身代金交渉と復号の可能性： 被害者は、身代金を支払うか、バックアップから復元するかの選択を迫られます。犯罪者は通常、支払いを受けると復号ツールを渡しますが、その品質は保証されません。支払ってもデータを流出させる犯罪者もいれば、渡されたキーが正常に機能せず、事態が悪化することもあります。オフラインまたはエアギャップ環境のバックアップと、検証済みの復旧計画があれば、犯罪者への支払いを回避できます。

ランサムウェア攻撃の段階

侵入の詳細はランサムウェアの亜種や稼働環境によって異なりますが、ほとんどの攻撃には共通する段階があります。最初の脆弱性悪用を阻止するなど、初期段階で攻撃を止めれば、被害の拡大を防げます。以下では、偵察から最終段階の脅迫までの一般的な流れと、犯罪者がどのように暗号化を成功させるかを説明します。

1. 偵察： 攻撃者はネットワークを調査し、漏洩したデータからパスワードを入手したり、LinkedInで従業員のプロフィールを調べたりします。パッチ未適用のサーバー、開いているポート、データへのアクセス権を持つ従業員など、狙いやすい標的を探します。こうした調査から、財務データベースやドメインコントローラーなどの重要な資産を特定します。環境を慎重に分析し、組織へ侵入する方法を練ります。
2. 初期侵害： 犯罪者は偵察で得た情報を基に、マルウェアを送り込んだり、ログイン情報を試したりします。従業員になりすますことも、ソフトウェアの既知の脆弱性を悪用することもあります。デスクトップなどの最初の侵入口を突破すると、攻撃者は環境についてさらに詳しく調べます。それを足がかりに、侵入を深めたり、横展開したりします。
3. 権限昇格と横展開： 現在、攻撃者はローカル環境の脆弱性や単純なブルートフォース攻撃を利用して、ドメインやrootの権限を取得します。割り当てられたドライブ、ネットワーク共有、クラウドAPIも調べ、価値の高い情報を探します。セキュリティログを操作または回避し、検知ツールに侵入を見つけられないようにします。マイクロセグメンテーションが導入されていなければ、1人のユーザーの侵害がネットワーク全体の区画に影響しかねません。
4. データの持ち出し： 犯罪者は管理者権限を使い、情報を企業ネットワーク外のサーバーへ密かに転送します。この段階で、身代金が支払われなければデータを流出させるという二重脅迫の準備を整えます。また、データの機密性を踏まえて、要求する身代金の額を見極めます。標的は、脅迫文を受け取るか、異常な通信が検知されるまで、データの流出に気づかないことが少なくありません。
5. 暗号化と身代金要求： 最後に、コードは強力な鍵で重要なファイルを暗号化し、復号方法と必要な金額を記したメッセージを残します。攻撃者は通常、暗号資産での支払いを要求し、短い期限を設けるか、盗んだデータの公開をちらつかせます。バックアップも失われている場合や、スタッフの対応準備ができていない場合、その影響で業務は終日停止します。攻撃を検知して阻止するか、感染したシステムを速やかにオフラインでバックアップしない限り、この最終段階で侵入が成功に至ります。

ランサムウェア攻撃の手法

犯罪者は、従業員のさまざまな行動や弱点を狙い、多様な侵入・脅迫の手口を使います。組織はこうしたランサムウェアの手法を分析することで、侵入経路ごとの防御を強化できます。ここでは、現代の攻撃者が使う手口の多様さを示す5つの例を紹介します。

1. マルスパムとスピアフィッシング： メールは現在、最も一般的な侵入経路です。特に大量送信型や標的型のメールは、悪意のある添付ファイルをダウンロードしたり、リンクをクリックしたりする、セキュリティの知識が十分でない従業員を狙います。スピアフィッシングでは、犯罪者がソーシャルメディアや過去のハッキングで入手した情報を含むメッセージを送ります。マクロやエクスプロイトキットが実行されると、暗号化やデータの外部送信が始まります。高度なメールフィルター、従業員への啓発、リンクのスキャンで侵入を阻止します。
2. エクスプロイトキットとドライブバイ型の侵害： 標的となるWebサイトや侵害されたWebサイト、あるいは悪意のある広告を通じて、マルウェアが埋め込まれます。最新のパッチが適用されていないブラウザーやプラグインは、従業員がサイトにアクセスした時点で侵入口になります。大規模な広告ネットワークでさえ、正規サイトに悪意のある広告を配信してしまうことがあります。パッチの厳格な管理とプラグインの利用制限によって、こうした侵入経路を大幅に減らせます。
3. リモートサービスとRDP攻撃： 攻撃者は、デフォルトの認証情報や発見されたCVEを悪用するため、RDPエンドポイントやSSH接続を積極的に探ります。ドメイン管理者権限やOSへのrootレベルのアクセスを取得すると、システムレベルで暗号化処理を導入できます。多要素認証の導入や、VPNまたはゼロトラストで保護されたリソースへのリモートアクセスの制限により、サイバー攻撃が成功する可能性は大幅に下がります。ログに同様の記録がないか繰り返し確認することも、ブルートフォース攻撃を早期に特定する方法の一つです。
4. トロイの木馬化されたソフトウェアと第三者の侵害： 攻撃者はドライバー、プラグイン、ライブラリなどの正規のソフトウェア更新に侵入し、ランサムウェアのコードを組み込みます。被害者はベンダーやミラーサイトからダウンロードしたと信じて更新を実行し、侵入を招いてしまいます。これは、サプライチェーンの侵害が広範な影響を及ぼすことを示しています。コード署名の確認、厳格なベンダーリスク管理、パイプラインでのスキャンにより、こうした見えにくい侵入経路を阻止できます。
5. ほかのマルウェアからの横展開： 侵入は、目立たないトロイの木馬やキーロガーがユーザー名やパスワードをひそかに収集することから始まる場合があります。攻撃者は価値の高いデータを特定すると、実際の暗号化に進みます。スタッフが異変に気づく前に、ランサムウェアによる暗号化が始まります。振る舞いに基づくEDRは異常な侵入経路の切り替えを検知し、最終的な攻撃の前に侵入を阻止します。

ランサムウェア攻撃の事例

ランサムウェアを使う犯罪者は、業務を停止させ、復旧と引き換えに数百万ドルを要求することもあります。十分な資金を持つ組織でも、侵入経路が一つでも無防備なら不意を突かれます。以下の4つの事例から、侵入の深刻さ、企業の対応、その結果を見ていきます。

1. LoanDepot（2024年）： 1月、住宅ローン大手のLoanDepotは、1月3日から5日にかけてランサムウェア攻撃を受けたと報告しました。データの暗号化と顧客の機密情報の窃取を伴うこの攻撃により、1,660万人の利用者へのサービスに支障が生じました。Alphv/BlackCatは犯行を主張しており、同グループによる重大な侵害事例が新たに加わりました。今回のLoanDepotへの攻撃は、膨大な利用者データを保有する金融機関が、恐喝を行う攻撃者にとって特に魅力的な標的であることを示しています。
2. Veolia（2024年）： 水・エネルギーのリサイクル事業を手がけるベオリア・ノースアメリカは、ランサムウェア攻撃を受け、バックエンドシステムの一部が利用できなくなったと発表しました。水処理業務に支障はありませんでしたが、請求業務に影響が及び、顧客に不便が生じました。また、一部のデータが漏えいしたため、利用者に通知しました。この事例は、身代金の迅速な支払いを迫るために重要インフラ事業者を標的とする攻撃が増えていることを示しています。
3. Ascension（2024年）： セントルイスに拠点を置く医療機関Ascensionは5月、ランサムウェアの被害が電子健康記録（EHR）と一部の電話回線に及んだことを明らかにしました。1か月以上にわたり、患者は診療予約の遅れや薬の処方をめぐる混乱に見舞われました。スタッフが記録上最も多忙な週に直面するなか、一部の施設では救急車の搬送先を変更する事態にまで至りました。こうした事態は、ランサムウェアによる被害が不可欠な医療サービスを混乱させ、病院の安定した運営だけでなく患者の命も脅かすことを示しています。
4. クリーブランド市政府（2024年）： 6月、ハッカーの攻撃によりクリーブランド市の業務が停止しました。請求システムと行政手続きに支障が生じ、市庁舎は11日間閉鎖されました。職員は影響を受けたコンピューターを急いで隔離し、コピーからのデータ復旧を試みました。市は、データが盗まれたかどうか確認できない状況でも、身代金は支払わないと表明しました。こうした複合的な影響は、ランサムウェアによる悪意ある攻撃だけでも自治体のあらゆるサービスが麻痺し、住民の日常生活に影響が及ぶことを示しています。

ランサムウェア攻撃を防ぐには？

侵入を防ぐには、優れたツールだけでなく、十分な知識を持つスタッフ、安全な設定、検証済みのバックアップが必要です。犯罪者は常に手口を変えるため、一つの対策だけでは不十分です。侵入リスクを大幅に減らし、インシデント後の復旧を迅速化する5つの基本対策を紹介します。

1. 包括的なスタッフ教育： フィッシングとソーシャルエンジニアリングは、今も攻撃者が組織に侵入する主な手口です。定期的な研修と模擬フィッシング攻撃で、従業員の脅威に対する意識を高めます。ほかのセキュリティ対策も活用し、単純で推測されやすいものではなく、複雑なパスフレーズだけを使用するよう徹底します。こうした対策の組み合わせにより、不注意なクリックやパスワードの使い回しがネットワーク全体を危険にさらすリスクを減らせます。
2. 多要素認証の義務化： 犯罪者がパスワードを推測または入手しても、電話に送られるコードや物理的なセキュリティトークンなどの第2の認証要素が侵入を阻みます。 MFAは、リモートVPNやRDP接続で管理者アカウントまたはドメインアカウントにログインする際に強く推奨されます。これらの対策を組み合わせることで、クレデンシャルスタッフィング攻撃の成功率を大幅に下げられます。さらに、コンテキストに基づくポリシーと組み合わせたSSOなど、高度な仕組みによって認証の信頼性を高められます。
3. 定期的なパッチ適用と脆弱性スキャン： OS、アプリケーション、ファームウェアを速やかに更新し、特定された侵入経路をふさぎます。定期的なスキャンは、新たに公表されたCVEやゼロデイ脆弱性の検出に役立ちます。コンテナや開発・テスト用サーバーなど、一時的なリソースも対象に含めます。スキャンを開発パイプラインのマージと連動させれば、開発チームと運用チームは本番環境へのリリース前に脆弱性に対処できます。
4. マイクロセグメンテーションとゼロトラストアーキテクチャ： ネットワークを分割すれば、攻撃者がサーバー、エンドポイント、クラウドリソースに侵入しても、横方向への移動を防げます。ゼロトラストではリクエストごとにIDと権限を確認し、盗まれた、または推測された認証情報による不正アクセスを防ぎます。ソフトウェア定義の境界や厳格なVLANルールの導入により、侵入の余地を最小限に抑えます。セグメンテーションとゼロトラストを組み合わせ、侵入が環境全体に広がるのを防ぎます。
5. エアギャップを設けたバックアップと災害対応訓練： どれほど強固なセキュリティ対策を講じても、あらゆる侵入を防ぐことはできません。そのため、オフラインバックアップが不可欠です。復元ポイントを定期的に確認し、データが最新の状態で破損していないことを確かめましょう。攻撃者が本番環境のデータを暗号化しても、オフラインバックアップがあれば身代金を支払わずに迅速に復元できます。インシデント対応のランブックを活用すれば、実際に侵入が発生した際も担当者が落ち着いて対処でき、混乱を抑えられます。

ランサムウェアの検出と除去

ランサムウェアの予防は万全とは限らず、ゼロデイ脆弱性の悪用やソーシャルエンジニアリング攻撃によって侵入される場合があります。悪意あるコードを早期に検出すれば、暗号化を途中で止め、環境全体を守れます。危険な振る舞いを素早く見極め、感染後にランサムウェアを除去するための5つの手順を紹介します。

1. 振る舞いに基づくエンドポイント保護： シグネチャのみに依存するアンチウイルスは、コードが頻繁かつ急速に変化するため、対応が遅れがちです。一方、高度なEDRは、新しいプロセスが一度に多数のファイルを暗号化するなど、実行時の振る舞いを監視します。異常が既知の侵入パターンと一致した場合、そのプロセスを隔離または検疫します。これにより、ファイルレス攻撃やまったく新しいマルウェアもリアルタイムで検出します。
2. ネットワークの異常監視： 通常の勤務時間外のデータ転送や、帯域幅使用量の急増は、データの持ち出しや大量暗号化の兆候です。SIEMやNDRツールはこうしたパターンを検出し、スタッフに詳しい調査を促します。トラフィックの分布や内部間の接続を調べることで、侵入後に攻撃者が活動範囲を広げ始めた兆候を発見できます。攻撃者が足場を築き、すべてのファイルを暗号化したり、盗んだファイルをすべて送信したりするのを防ぎます。
3. ランサムウェアスキャンツール： 一部のランサムウェア対策ソフトウェアは、特定の暗号化アルゴリズム、ファイル名の変更操作、暗号化されたファイルに典型的な拡張子を能動的に探します。ランサムウェアによる部分的な書き込みや、ボリュームシャドウコピーの変更も確認します。検出時には、原因となったプロセスを停止するか、ジャーナリングを使って変更されたファイルを復元します。こうした専用スキャナーを標準的なアンチウイルスと併用すれば、侵入を検出するまでの時間を大幅に短縮できます。
4. 自動封じ込めと復元： 自動化フレームワークが作動すると、感染したホストを停止してネットワークアクセスを遮断し、横方向への移動を阻止します。高度な製品には、システムの状態を記録し、感染前の状態に戻す「ロールバック」機能もあります。封じ込めを検出段階と連動させれば、犯罪者による横方向への移動やデータの持ち出しを防げます。インシデント発生時の対応時間を短縮し、全体的な被害を抑えられます。
5. ランサムウェアの除去とフォレンジックによるクリーンアップ： 封じ込め後も残存するコードを無害化し、システムファイルを確認して、再実行の引き金となる要因をすべて取り除く必要があります。スタートアッププログラム、スケジュールされたプログラム、レジストリを調べ、悪意あるリンクがないか確認します。ファイルの一部が暗号化された場合は、バックアップから復元するか、復号ツールで復号できます。事後にランサムウェアを詳しく分析することで、今後の検出ルールを改善し、侵入経路をふさげます。

SentinelOneでランサムウェア攻撃を防止

SentinelOneの自律型AI脅威検出は、マルウェア、ランサムウェア、フィッシングなど、あらゆるサイバー脅威への対抗を支えます。Verified Exploit Pathsを備えたOffensive Security Engineは、異常を検出し、新たな攻撃経路を発見して、悪用される前に対処します。

SentinelOneの高度なエンドポイント保護は、VM、ワークロード、クラウド、コンテナ、ユーザー、IDを保護します。 Purple AIはGenAIを活用したサイバーセキュリティアナリストとして、攻撃者やセキュリティパイプラインに関する独自のインサイトを発見します。CI/CDパイプラインのセキュリティを強化し、必要な範囲を保護します。SentinelOneは750種類を超えるシークレットを検出し、クラウドの認証情報の漏えいを防ぎます。

非アクティブなアカウントや休眠アカウントを特定し、悪意あるプロセスがアカウントを乗っ取ったり権限を昇格させたりする前にスキャンできます。SentinelOneはバックグラウンドで能動的・受動的なスキャンを24/7で実行し、問題が発生すると自動的にアラートを送信するとともに、誤検知を排除します。

Snykとの連携にも対応し、エージェントレスで包括的な保護を提供するCNAPPを備えています。SentinelOneの製品を使用すれば、SOC 2、NIST、HIPAA、CIS Benchmarkなどの規制フレームワークへの継続的な準拠も確保できます。プラットフォームの機能を活用し、Active DirectoryやEntra IDを狙った攻撃にも対抗できます。

ツアーを体験

AIによるエンドポイント検知と対応。

まとめ

ランサムウェアは、データや業務プロセス、顧客の信頼を脅かすため、現代の企業にとって依然として最も危険な脅威の一つです。フィッシング、エクスプロイトキット、ラテラルムーブメントといった侵入手法は、それぞれを分析し、多層的な防御を構築する方がはるかに効果的です。ただし、侵入の阻止は対策の一部にすぎません。攻撃中の悪意ある活動の検知と、信頼性の高いバックアップ体制も欠かせません。短期間しか稼働しないクラウド環境でも、長年使用しているオンプレミスサーバーでも、スキャン、従業員のトレーニング、マイクロセグメンテーションの導入によって侵入経路を大幅に減らせます。

犯罪者が二重脅迫や高度なワーム機能の導入など、新たな侵入手口に適応する中、一つの対策だけでは不十分です。一方、明確なポリシー、検証済みのバックアップ、適応型のEDR製品を継続的に強化すれば、侵入の脅威を抑えられます。専用のランサムウェアスキャナーやSentinelOneのようなAIを活用したエンドポイント保護プラットフォームと組み合わせることで、リアルタイムの検出と自動修復を実現します。

AIを活用したサイバーセキュリティ

リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。

デモを見る