ランサムウェア攻撃を防ぐには？

ランサムウェアは、サイバー犯罪者がデータを盗み、解放と引き換えに身代金を要求するために使うマルウェアの一種です。多額の支払いを受けるまで、データを解放しません。個人情報、財務データ、知的財産に関するデータが狙われ、犯罪者に主導権を握られるおそれがあります。

2017年のWannaCryの大規模感染は、現代のランサムウェアの脅威を浮き彫りにしました。それ以来、数十種類の亜種が出現し、世界各地でさまざまな大規模攻撃に使われています。COVID-19のパンデミックもランサムウェアの拡散を加速させ、リモートワークの普及はサイバー防御の隙を広げました。

サイバー犯罪者はこうした状況を最大限に利用しており、ランサムウェア攻撃が止まることはありません。  1件あたりの平均損失額は435万米ドルに上ります。  2025年5月時点で、FBIはPlayランサムウェアグループによる被害を受けた900件を報告しています。このガイドでは、ランサムウェアの種類を解説します。攻撃の仕組みと予防方法も紹介します。

ランサムウェア対策が不可欠な理由とは？

ランサムウェア対策は、あらゆる組織が経営層で議論すべき課題です。金銭的損失や評判の低下だけの問題ではありません。データを乗っ取られ、盗まれ、アクセスできなくなれば、被害に遭うすべての人に深刻な影響が及びます。誰が侵入し、何が起きたのかを調べることに追われていては、事業を継続できません。

顧客は説明を求めています。ランサムウェア攻撃は、企業の今後の事業運営にも影響を及ぼします。さらに、あなたの企業は攻撃しやすい標的だと他のサイバー犯罪者に知らせることになり、別のサイバー攻撃を受ける可能性も高まります。ランサムウェアの脅威に対処しなければ、法規制やコンプライアンス関連法に基づき、厳しい処罰や高額の罰金が科される場合があります。身代金を支払っても、復旧が保証されるわけではありません。サイバー犯罪者が必ず約束を守るとは限らないため、ランサムウェアの防止が重要です。そのような事態に陥る前に、攻撃を防ぐことが最善です。データが悪意ある者の手に渡らないようにし、攻撃者が防御を突破してデータに到達する前に食い止めるためにも、ランサムウェア対策は欠かせません。

ランサムウェア攻撃の仕組みとは？

ランサムウェアは侵入すると、ひそかにファイルを暗号化し、システムに感染を広げます。ファイル、リソース、インフラに不正アクセスするソフトウェアです。その過程で、マルウェアを操る人物がすべての資産を人質に取ります。

ファイルが暗号化された場合、攻撃者に身代金を支払うまで、復号も閲覧もできません。暗号化パスワードは攻撃者が握っています。doxwareやleakwareの場合、身代金を支払わなければ、機密情報がオンラインで公開される可能性が高まります。

ハッカーは身代金の支払い後、支払いや決済の証拠も要求します。暗号資産やWestern Unionの送金で支払い、領収書や確認メッセージを転送するよう求められます。  送金を確認するため、政府職員や米国の法執行機関を装う攻撃者もいます。ソフトウェアの違法コピーや成人向けコンテンツの検出を理由にコンピューターを停止すると偽り、事態の収束と引き換えに罰金を要求することもあります。

ランサムウェアの主な侵入経路

ランサムウェアの侵入経路は、攻撃者が組織の内部にいるか外部にいるかによって異なります。

注意すべき主な侵入経路は次のとおりです。

• フィッシングメール - ハッカーはフィッシングの手口を仕組み、メール、ダイレクトメッセージ、Webサイト、ソーシャルメディアの投稿を通じて被害者を誘導し、添付ファイルを開かせます。その過程で、機密性の高い認証情報を明かさせることもあります。
• 漏洩した認証情報 - 機密性の高い認証情報が過去に漏洩していれば、すでにダークウェブで売られている可能性があります。特に同じログイン情報とパスワードを使い回している場合、漏洩した認証情報は複数のアカウント、プラットフォーム、サービスで繰り返し悪用されます。
• サードパーティとサプライチェーンへの攻撃 - ハッカーはマネージドサービスプロバイダー（MSP）やソフトウェアサプライヤーを悪用し、その先にいる複数の顧客やネットワークへの信頼されたアクセスを得ます。APIの設定を誤らせたり、ソフトウェアアップデートを侵害したりして、ランサムウェアの侵入経路にすることもあります。
• リムーバブルメディア - USBドライブや物理ストレージも感染するおそれがあります。ハッカーはそこにマルウェアを仕込み、デバイスをコンピューターに接続することで、ネットワークのセキュリティ防御を迂回します。その過程で、ローカルシステムやネットワークに悪意のあるファイルをインストールします。
• 悪意のある広告とWebサイト - ハッカーは本物そっくりの偽Webサイトを作り、利用者を誘い込みます。サイトに悪意のある広告を仕込み、利用者が気づかずクリックすると、システムが感染する可能性があります。

ランサムウェア感染の兆候

組織内には、ランサムウェアへの感染を示すさまざまな兆候が現れます。主な兆候は次のとおりです。

• ファイルの拡張子が突然変わります。ファイルシステム内のさまざまなディレクトリで、ファイルが暗号化されていることに気づく場合もあります。
• リモートのネットワークファイル共有が急増します。ランサムウェアのスキャンが無効になり、ソフトウェアから通常のアラートが届かなくなることもあります。
• シャドウコピーを含むバックアップが削除されることがあります。システムのイベントログもすべて消去されます。事業に不可欠なデータが、承認なしに自動的に暗号化されます。
• システム内のどこかに身代金要求文が残されています。攻撃者は連絡先を記し、身代金を支払った後にデータを解放してもらう方法を伝えます。

ランサムウェア攻撃を防ぐ方法：ベストプラクティス

ランサムウェア対策のチェックリストが必要なら、ここを確認してください。攻撃を防ぐ方法を紹介します。企業におけるランサムウェア対策のベストプラクティスは次のとおりです。

1. 複数の検知手法を使用する

シグネチャ、振る舞い、トラフィックに基づく複数の手法を使い、脅威の検知を一つの手法に頼らないでください。多層的な保護と振る舞い分析を導入し、新たなランサムウェアの亜種を検知します。これはランサムウェア対策の重要なベストプラクティスであり、セキュリティ戦略の柱となります。

2. ハニーポットで攻撃者を誘い込む

ハニーポットなどの欺瞞技術を使い、攻撃者を誘い込んでください。早期検知の兆候を見つけ、囮のファイルを暗号化させることで、マルウェアや攻撃者の存在をあぶり出せます。効果があるため、ランサムウェア対策として特に推奨する方法の一つです。

3. EDRを使用する

EDR（エンドポイントでの検知と対応）を使えば、エンドポイントの振る舞い、コマンドラインの操作、プロセスの連鎖を分析できます。攻撃者はWindows Management Instrumentation（WMI）やPowerShellなどのツールを変更することがあります。EDRで通常とは異なるツールの使用状況を監視することが、ランサムウェアの脅威を早期に検知する鍵です。

4. 異常なファイルアクセスのパターンを分析する

特に重要なデータリポジトリへの通常とは異なるアクセス試行を追跡します。ファイル整合性監視ツールで予期しない変更を検知してください。不審なファイルの一括操作を検知するアラートを設定し、不正な暗号化が行われている可能性を把握します。

5. 従業員を教育する

最新のソーシャルエンジニアリングやランサムウェアの手口を従業員に周知してください。攻撃者と接触した可能性がある場合の対応も理解しておく必要があります。機密情報を明かさず、オンラインでやり取りする相手を必ず確認するよう教育します。

6. 強固なバックアップ戦略を導入する

メインのネットワークインフラとは分離して、オフラインの変更不可能なバックアップを維持します。復旧手順を定期的にテストし、バックアップが侵害されていないことを確認してください。必要に応じて侵害されていない状態に復元できるよう、複数のバージョンを保持します。

7. ネットワークを分割する

重要なシステムと機密データを、一般的なネットワークトラフィックから隔離します。マイクロセグメンテーションを使い、一つのシステムが侵害されても横方向への移動を制限してください。ランサムウェアの拡散を抑え、脅威を特定の領域に封じ込めます。

8. 厳格なアクセス制御を適用する

すべてのシステムと管理者アカウントでMFAを必須にします。最小権限の原則を適用し、ユーザーには必要な権限だけを付与してください。アクセスログを定期的に監査し、古くなった認証情報は速やかに無効にします。

9. ソフトウェアを更新し、システムにパッチを適用する

脆弱性を解消するため、セキュリティパッチが公開されたら直ちに適用します。すべてのソフトウェアの一覧を維持し、パッチの適用状況を追跡してください。パッチ適用では、重要なインフラと攻撃対象になりやすいアプリケーションを優先します。

10. 不要なサービスを無効にする

攻撃対象領域を広げる未使用のプロトコルやサービスを停止します。運用に不要になった旧式のツールや機能を削除します。許可されていないサービスが入り込まないよう、稼働中のサービスとその理由を文書化します。組織内の非アクティブなアカウントや休眠アカウントも棚卸しします。

11. インシデント対応計画を策定する

ランサムウェアのインシデントが発生する前に、対応手順を文書化します。対応の各段階における役割、連絡経路、判断基準を定めます。チームが計画を効果的に実行できるよう、机上演習を定期的に実施します。

SentinelOneはランサムウェア攻撃の防止にどう役立ちますか？

SentinelOneはAIを活用したセキュリティツールで防御を統合し、かつてない速度と無限の拡張性を提供します。世界をリードする自律型の高度なAI保護で、脅威が動き出す前に阻止します。

AIを活用した保護、24/7の脅威ハンティング、マネージドサービスで、クラウド、エンドポイント、アイデンティティを保護します。 Singularity™ Endpointはエンドポイントを自律的に保護します。Purple AIは最新のインサイトを提供し、セキュリティチームの能力を最大限に引き出します。 Singularity™ AI SIEMはデータセキュリティを強化します。また、SentinelOneはMITRE ATT&CK Enterprise Evaluation 2024で防御能力を実証しました。

SentinelOneは、世界で最も信頼されるCNAPPソリューション 市場でマルウェア、ゼロデイ攻撃、ランサムウェア攻撃に対抗します。エージェントレスのCNAPPはクラウドの権限を管理します。権限を厳格化し、シークレットの漏えいを防ぎます。最大750+種類のシークレットを検出できます。Cloud Detection and Response (CDR)は、完全なフォレンジックテレメトリを提供します。専門家によるインシデント対応に加え、事前構築済みでカスタマイズ可能な検出ライブラリも利用できます。SentinelOneのCNAPPは、ISO 27001、SOC 2、NISTなど、最新のコンプライアンス規制フレームワークへの準拠を支援します。

SentinelOneの静的AIエンジンは、実行前にファイルをスキャンし、悪意を示すパターンを特定します。正常なファイルも分類します。振る舞いAIエンジンは、リアルタイムで関連性を追跡し、エクスプロイトやファイルレスマルウェアによる攻撃を防ぎます。根本原因と影響範囲を包括的に分析するエンジンもあります。Application Control Engineは、コンテナイメージのセキュリティを確保します。STAR Rules Engineは、クラウドワークロードのテレメトリに対するクエリを自動化された脅威ハンティングルールに変換する、ルールベースのエンジンです。SentinelOne Cloud Threat Intelligence Engineは、シグネチャを使って既知のマルウェアを検出する、ルールベースのレピュテーションエンジンです。

Prompt Security by SentinelOneは、シャドーAIの利用に対処し、ウォレット枯渇攻撃やサービス拒否攻撃を防ぎます。プロンプトインジェクション攻撃、許可されていないエージェンティックAIの動作、AIマルウェア、悪意のあるプロンプトから防御します。AIに関するコンプライアンスを確保し、OpenAI、Anthropic、Googleなど主要なLLMプロバイダーをモデルに依存せずカバーします。

より深い脅威インテリジェンスを得る

SentinelOneの脅威ハンティングサービスWatchTowerが、どのようにしてより大きな洞察を導き出し、攻撃に打ち勝つかご覧ください。

さらに詳しく

まとめ

優れたセキュリティプラットフォームは環境をスキャンし、ユーザーの行動を追跡して、ランサムウェア攻撃を手遅れになる前に阻止します。ゼロトラストのセキュリティ戦略を導入し、従来型の検知手法から脱却しましょう。 SentinelOneがその取り組みを支援します。ランサムウェア攻撃の防止やさらなるサポートについては、当社チームにお問い合わせください。