二重恐喝型ランサムウェアとは？

二重恐喝は、ランサムウェア攻撃者がデータを暗号化するだけでなく、公開すると脅す手口です。このガイドでは、その仕組み、被害者への影響、予防策を解説します。

データのバックアップとインシデント対応計画の重要性を解説します。組織が機密情報を守るには、二重恐喝への理解が欠かせません。

二重恐喝は、サイバー脅威が高度化していることを示しています。対抗するには、ランサムウェアに対する強固な防御、徹底したデータ保護、そしてインシデント対応を網羅する総合的なサイバーセキュリティ戦略が必要です。

二重恐喝の概要

二重恐喝は、近年のランサムウェア攻撃の様相を変えた高度なサイバー脅威の手口です。攻撃者は被害者のデータを暗号化するだけでなく、暗号化前に機密情報を窃取し、人質として利用します。被害者がデータの復号と引き換えの身代金を支払わなければ、攻撃者は窃取した情報を公開または売却すると脅します。これにより、攻撃の影響と被害はさらに深刻になります。

二重恐喝がランサムウェア攻撃で顕著な傾向となったのは、MazeやREvilなどの著名なランサムウェアが登場した2019年頃です。こうしたサイバー犯罪グループは、侵害したデータの価値に着目し、公開をちらつかせて追加の身代金を要求し始めました。支払いには通常、暗号資産が指定されます。この新たな手口は被害者への経済的圧力を大幅に強め、恐喝要求に応じる可能性を高めました。

現在、二重恐喝攻撃は憂慮すべきほど広がっています。サイバー犯罪者は、中小企業から大企業、政府機関まで幅広い組織を標的にしています。窃取されるデータには、顧客の機密情報、独自の知的財産、社内の機密文書が含まれることが多く、公開された場合の被害はさらに深刻です。

二重恐喝攻撃から組織を守るには、強固な脅威の検知・防止、定期的なデータバックアップ、トレーニングによるフィッシングの見極め方の習得、明確なインシデント対応計画（IRP）を含む包括的なサイバーセキュリティ戦略が必要です。

二重恐喝の仕組み

二重恐喝は、データ窃取と従来のランサムウェアの手口を組み合わせた、複雑で発見しにくいサイバー攻撃です。技術的には、いくつかの明確な段階を経て進行します。

初期アクセスと偵察

攻撃者は、フィッシングメール、ソフトウェアの脆弱性の悪用、認証情報の窃取など、さまざまな方法で被害者のネットワークに侵入します。侵入後は偵察を行い、価値の高い標的や機密データの保管場所を特定します。

データの持ち出し手法

攻撃者は、SQLインジェクション、リモートファイルインクルージョン、正規ツールの悪用など、高度な手法で被害者のネットワークから機密データを持ち出します。検知を逃れるため、データを圧縮、暗号化、難読化する場合もあります。

データの分類と抽出

攻撃者は自動化スクリプトや手作業を使い、機密情報を分類・抽出します。対象には、個人を特定できる情報（PII）、財務記録、知的財産、機密文書などが含まれます。価値の高いデータを効率的に見つけるため、データの解析や索引付けを行う場合もあります。

データの一時保管と隠蔽

持ち出したデータは、検知を避けるため、ネットワーク内の隠れた場所や監視の手薄な場所に一時保管されます。攻撃者は暗号化やステガノグラフィーを使い、窃取データの存在を隠す場合もあります。

強力なアルゴリズムによるデータの暗号化

データの持ち出し後、攻撃者はランサムウェアによる攻撃を開始します。AES-256などの強力な暗号化アルゴリズムを使い、被害者のネットワーク内にある重要なファイルやシステムを暗号化します。通常は公開鍵で暗号化し、攻撃者が保持する秘密鍵で復号する非対称暗号方式が使われます。

身代金要求文と暗号資産での支払い要求

攻撃者は、テキストファイルや画像などの形で、被害者のシステムに身代金要求文を残します。そこには要求額、支払い方法、期限が記されています。攻撃者は匿名性を保つため、BitcoinやMoneroなどの暗号資産での支払いを要求することが一般的です。

二重恐喝の通知

二重恐喝攻撃では、攻撃者は従来の身代金要求文に加え、機密データを持ち出したことを被害者に知らせます。この通知では、要求に応じなかった場合の結果を強調します。攻撃者は主張を裏付けるため、ファイルの一覧やデータの抜粋など、窃取の証拠を示す場合もあります。

データ公開の脅迫

攻撃者は、指定した期限までに身代金が支払われなければ、窃取したデータをインターネットやアンダーグラウンドのフォーラムで公開すると脅します。データが公開されれば法的責任、規制当局による罰金、評判の低下につながるため、この脅迫は被害者に身代金の支払いを迫る強い圧力となります。

支払いの確認と連絡

攻撃者は、支払いの追跡と復号を進めるため、被害者に固有のBitcoinウォレットアドレスを示し、身代金の送金を求めます。入金後はブロックチェーン上で支払いを確認し、暗号化された通信経路で被害者と連絡を取ります。

復号キーの提供

支払いの確認が完了すると、攻撃者は被害者に復号キーを渡します。このキーは、ランサムウェアによって暗号化されたファイルやシステムの復号に必要です。攻撃者が復号ツールやキーの使用手順を提供する場合もあります。

攻撃後の痕跡消去

身代金を受け取った後、攻撃者は使用したツールやバックドア、攻撃の痕跡を削除し、被害者のネットワークから撤退する場合があります。ただし、さらなる恐喝や攻撃のために戻ってこない保証はありません。

対応と被害軽減

二重恐喝攻撃を受けた組織は、身代金を支払うか、別の手段を取るかという重大な判断を迫られます。また、法執行機関への通報とインシデント対応手順の開始も必要です。これには、システムの復旧や、今後の攻撃を防ぐためのセキュリティ対策の強化が含まれます。

脅威インテリジェンスの強化

SentinelOneの脅威ハンティングサービスWatchTowerが、どのようにしてより大きな洞察を導き出し、攻撃に打ち勝つかご覧ください。

さらに詳しく

二重恐喝の事例を探る

二重恐喝攻撃はサイバーセキュリティ上の深刻な脅威となっています。企業はこの手口に伴うリスクを軽減するため、防御を強化しています。ここでは、実際の二重恐喝の事例とその重要性、企業がリスクに備えて講じている対策を紹介します。

Mazeランサムウェア攻撃

Maze のランサムウェア攻撃者は、二重恐喝の手口をいち早く使い始めました。企業を標的にしてデータを暗号化し、身代金を支払わなければ機密情報をオンラインで公開すると脅しました。

• 重要性 – この攻撃は大きな注目を集め、二重恐喝の存在を広く知らしめました。また、要求に応じない場合に起こり得る事態を浮き彫りにしました。
• セキュリティ対策 – それ以来、企業はサイバーセキュリティをより重視し、包括的なバックアップ戦略の採用、データ漏えいの監視、インシデント対応能力の強化を通じて、Mazeのような脅威に対抗しています。

REvilランサムウェアグループ

REvil は、攻撃的な二重恐喝の手口で知られています。ある事例では、著名な法律事務所を攻撃して顧客の機密データを盗み、公開すると脅しました。

• 重要性 – この攻撃は、法律サービスのように通常はサイバーセキュリティ上のリスクが高いと見なされない業種も、二重恐喝の被害に遭うことを示しました。あらゆる業界で包括的なサイバーセキュリティ対策が必要であることを明らかにしました。
• セキュリティ対策 – 法律事務所などの企業は、REvilのような攻撃から身を守るため、従業員向けのサイバーセキュリティ意識向上トレーニングへの投資、MFAの導入、エンドポイントセキュリティの強化を進めています。

Ragnar Lockerランサムウェア攻撃

Ragnar Locker は、特に医療分野の大規模組織を標的にしました。ファイルを暗号化して患者データを盗み、多額の身代金を要求しました。

• 重要性 – 医療業界はCOVID-19のパンデミックですでに逼迫しており、これらの攻撃はリソースにさらなる負担をかけました。患者のプライバシーや重要な医療インフラの安全性に対する懸念も高まりました。
• セキュリティ対策 – 医療機関は、二重恐喝の試みを阻止するため、ネットワーク分割の改善、強力なアクセス制御の導入、定期的なサイバーセキュリティ評価を通じて防御態勢を強化しています。

DarkTequila攻撃

DarkTequilaは、ランサムウェア機能とデータ窃取機能を備えるようになったバンキング型トロイの木馬です。攻撃者は金融機関や企業ネットワークを標的に、ファイルを暗号化して機密データを外部に持ち出しました。

• 重要性 – この攻撃は、サイバー犯罪者が時間とともに手口を変化させる適応力を示しました。特に金融機関は、増大する二重恐喝の脅威への対応を迫られました。
• セキュリティ対策 – 金融機関は、二重恐喝攻撃に備え、脅威インテリジェンスの共有プラットフォームの導入、従業員向けトレーニングの強化、机上演習の実施を進めています。

Cl0pランサムウェアグループ

The グループは、大学を含むさまざまな組織を標的にしました。彼らはファイルを暗号化し、機密性の高い学術研究データをオンラインで漏えいすると脅しました。 グループは、大学を含むさまざまな組織を標的にしました。ファイルを暗号化し、機密性の高い学術研究データをオンラインで流出させると脅しました。

• 重要性 – 教育機関への攻撃は、二重恐喝の標的が幅広いことを示しています。この事例では、貴重な研究データが失われる可能性が大きな懸念となりました。
• セキュリティ対策 – 大学や研究機関は、Cl0pのような攻撃から知的財産を守るため、メールフィルタリングの強化、データの暗号化、インシデント対応計画の策定によってサイバーセキュリティ対策を強化しています。

二重恐喝のリスクに備え、企業は次のような予防策を講じています：

• 包括的なバックアップ戦略 – ネットワークから隔離したデータの定期的なバックアップが不可欠です。身代金を支払わずにデータを復旧できます。
• 従業員トレーニング – サイバーセキュリティ意識向上トレーニングにより、従業員は二重恐喝攻撃に使われるフィッシングやその他のソーシャルエンジニアリングの手口を見抜けます。
• エンドポイントセキュリティ – 強力な エンドポイントセキュリティ対策は、マルウェア感染の検知と防止に不可欠です。
• アクセス制御 – 最小権限の原則 (PoLP) を導入し、ユーザーのアクセス権を業務に必要な最小限に抑えます。
• インシデント対応計画 – 明確なインシデント対応計画を策定しておくことで、二重恐喝攻撃に効果的に対処し、影響を最小限に抑えられます。
• 脅威インテリジェンスの共有 – 同業他社と連携して脅威インテリジェンスを共有し、新たな脅威や攻撃手法を把握します。

まとめ

二重恐喝攻撃では、サイバー犯罪者はデータを暗号化するだけでなく、身代金を支払わなければ機密情報を公開すると脅します。こうした攻撃により、現在の脅威環境では被害の深刻さが増しています。攻撃者は、組織が恐れる データ侵害や評判の低下につけ込みます。そのため、バックアップがあっても身代金を支払う組織が少なくありません。

二重恐喝の実例は、あらゆる業界の企業にとってサイバーセキュリティが不可欠であることを示しています。攻撃者が手口を磨き続けるなか、組織は警戒を怠らず、セキュリティ対策を適応させる必要があります。データ、評判、収益を守るには、先手を打つことが重要です。