ITmedia エグゼクティブセミナーリポート

独自の観測結果から見えてきたランサムの今と、対策のポイント――SBテクノロジー 辻伸弘氏（1/2 ページ）

　今、さまざまな企業や組織がランサムウェアを用いた攻撃の被害に遭っている。この攻撃はどのような変遷をたどっており、どのように対策していけばいいのだろうか。

　SBテクノロジーのプリンシパルセキュリティリサーチャーとして活躍しつつ、講演やPodcastなどで情報発信をしている辻伸弘氏が「ランサムに至る病～連鎖を断ち切る処方箋～」と題して基調講演を行い、「どこにある何を守りたいのか」を意識しながら対策に取り組んでほしいと呼びかけた。

特定の業種・規模への偏りは見られない？　独自の観測に基づくランサムの実態

　辻氏は、ばらまき型の攻撃が主流だった2015年ごろからランサムウェアを用いた攻撃について調査してきた。特に、コロナ禍を経て、情報を暗号化するだけでなく暗号化する「二重脅迫型」と呼ばれるランサムウェアが増えてからは、リークサイトで公表された情報を元に、ネットワーク侵入型のランサムウェアに焦点を当てて調べている。

　まず辻氏は、「ランサムの攻撃者と言っても1人や2人ではなく、1グループだけでもないことを知ってほしいと思います。大まかに言えば、ランサムウェアを作って提供する、つまりランサム（脅迫）を行うためのインフラをサブスクリプション形式で提供する『RaaS』と呼ばれる人と、それを拡販するようにして攻撃を行う実行犯の『アフィリエイト』がおり、いろいろな被害者に向けて攻撃を行い、稼いだ暗号通貨などの金銭をあらかじめ決められた一定の割合で分け合う構図になっています」と、現在のランサムの大まかな構図を説明した。

　その上で辻氏は、2022年1月1日から10月31日までリークサイトの情報を観察した結果を紹介した。同氏が観測した範囲で確認されたリーク件数は1404件。被害組織の所在国は89カ国、業種も128業種と多岐にわたっている。

　国別に見ると最も多いのはアメリカだ。続けてドイツ、イタリア、イギリス、フランスといったヨーロッパ諸国が続く形で、日本は19件で13位という状況にある。辻氏は欧米各国での被害が多い理由として、「アメリカ・ヨーロッパ諸国では、身代金を保険金でまかなえるという特徴がこれまでありました」と指摘した。ただ最近になって、身代金支払いに罰則を設けたり、禁止する動きが広がっているため、流れが変わってくる可能性があるという。

　一方、業種別に見ると、最も多いのは「建築・土木」に見える。だがあくまで1404件のうちの94件、7％に満たない割合にすぎない。また、しばしばメディアでは「医療機関への攻撃が急増している」と論調で報じられるが、辻氏はこの数字を踏まえ「あくまで僕の観察範囲では、どこか特定の業界が狙われているわけではないと言えます」とした。同様に、被害企業・組織の規模にも大きな偏りは見えないという。

　そしてあらためて、被害組織の所在地国を地図にプロットし、オーストラリアやニュージーランド、ブラジルは以前からそれなりの件数があったが、それ以外の南半球での被害が増えてきている印象があるとコメントした。「おそらく、予算がかけられずセキュリティが弱いところを狙っていく傾向ができつつあるのかなと考えています」（辻氏）

特損計上を考えさせるような「嫌らしい」額で身代金の相場形成も

　続けて辻氏は、観測してきた範囲で起こった最近のランサムウェアかいわいの変化を説明した。

　1つは、胴元であるRaaSがアフィリエイトに対し、何らかのルールを課すケースが増えていることだ。例えば、おそらく世界で最も多くの被害を出していると思われる「Lockbit」は、最新バージョン「Lockbit 3.0」の公開に当たって「アフィリエイト・ルールズ」と呼ぶ規定を公開し、「重要インフラと、命に関わるような組織である病院に攻撃すること自体はOKだが、暗号化をしてシステムを止めてはいけない」といった条件を課している。この結果、ランサムのターゲットになり得る範囲がより広がってしまう恐れがあるだろう。

　なお他のランサムウェアでも見られる傾向だが、WindowsだけでなくLinux系のOSやVMware ESXといった仮想環境も感染対象とする機能も加わっている。「『Windowsではないから大丈夫』とはいえなくなってきています」（辻氏）

　もう1つの変化は、ランサムが要求する身代金の額だ。辻氏が日頃参考にしているCovewareのレポートによると、身代金額の平均値は右肩上がりに見える。ただ、これは億単位の多額の支払いを行っているケースが平均値をつり上げている可能性が高く、あまりうのみにすべきではない。むしろ注目すべきは「中央値」だ。

　「中央値を見ると、2021年第4四半期にいったん山場を迎えてからぐっと下がっています。2021年の終わりごろに比べると50％弱低下しており、日本円にして600万円に満たないくらいの金額です。これは、システムが止まってにっちもさっちもいかなくなった会社であれば、特損として計上して払ってしまおうかという考えが浮かんでも無理はない、嫌らしい金額だと思っています」と辻氏は述べ、ある種の「相場」が形成されつつあるのではないかとした。

ITmedia エグゼクティブセミナーリポート

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  脅威環境の変化を把握し、網羅的・体系的なアセスメントを通じて自社の弱点を発見・改善していくサイバーセキュリティリスク管理が重要――東京海上日動火災保険 黒山康治氏

• 

  ハイブリッド戦争は日本にとっても他人ごとではない――慶應義塾大学 廣瀬陽子教授

• 

  「今日からセキュリティ担当、よろしくね」と言われたら、何から始める？　何を重視する？――freee CISO 茂岩祐樹氏

• 

  コロナ禍やウクライナ侵攻を背景に混迷深めるサイバー情勢、経営層に必要なのは「現場丸投げ」からの脱却――サイバーディフェンス研究所 名和利男氏

• 

  ウイズコロナ時代のサイバーセキュリティ、完璧を目指すより実践的で高い費用対効果を追求すべき――情報通信研究機構 伊東寛氏

• 

  「損害保険×ソリューション」の提供で、効率的かつ効果的なサイバーリスク対策を実現――東京海上日動火災保険 教学大介氏

• 

  増え続けるサイバー犯罪、「完璧」ではなく「現時点最強」で致命傷を避ける備えを――圓窓 澤円氏

• 

  変化に必要なのはインプットとアウトプットで「いま」という時代をちゃんと知ること――Armoris 取締役専務 CTO 鎌田敬介氏

• 

  サイバー攻撃から組織を守るために不可欠な3つのチカラとは――SBテクノロジー プリンシパルセキュリティリサーチャー 辻伸弘氏

• 

  重要インフラ行動計画、環境の変化を考慮して継続的に改定していくことが重要――NISC 結城則尚氏

• 

  情報セキュリティ委員会、CSIRT、SOCがワンチームで対応するのが情報セキュリティの肝――ラック、ダイドーグループHD 喜多羅滋夫氏

• 

  攻めのサイバーセキュリティでDXをけん引し、全てのステークホルダーに価値を提供――竹中工務店 高橋均氏

• 

  DXを支えるサイバーセキュリティ新常態を新型コロナウイルス対策から学ぶ――ラック西本逸郎社長

• 

  デジタルによる業務の生産性向上とセキュリティ強化の両立がゼロトラスト最大の目的――NRIセキュアテクノロジーズ 鳥越真理子氏

• 

  ゼロトラストで目指すのは、快適に、安心して、楽しく働ける職場を支えるIT基盤――日清食品グループの挑戦