ランサムウェアとは？感染経路や被害例、被害防止策や感染時の対処法を徹底解説

ランサムウェアによる被害は2021年から3年連続で1位

IPA（情報処理推進機構）の調査「情報セキュリティ10大脅威 2023」によると、ランサムウェアによる被害は2021年から3年連続で1位に選ばれています。

ランサムウェアによる被害は世界的に深刻で、企業が安全にWebサービスを運営するためには、マルウェア全般の対策が必要不可欠です。

【関連記事】マルウェアとは｜ウイルスとの違いや種類・感染経路・感染したときの対処法

新種のランサムウェアや亜種について

過去数年間において、ランサムウェアの亜種や新種が次々と出現し、その攻撃手法も高度化しています。新種のランサムウェアは対策が難しく、感染すると企業に多大なる被害をもたらします。

▼最近発見された新たなランサムウェア

• Tycoon：教育機関を攻撃
• Black Basta：WindowsやLinuxを攻撃
• Bad Rabbit：公共交通機関や政府機関に影響

これらのランサムウェアは、従来の防御手段を容易に突破し、システムに深刻なダメージを与えます。そのため、新たなランサムウェアの動向を注視し、特徴を十分に理解した上で適切な対策を講じる必要があります。

脆弱性情報の収集・修正

近年、VPN機器や外部公開サーバの脆弱性が悪用されるケースが増えています。脆弱性情報を早期に収集し、必要な修正やアップデートを行うことが重要です。

▼脆弱性情報の収集方法

• IPA：経済産業省のIT政策実施機関
• JVN：JPCERT/CCとIPAが共同管理している脆弱性情報データベース
• JVNiPedia：国内外問わず公開される​脆弱性対策情報データベース​

情報源の信頼性を確認し、収集した情報を評価・管理する体制が求められます。深刻な脆弱性に対しては修正プログラムを適用しましょう。

適用が難しい場合は、緩和策の適用やIPS機能による一時的な保護が有効です。

【関連記事】【有料・無料】脆弱性診断ツール（サービス）おすすめ15選！選定ポイントを紹介

標的型攻撃の検知・ブロック

標的型攻撃は特定の組織や個人を狙い、高度な手法を用いることが特徴です。

具体的な検知方法として、添付ファイルの拡張子やファイルタイプに着目する、受信者への警告やフィルタリングを施す、侵入検知システムや侵入防止システムを活用する、などが挙げられます。

そのほか、セキュリティ対策ソフトウェアによる定期的なスキャンも有効です。

もしも標的型攻撃が検出されたら、外部への不審な通信を見つけて遮断し、その上で情報にアクセスできないようデータを暗号化しましょう。

【関連記事】標的型攻撃メールの被害事例｜手口の種類や最新事例・文面・見分け方を紹介

多要素認証・アクセス制限などの実装

RDP（リモートデスクトッププロトコル）を利用する場合は、パスワードの強化やアクセス制限がポイントとなります。

また、遠隔操作を可能にする機能が不用意に露出していないかも確認しましょう。

▼RDPを利用する場合の具体的な対策

• 多要素認証を導入する
• 必要なサービス以外のポートを閉じる
• アクセス制限を強化する

追加のセキュリティを実装することで、システムがより強固となり、ランサムウェアの感染リスクを抑えられます。

【関連記事】多要素認証（MFA）とは？二要素認証・二段階認証との違いやメリットを解説

3-2-1ルールに準じたバックアップ

3-2-1ルールに従って安全にバックアップを取りましょう。3-2-1ルールとは、少なくとも3つのコピーを作成し、それらを2つの異なるメディアに保存するバックアップ戦略のことです。

▼3-2-1ルールの全体の流れ

まずは3つ以上のバックアップ用コピーを作成し、それを2つの異なるメディアに保存する。そのうちの1つは、ほかの2つとは異なる場所に保存する。

この3-2-1ルールを採用することで、データ暗号化に対して有効な被害防止策となります。

ただし、ネットワーク経由で全てのバックアップが暗号化されるリスクがあるため、同一のネットワーク内での保管・管理は避けましょう。

管理者権限の適切な管理

自社で利用する正規ツール、アプリケーション以外の実行権限を最小限にすることも有効です。攻撃者に管理者権限を取得されるリスクが減り、ランサムウェアによる被害を削減できます。

例えば、通常の利用者には不要だと判断される特定プログラムの実行権限などが該当します。攻撃者による内部活動を阻害するためにも、自社で利用しているツール以外は適切な実行権限に変更しましょう。

インシデント体制の構築

近年のランサムウェア攻撃は、時間をかけてシステムを無効化する傾向にあります。不審な変化に気付き、素早く対応するため、インシデント体制を構築しておきましょう。

インシデント体制とは、セキュリティインシデントが発生した際に、迅速かつ適切に対応するための体制のことです。具体的には、事前に対応方針を策定しておく、適切な人員を配置する、継続的な教育と訓練を行うなどが挙げられます。

インシデント体制を構築しておけば、不審な活動を素早く検知し、適切な対応によりランサムウェアの実被害を抑制できます。

感染領域と影響範囲の特定

ランサムウェア感染が確認されたら、速やかに感染領域と影響範囲を特定しましょう。素早く特定することで、ランサムウェアによる被害を最小限に抑えられます。

被害拡大・情報漏えいの回避

感染範囲が特定できたら、被害を最小限に抑えるための対策を講じます。主な手段として、以下の2つが考えられます。