当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
概要
ランサムウェア（Ransomware）とは、システム内に侵入してローカルストレージやネットワーク共有フォルダ内のファイルを強制的に暗号化し、その復旧（復号キーの提供）と引き換えに金銭（暗号資産など）を要求するマルウェアの総称である。 単なる単体PCのウイルス感染被害とは異なり、サーバーやバックアップデータも含めた事業資産全体を人質に取るため、数日〜数週間に及ぶ業務停止を招くことも十分ありえる、現代のサイバー攻撃において最も警戒すべき脅威である。
技術的背景と仕組み
侵入からデータ暗号化・身代金要求に至るタイムライン
現代のランサムウェア攻撃（特に対象を絞り込む標的型攻撃）は、以下の技術的ステップを機械的に実行する。
- 初期侵入と権限昇格： ネットワーク機器の脆弱性やフィッシング経由で一般権限を奪取後、OS内部の認証情報を窃取して「ドメイン管理者」などの最高権限（特権）へ昇格する。
- 内部偵察と横展開（ラテラルムーブメント）： 即座に暗号化は行わず、数日間〜数週間かけてネットワーク内を巡回し、機密データの所在、AD（Active Directory）サーバー、ファイルサーバーの位置を特定する。
- バックアップの無効化： 暗号化の直前に、Windows標準のローカル復元機能である「ボリュームシャドウコピー（VSS）」を強制削除するコマンドを実行する。また、同一ネットワーク上のNASに存在するバックアップデータも同時に削除・暗号化する。
- 一斉暗号化と身代金要求（ランサムノート）： 復旧手段を完全に断った状態で、特定日時に全端末のファイルを一斉に暗号化し、デスクトップ画面に「身代金要求文書（ランサムノート）」を強制表示させる。
二重脅迫（ダブルエクストーション）とそれ以上の多重脅迫
データの暗号化（第1の脅迫）に加え、暗号化の前に窃取しておいた機密データ（顧客情報、機密設計図、財務データなど）を人質にする手法。
- リークサイトへの暴露： 身代金支払いに応じない場合、攻撃者が運営するダークウェブ上の「リークサイト」に社名を公表し、盗み出したデータを段階的に公開する（第2の脅迫）。
- DDoS攻撃やステークホルダーへの直接連絡： 近年ではさらに、企業のWebサイトにDDoS攻撃を仕掛けてダウンさせたり（三重脅迫）、盗んだ名簿を悪用して顧客や取引先に「あなたの個人情報が流出した、この企業は守秘義務を怠っている」と直接メールを送り、社会的信用を内部から崩壊させる（四重脅迫）ケースも確認されている。
なぜ復旧が困難なのか
ランサムウェアによって暗号化されたファイルは、攻撃者が保持する復号鍵なしでは復旧が極めて困難で、単純な駆除だけでは被害を回復できない。
そのため、
- ウイルスを削除する
- パソコンを初期化する
だけでは問題は解決しない。
重要なのは感染防止だけでなく、復旧手段を確保しておくことである。 その際は、下記の点も十分に意識しておく必要がある。
- 常時接続デバイスへのバックアップの無意味化： 小規模環境では、外付けHDDをPCに常時接続したままバックアップを取っているケースも多くあると思われるが、この状態はPCが感染した瞬間に外付けHDDもろとも暗号化されるため、バックアップとしての機能をほとんど果たさない。
- 身代金支払いが無意味であるという事実： 攻撃者と交渉して身代金を支払っても、約束通りに復号キーが渡される保証はない。また、渡された復号ツールが粗悪でデータを復旧させられないケースも多く報告されている。さらに支払った資金は次の犯罪の原資となるため支払うこと自体にレピュテーションリスクが伴う。そのため原則として支払いによる解決は行わない前提で対策をしなければならない。
主な感染経路
- フィッシングメールおよびマルウェアの段階的感染： メールの添付ファイル（マクロ付きOfficeファイルやZIP偽装された実行ファイル）を開かせることで、まず別のローカルローダー（EmotetやIcedIDなど）に感染させ、その感染端末を踏み台にして最終的にランサムウェア本体を送り込まれる。
- 認証情報の漏洩（RDP等の悪用）： 外部公開されているリモートデスクトップ（RDP）ポートに対し、過去に他サイトから流出したID・パスワードのリストを用いた「パスワードリスト攻撃」やブルートフォース攻撃を仕掛け、正規ユーザーになりすましてログインする。
- VPN・リモートアクセス機器の脆弱性： パッチ（修正プログラム）が適用されていない古いVPNルーターやファイアウォールの脆弱性を突き、認証をバイパスしてLAN内部へ直接侵入する。
- 脆弱なサーバー：インターネットへ公開されたサーバーやNASが攻撃対象となる。既知の脆弱性が放置されている場合、短時間で侵害されることがある。
まとめおよび関連する対策
ランサムウェア対策は単一の製品では防御しきれないため、以下の防御層を組み合わせて「侵入されても事業を継続できる状態」を維持する必要がある。
侵入防止
侵入されづらい状態を維持する
- VPNの適切な運用 侵入される穴を塞ぐ
- OSおよび機器のアップデート 脆弱性を解消し侵入経路を減らす
- 多要素認証（MFA） 認証情報が漏洩しても不正ログインを防ぐ
被害拡大防止
侵入されても早期に検知する
- ネットワーク分離（VLAN） 侵入後の被害拡大や横展開を抑制する
- EDRの導入 不審な挙動やランサムウェアの兆候を検知する
復旧対策
復旧可能なバックアップデータを確実に確保する
- イミュータブルバックアップ 暗号化されないバックアップを確保する