ランサムウェア（身代金要求型ウイルス）の多様な手口と対策方法

サイバー犯罪者がユーザーのデータを「人質」にとり、身代金を要求するランサムウェアによる被害について、ニュースなどで報道される機会も増えました。ランサムウェアの脅威はそれほど身近になっており、きちんとした対策を行わないと、さまざまなランサムウェア攻撃の被害者になる可能性があります。

この記事では、ランサムウェアの分類や、これまでに拡散された代表的なランサムウェアなど、 次の5つのトピックについてご紹介します。

• ランサムウェアの定義と、被害を発生させる仕組み
• ランサムウェアの分類：暗号化型と画面ロック型
• 代表的な10個のランサムウェアに見られる多様な手口
• ランサムウェアへの感染につながるメールの見抜き方
• ランサムウェア用の復号ツールの使用方法

ランサムウェアの定義と被害を発生させる仕組み

ランサムウェアの分類や代表的な実例などを紹介する前に、まずはランサムウェアの定義やユーザーに身代金を要求する仕組みの概要について説明します。

ランサムウェアは、マルウェア（悪意のあるソフトウェア）の一種で、特徴としてはサイバー犯罪者がユーザーに身代金を要求する点です。

また、ランサムウェアを道具として使用して、サイバー犯罪者が個人ユーザーや企業を標的に行う攻撃は、ランサムウェア攻撃と呼ばれます。こうした攻撃におけるランサムウェアのコンピューターへの感染経路としては、フィッシングメールの添付ファイルやリンクを使用する手口、感染したWebサイトから「ドライブバイダウンロード( drive-by download)」でダウンロードさせる手口、感染したUSBメモリを使用する手口などが知られています。

コンピューターまたはネットワークがランサムウェアに感染すると、システムへのアクセスをロックするかシステム上のデータを暗号化して使用できなくするかの、どちらかの方法でデータを「人質」に取ります。サイバー犯罪者は、ユーザーがシステムやデータを再び利用したいなら身代金を支払うようにと要求します。

ランサムウェアの分類：暗号化型と画面ロック型

ランサムウェアの種類は、主に暗号化型と画面ロック型に分かれます。

暗号化型のランサムウェアは、コンピューター上のファイルを暗号化し、ユーザーがアクセスできないようにします。この場合、サイバー犯罪者は、ファイルを復号して再度アクセスできるようにするには身代金支払うようにと、被害者から金銭を搾取します。

画面ロック型のランサムウェアは、ファイルの暗号化は行いませんが、システムをロックしてユーザーが端末を使用できないようにします。この場合、サイバー犯罪者は、端末のロックを解除するための身代金を要求します。

代表的な10個のランサムウェアに見られる多様な手口

こちらでは、10個の代表的なランサムウェアを例に、手口の多様さや感染時の被害の大きさを紹介します。

「Locky」

「Locky」は暗号化型のランサムウェアで、2016年にサイバー犯罪者組織による攻撃で最初の使用が確認されました。

主な感染経路は偽装メールの添付ファイルで、このようにユーザーをだますメールでの拡散は、サイバー犯罪者が使用するソーシャルエンジニアリング型の手口の一つであるフィッシングに位置付けられます。

また「Locky」は160種類以上のファイルを暗号化する能力があり、デザイナーやプログラマー、エンジニア、テスターがよく使用するファイル形式が主な標的となっていました。

「WannaCry」

WannaCryは2017年に猛威を振るい、150カ国で被害が確認されたランサムウェアです。

Windowsの脆弱性を悪用したこのランサムウェアのコアとなる技術は、米国の国家安全保障局によって開発されたといわれており、「Shadow Brokers」というグループによってインターネット上に公開されました。「WannaCry」により、世界中で230,000台に及ぶコンピューターが被害を受けたとされています。

特に被害が顕著だったのが、英国の公的医療制度を担うNHSトラスト（地域ごとに設置され医療サービスを運営する団体）を標的とした攻撃で、全体の3分の1のトラスト団体が被害を受け、被害総額は9200万ポンドに及んだと推計されています。被害を受けたトラストではユーザーがシステムにアクセスできなくなり、仮想通貨のBitcoinでの身代金の支払いが要求されました。また、高い信頼性が要求される医療機関のサービスにも関わらず被害が拡大した背景として、サイバー攻撃に対して脆弱性のある古いシステムが適切にメンテナンスされないまま使用されていたことが指摘されています。

「WannaCry」による世界中での被害額は、合計で40億ドルに及んだと推計されています。

「Bad Rabbit」

2017 年に拡散した「Bad Rabbit」では、適切なセキュリティ対策を行っていなかったWebサイトが感染経路として悪用されました。こうした攻撃の手口は「ドライブバイダウンロード（drive-by download）」と呼ばれ、サイバー犯罪者によって改ざんされていることを知らずに正規のWebサイトにアクセスしたユーザーが標的となります。

「ドライブバイダウンロード」に分類される攻撃の多くは、改ざんされたWebサイトにユーザーが訪問するだけでランサムウェアなどのマルウェアに感染させます。ただし「Bad Rabbit」の場合、サイトにアクセスするだけでは感染は起こらず、感染には、マルウェアであることを隠したドロッパーと呼ばれるファイルをユーザーがインストール用にクリックする操作が必要なものでした。

「Bad Rabbit」では、ユーザーを騙しやすいようにAdobe Flashを装ったドロッパーが使用されました。

「Ryuk」

2018年8月に拡散が確認された「Ryuk」の特徴として、データを暗号化するだけでなくWindowsのシステムの復元オプションを無効化する点があり、これにより外部にバックアップを保存していなかったファイルの復元が不可能になりました。

また、ネットワークドライブも暗号化されるため、ネットワークドライブに保存されていたバックアップファイルなども使用できなくなりました。

こうした周到な攻撃の手口により、標的となった米国企業の多くが身代金を払うことを選択しました。2018年8月の報告書では、支払われた身代金の総額は64万ドル以上と推計されています。

「Troldesh」

2015年に確認されたランサムウェア攻撃「Troldesh」では、スパムメールのリンクや添付ファイルが感染経路となりました。

「Troldesh」による攻撃で特徴的な点として、サイバー犯罪者が被害者にメールで直接コンタクトをとり、身代金要求のやり取りを行ったことが挙げられます。また、やり取りを通して特に親しくなった被害者に対しては、サイバー犯罪者が身代金を減額したこともあったようです。

ただし、こうした例外的なケースがあるからといって、ランサムウェアへの感染時にサイバー犯罪者とやり取りをしてしまうことは推奨されません。たとえ身代金を支払ってもデータを取り戻せる保証はないため、支払いには応じないのが最善です。また、身代金を支払わせることに成功したサイバー犯罪者が味をしめ、次の被害者を生んでしまう点についてもよく考える必要があります。

「Jigsaw」

「Jigsaw」は2016年から拡散しているランサムウェアです。ホラー映画の『ソウ（Saw）』シリーズに登場する腹話術人形の画像が使用されていたことから、「Jigsaw」と名付けられました。

「Jigsaw」に感染すると、ユーザーが身代金を支払わないかぎり、1時間ごとに徐々にファイルが削除されていきます。こうした演出にホラー映画の画像を組み合わせる手口は、ユーザーの恐怖感をあおって身代金を支払うように圧力をかける目的で使用されたと考えられます。

「CryptoLocker」

「CryptoLocker」は、メールの添付メール経由で拡散されたランサムウェアです。コンピューターが「CryptoLocker」に感染すると、ユーザーにとって価値がありそうなファイルが暗号化され、身代金が要求されます。

約50万台のコンピューターが感染したとされる被害の大きさを受け、司法当局とセキュリティ企業が協力して対応を行い、「CryptoLocker」の拡散に使用されていたネットワーク（世界中の家庭用コンピューターを乗っ取って構築されたもの）を使用不能な状態に追い込みました。

さらに、こうした対抗措置の過程で、サイバー犯罪者が使用していたネットワークが司法当局側の管理下に置かれ、サイバー犯罪者が送受信していたデータも確保されました。このデータを活用することで、身代金を支払わなくても無料で「CryptoLocker」によるデータのロックを解除できるキーを配布できるようになり、被害者向けのポータルサイトが開設されています。

「Petya」

「Petya」（「ExPetr」は「Petya」の亜種）は2016年に初めて使用が確認され、2017年に、次に紹介する「GoldenEye」へと発展して猛威を振るったランサムウェアです。

「Petya」の特徴は、個別のファイルを暗号化するのではなく、ハードディスク全体を暗号化する点にあります。具体的には、ハードディスクのMFT（マスターファイルテーブル）の部分を暗号化することで、ディスク上のすべてのファイルにアクセスできないようにする手口が使用されていました。

人事部門を標的に、求人への申し込みを装った偽メールを送り付ける攻撃によって「Petya」は拡散し、これらの偽メールに含まれていたDropbox（代表的なオンライン上のファイル保存サービス）へのリンクが感染経路として使用されました。

「GoldenEye」

「Petya」のコードから新たに作成された「GoldenEye」は、2017年に世界規模でのランサムウェア攻撃を引き起こしました。

被害の大きさから「WannaCry」の再来と称されることもある「GoldenEye」による攻撃は、ロシアの著名な石油関連企業や銀行を含む二千件以上の標的を対象としていました。

影響範囲にはチェルノブイリの原子力発電所も含まれ、放射線レベルの監視システムで使用されていたWindowsマシンがロックされたため、放射線レベルの監視が手動観測に切り替えられるという被害まで発生しました。

「GandCrab」

「GandCrab」は成人向けコンテンツの視聴履歴を公開するとユーザーを脅迫するランサムウェアです。

「GandCrab」は、コンピューターのWebカメラを乗っ取ってユーザーを撮影したというメッセージを表示し、撮影した写真などを公開されたくなければ身代金を支払うように要求します。

2018年1月に最初の攻撃が確認されて以降も、さまざまな「GandCrab」の亜種による攻撃が報告されています。こうした状況を受け、「No More Ransom」プロジェクトの一環としてITセキュリティ企業が警察機関と協力して事態の収拾に当たり、「GandCrab」から個人情報などを取り戻す復号ツールが開発され、被害者向けに公開されています。

ランサムウェアへの感染につながるメールの見抜き方

個人ユーザーや企業を対象とした代表的なランサムウェアの実例を紹介しましたが、標的となったユーザーが実際にランサムウェアに感染した直接の原因は、多くの場合スパムメールに含まれていたリンクを不用意にクリックしたり添付ファイルを開いてしまったことによるものでした。

実は、ここにランサムウェアの被害を避ける大きなヒントが隠されています。ランサムウェアへの感染につながるようなメールを見抜くことができれば、大部分のトラブルを防ぐことができるのです。

ランサムウェア攻撃かもしれない不審なメールを見抜く上で一番大切なのは、メールの送信元を確認することです。見慣れない個人や企業から送信されてきた不審なメールには、慎重に対処してください。

信頼できない送信元からのメールでは、添付ファイルを開かないことはいうまでもなく、リンクもクリックしないようにする必要があります。

また、マクロを有効にすることをユーザーに求める添付ファイルには特に注意が必要です。マクロが有効なメール添付ファイルは、サイバー犯罪者がランサムウェアを拡散するために好んで使用する手口です。

ランサムウェア用の復号ツールの使用方法

ランサムウェア攻撃で、データにアクセスできないなどの被害が発生した場合、身代金の支払いには応じないようにしてください。

サイバー犯罪者が要求している身代金を支払ったからといって、データへのアクセスを取り戻すことができるとは限りません。サイバー犯罪者にとっては金銭を搾取することが第一目的であり、約束の履行をしてくれる事を期待してよい相手ではありません。また、身代金を支払ってしまうとサイバー犯罪者側も味をしめるため、次なるランサムウェア被害の呼び水になってしまう可能性も考慮する必要があります。

ランサムウェアの感染後に可能な対応策として、外付けデバイスやクラウドストレージにデータのバックアップを保存していた場合は、アクセスできなくなってしまったデータを復元することができます。利用できるバックアップデータがない場合、まずは、個人として利用しているセキュリティ製品のサポートや、法人として契約しているセキュリティ企業に問い合わせを行い、感染したランサムウェアに対応する復号ツールがないか確認することをお勧めします。あるいは、司法当局とセキュリティ企業が協力して運営している「No More Ransom」プロジェクトのサイトでも、該当するランサムウェアに対応した復元ツールが提供されている場合があります。

新種のランサムウェアによる攻撃は後を絶ちません。新たなランサムウェア攻撃による被害を未然に防止するためにも、総合セキュリティ製品としてカスペルスキー セキュリティの利用をぜひご検討ください。