🔰KADOKAWA・ニコニコ長期停止――ハッカーは「ファイル」ではなく会社の業務そのものを人質にする🔯ミカと教授のサイバーセキュリテイ🖥️第11回

マルウェアとランサムウェア――「ファイルを開いただけで、会社の業務が止まるのはなぜか」

ミカ「教授、今日のテーマはランサムウェアですね」
教授「その前にマルウェアからだ」
ミカ「メールに添付された怪しいファイルを開くと感染する、というやつですか」
教授「それも入口の一つだ」
ミカ「ファイルを一つ開いただけで会社全体が止まるなんて、大げさでは？」
教授「2024年のKADOKAWAグループでは、サイバー攻撃によってニコニコを中心とするサービスが長期間停止し、出版や経理にも影響が及んだ」
ミカ「ニコニコだけではなかったのですか」
教授「そこが今日の授業だ。ランサムウェアが狙うのはパソコン一台ではない。会社が仕事を続けるための仕組みそのものだ」
ミカ「急に笑えない話になりました」
教授「タイトルだけはニコニコなんだがな」

これは何を狙う攻撃なのか

ミカ「まず、マルウェアとは何ですか」
教授「Malicious Software、つまり悪意のあるソフトウェアの総称だ」
ミカ「ウイルスと同じ？」
教授「ウイルスもマルウェアの一種だ。ほかにも情報を盗むもの、遠隔操作するもの、別のプログラムを呼び込むものなどがある」
ミカ「ではランサムウェアは？」
教授「マルウェアの一種で、代表的にはデータを暗号化するなどして利用できなくし、復旧と引き換えに金銭を要求する」
ミカ「Ransomは？」
教授「身代金だ」
ミカ「つまり『あなたのファイルを預かりました。返してほしければ払ってください』」
教授「現代版の人質事件だ。ただし人質になるのは、ファイル、サーバー、バックアップ、そして業務だ」
ミカ「人間を誘拐しなくても会社を止められる」
教授「IPAも、ランサムウェア感染によって重要データが利用できなくなれば、事業停止など深刻な影響につながり得るとしている。 (情報処理推進機構)」

なぜ成立するのか

ミカ「でも、一台のパソコンが感染しても、そのパソコンを交換すればよいのでは？」
教授「会社のパソコンは一台で孤立しているか？」
ミカ「ファイルサーバーにつながっています」
教授「共有フォルダもある」
ミカ「クラウドもあります」
教授「他の社員のパソコンや業務システムにもつながっている」
ミカ「あ……ネットワークですね」
教授「そうだ。攻撃者は一台へ入った後、そこから認証情報やネットワーク構成を調べ、さらに権限を広げようとする場合がある」
ミカ「感染したパソコンから隣へ？」
教授「侵入型ランサムウェアでは、ネットワーク内を横方向へ広がるラテラルムーブメントが問題になる」
ミカ「会社の廊下を一部屋ずつ移動するわけですね」
教授「しかも管理者権限まで奪われれば、被害の範囲は大きくなる」
ミカ「また最小権限君の出番ですか」
教授「第11回も皆勤賞だ」

「ファイルを開いたら感染」は本当なのか

ミカ「今日の副題は『ファイルを開いただけで』ですが、本当にそれだけで感染するのですか」
教授「悪意のある添付ファイルやダウンロードしたプログラムが入口になる場合はある」
ミカ「請求書のように見せたファイルとか？」
教授「そうした社会的な誘導は昔から使われている。ただし、ランサムウェアの入口は添付ファイルだけではない」
ミカ「ほかには？」
教授「VPN機器などの脆弱性、盗まれたIDとパスワード、外部公開されたリモートアクセス環境、取引先を経由した侵入などもある」
ミカ「第4回、第5回、第6回あたりが全部つながってきました」
教授「そうだ。セキュリティ攻撃は教科書の章ごとに来てくれない」
ミカ「『本日はフィッシングだけで侵入します』とは言ってくれない」
教授「攻撃者はシラバスを守らないからな」

身近な例に置き換える

ミカ「今回も会社ではなく、身近な例でお願いします」
教授「ホテルにしよう」
ミカ「教授、ホテルのポイントを貯めていませんか」
教授「ホテルには客室、予約台帳、会計、鍵の管理、厨房、清掃予定などがある」
ミカ「全部つながっていますね」
教授「悪意のある人物が従業員用の入口から入り、まず一つの事務室を使えなくした」
ミカ「その部屋だけなら営業できます」
教授「次に予約台帳を読めなくする」
ミカ「予約が分からない」
教授「カードキー発行システムを止める」
ミカ「客室へ入れない」
教授「会計システムも止める」
ミカ「チェックアウトできない」
教授「バックアップの保管庫まで壊す」
ミカ「復旧もできない」
教授「最後に『元に戻してほしければ金を払え』とメモを置く」
ミカ「なるほど。ランサムウェアで怖いのは、パソコンが壊れることではなく、会社の仕事のつながりを切られることですね」
教授「そのとおりだ」

日本企業の実例――KADOKAWA・ニコニコ

ミカ「ではKADOKAWAでは、実際に何が止まったのですか」
教授「2024年6月8日、KADOKAWAグループの複数サーバーにアクセスできない障害が発生した。調査の結果、ニコニコを中心としたサービス群を標的に、ドワンゴ専用ファイルサーバーなどがランサムウェアを含む大規模なサイバー攻撃を受けたことが確認された。 (KADOKAWAオフィシャルサイト)」
ミカ「ニコニコ動画は？」
教授「主要サービスは停止し、ニコニコ動画やニコニコ生放送などが再開したのは8月5日だった。 (KADOKAWAオフィシャルサイト)」
ミカ「約2か月ですか」
教授「そして影響はWebサービスだけではない。KADOKAWAは、被害拡大を防ぐため関連サーバーをシャットダウンしたことで、出版製造・物流システムも停止したと公表している」
ミカ「本の会社なのに、本の出荷まで？」
教授「6月の既刊出荷部数は平常時の約3分の1まで減少した。経理機能も影響を受け、アナログ対応を含めて立て直したとされている。
ミカ「デジタル攻撃なのに、最後は紙と人力ですか」
教授「非常時にはアナログが最強のバックアップになることもある」
ミカ「FAXの復権ですね」
教授「そこまで戻る必要はない」

暗号化だけでは終わらない

ミカ「ランサムウェアはデータを暗号化するだけですよね」
教授「現在はそれだけとは限らない」
ミカ「まだありますか」
教授「データを盗み出したうえで、『支払わなければ公開する』と脅す二重恐喝の形もある」
ミカ「使えなくするうえに、外へ持ち出す？」
教授「KADOKAWAの事件でも情報漏えいが発生し、同社は2024年8月時点で、確認された外部漏えいの個人情報が254,241人分だったと公表している。取引先、従業員、関係者などの情報が含まれていた。
ミカ「バックアップから復旧すれば終わり、ではないのですね」
教授「そうだ。暗号化は復旧できても、一度持ち出された情報は取り戻せない」
ミカ「コピーされた個人情報には『元に戻す』ボタンがありません」
教授「そこがデータ漏えいの厄介なところだ」

もう一つの国内実例――病院の診療まで止まった

ミカ「会社ではありませんが、業務停止の怖さがもっと分かる例はありますか」
教授「2022年の大阪急性期・総合医療センターの事件は非常に分かりやすい」
ミカ「病院がランサムウェアに？」
教授「2022年10月31日に電子カルテシステムなどで障害が発生し、通常の外来診療や検査などができない状態になった。病院は紙カルテ運用へ切り替えた。 (大阪急性期・総合医療センター)」
ミカ「電子カルテが止まると、診療そのものに影響するのですね」
教授「しかも入口は病院のメール添付ファイルではなかった。調査では、給食事業者側のネットワークを経由して侵入し、病院側へ広がったと説明されている。 (厚生労働省)」
ミカ「給食会社から電子カルテへ？」
教授「病院のFAQによれば、給食システム側で使われていたパスワードと電子カルテ群サーバー側のパスワードが共通で、そのIDには管理者権限も付与されていたため、攻撃者による水平展開を許し、大規模・長期間の障害につながったとされている。
ミカ「最小権限君だけでなく、パスワード使い回し君まで再登場しました」
教授「過去10回の授業が一つの事件に集まっているようだろう」

なぜバックアップまで壊されるのか

ミカ「でもバックアップがあれば、すぐ戻せませんか」
教授「攻撃者もそれを知っている」
ミカ「嫌な予感です」
教授「侵入型ランサムウェアでは、本番データだけでなく、アクセス可能なバックアップまで暗号化したり削除したりするケースを想定しなければならない」
ミカ「本棚を燃やした後、倉庫のコピーまで燃やす」
教授「そうだ。大阪急性期・総合医療センターの研修資料でも、攻撃当日にバックアップ破壊と暗号化が行われた経緯が示されている。 (医療機関向けセキュリティ教育支援ポータルサイト)」
ミカ「ではバックアップをネットワークにつなぎっぱなしにしてはいけない？」
教授「少なくとも、本番環境から簡単に同じ権限で消せるバックアップだけに依存しないことが重要だ」
ミカ「オフライン？」
教授「選択肢の一つだ。IPAも、通常バックアップとは別に、普段は電源を落としたストレージへ重要データを保存する例をランサムウェア対策として示している。 (情報処理推進機構)」
ミカ「泥棒が金庫室まで入っても、別の場所のコピーは残す」
教授「そして、コピーが本当に復元できるか試しておく」
ミカ「バックアップしただけではだめ？」
教授「復元できないバックアップは、安心感をバックアップしているだけだ」

安全な範囲で仕組みを確認する

ミカ「今回も危険なコードなしで確認しましょう」
教授「黒板に五つ書く」
ミカ「①社員のパソコン」
教授「②ファイルサーバー」
ミカ「③業務システム」
教授「④バックアップ」
ミカ「⑤他の社員のパソコン」
教授「最初に①が何らかの方法で侵害されたとする」
ミカ「そこで止めれば、小さな被害」
教授「ところが①から②へアクセスできる」
ミカ「共有ファイルへ」
教授「さらに管理者の認証情報を奪われ、③や⑤へアクセスできるようになる」
ミカ「感染範囲が広がる」
教授「④のバックアップまで同じネットワーク、同じ管理権限で操作できたら？」
ミカ「バックアップも消される」
教授「そこで一斉にデータを暗号化されたら？」
ミカ「社員はパソコンを起動できても、仕事に必要な情報が使えません」
教授「その状態が『パソコンのトラブル』から**『事業停止』へ変わる瞬間**だ」

プログラマー・システム担当者はどう防ぐか

ミカ「では技術側の対策です」
教授「まず入口を減らす。OS、VPN、サーバー、ソフトウェアを更新し、既知の脆弱性を放置しない」
ミカ「認証は？」
教授「MFAを使い、管理者アカウントを必要以上に配らない」
ミカ「ネットワークは？」
教授「分割する。社員PC、サーバー、バックアップ、重要システムを全部同じ平面ネットワークへ置かない」
ミカ「一部屋に入られたら全部の部屋へ行ける構造をやめる」
教授「そうだ」
ミカ「端末側では？」
教授「EDRなどで不審な挙動を監視する。大量のファイルが突然書き換えられる、普段ないプログラムが動く、といった兆候を早期に検知する」
ミカ「早く気付けば途中でネットワークを切れる」
教授「IPAも、暗号化が完了する前に異常を認知し、被害を限定する考え方を挙げている。 (情報処理推進機構)」

プログラマーが覚えておきたい基本

ミカ「今回もまとめてください」
教授「八つにしよう」
・OS、VPN機器、アプリケーションを継続的に更新する
・管理者権限を必要最小限にする
・重要アカウントにはMFAを導入する
・ネットワークを分割し、侵入後の横展開を難しくする
・端末やサーバーの異常な挙動を監視する
・バックアップを本番環境から分離する
・バックアップから実際に復元する訓練を行う
・インシデント発生時に隔離・報告・復旧する手順を平時から決める
ミカ「技術だけでなく、訓練まで必要なのですね」
教授「火災報知器だけ買って、避難訓練を一度もしない会社を想像してみなさい」
ミカ「非常口で全員が相談を始めますね」
教授「ランサムウェア発生直後に『誰に電話します？』から会議を始めてはいけない」

経営者・利用者はどう防ぐか

ミカ「社員側では何をすれば？」
教授「不審な添付ファイルやリンクを安易に開かない。ソフトを勝手にインストールしない。OS更新を止めない。不審な挙動があればすぐ報告する」
ミカ「『変だけど忙しいから明日言おう』は？」
教授「一番高くつく明日になるかもしれない」
ミカ「経営者は？」
教授「まずランサムウェアをIT部門だけの問題と思わないことだ」
ミカ「KADOKAWAでは出版、物流、経理まで影響しました」
教授「そうだ。大阪の病院では診療まで影響した。つまり経営者が考えるべきなのは、サーバーを守る方法だけでなく、サーバーが止まった日も会社を動かす方法だ」
ミカ「BCPですね」
教授「そのとおりだ」
ミカ「会計システムが使えなければ？」
教授「代替手順はあるか」
ミカ「メールが止まったら？」
教授「別の連絡手段はあるか」
ミカ「受注システムが止まったら？」
教授「紙や別環境で最低限続けられるか」
ミカ「アナログもBCP資産になる」
教授「KADOKAWAが経理や出版でアナログ対応を行った事実は、その意味をよく示している。

身代金を払えば解決するのか

ミカ「教授、身代金を払えばファイルを戻してもらえるのでは？」
教授「それを前提に経営計画を作ってはいけない」
ミカ「なぜですか」
教授「犯罪者が約束を守る保証はない。復号できても完全に戻るとは限らない。すでに情報を盗まれている可能性もある」
ミカ「払えば『この会社は払う』と知られる可能性もありますね」
教授「だから重要なのは、支払うかどうかをその場で考えることではなく、支払わなくても事業を復旧できる準備を平時から作ることだ」
ミカ「バックアップ、復旧訓練、ネットワーク分離」
教授「そしてインシデント対応計画だ」

KADOKAWA事件が教えた本当の怖さ

ミカ「KADOKAWA事件から、一番学ぶべき点は何でしょう」
教授「サイバー攻撃の損害を『盗まれたファイル数』だけで測ってはいけないことだ」
ミカ「サービス停止」
教授「出版物流の停止」
ミカ「経理への影響」
教授「情報漏えい」
ミカ「顧客や取引先への対応」
教授「復旧作業」
ミカ「全部がコストですね」
教授「そうだ。ランサムウェアはファイルを暗号化するが、本当に暗号化されるのは会社の時間かもしれない」
ミカ「社員が本来の仕事ではなく復旧対応をする」
教授「売上も止まる」
ミカ「顧客対応も増える」
教授「信頼の回復にも時間がかかる」
ミカ「ファイル一つの話ではありませんね」
教授「だから経営問題なのだ」

ミカと教授の一言で締める

ミカ「教授、マルウェアを一言で？」
教授「コンピューターに悪意ある動作をさせるソフトウェアの総称」
ミカ「ランサムウェアは？」
教授「データやシステムを使えなくし、会社の業務そのものを人質にするマルウェア」
ミカ「なぜ一台のパソコンから会社全体が止まる？」
教授「会社のパソコンは、一人で暮らしていないからだ」
ミカ「ネットワークでつながっている」
教授「共有データもある」
ミカ「同じ認証情報もある」
教授「バックアップまでつながっていることもある」
ミカ「守る一番のポイントは？」
教授「侵入されない工夫、侵入されても広げない仕組み、壊されても戻せる準備。この三つだ」
ミカ「では怪しい請求書ファイルが届いたら？」
教授「開かない」
ミカ「でも本物の請求書だったら？」
教授「送信元を別の方法で確認する」
ミカ「仕事が遅くなりませんか」
教授「数分の確認と2か月の復旧、どちらが速い？」
ミカ「教授、今日は計算機を使わなくても答えが分かります」

次回予告

第12回　中間者攻撃――「二人だけで話しているつもりなのに、途中で誰かが聞いていたら？」

ミカ「次はパソコンへ侵入しないのですか」
教授「通信の途中へ入り込む」
ミカ「また別の入口が出てきました」
教授「サイバーセキュリティでは、入口だけでなく道の途中にも注意が必要なのだ」